WireGuard на Kali Linux: установка для пентестеров

WireGuard — это современный VPN-протокол, который ценят за простоту настройки, высокую скорость и минимальное потребление ресурсов. Для пентестера он особенно полезен: позволяет быстро поднять защищённый туннель до арендованного сервера, обойти сетевые ограничения или скрыть часть трафика. В этой статье мы разберём, как установить WireGuard на Kali Linux, настроить его для реальных пентест-задач и не наступить на типичные грабли.

Почему WireGuard для пентеста?

Классические VPN (OpenVPN, IPsec) громоздки и требуют долгой настройки. WireGuard же работает прямо в ядре Linux, даёт минимальный оверхед и настраивается одним конфигурационным файлом. Для пентестера это означает:

• Быстрое развертывание — меньше времени на подготовку, больше на работу.
• Низкий пинг и высокая пропускная способность — критично для передачи больших объёмов данных.
• Прозрачность — весь трафик контролируется на уровне сетевых правил, что удобно для анализа.
• Кроссплатформенность — клиенты есть для Linux, Windows, Android, iOS.

Установка WireGuard в Kali Linux

Kali Linux основан на Debian, поэтому установка стандартная. Откройте терминал и выполните:

sudo apt update
sudo apt install wireguard

Если вы используете старую версию Kali, может потребоваться добавить репозиторий backports или собрать модуль вручную. Проверьте свою версию ядра и наличие модуля:

uname -r
modprobe wireguard

Если модуль не загружается, обновите ядро или установите пакет linux-headers-$(uname -r) и пересоберите WireGuard через DKMS.

Генерация ключей и базовая конфигурация

WireGuard использует пару ключей — приватный и публичный. На хосте, который будет подключаться к серверу (клиент), сгенерируйте ключи:

wg genkey | tee privatekey | wg pubkey > publickey

Создайте файл конфигурации /etc/wireguard/wg0.conf (права должны быть 600):

[Interface]
PrivateKey = <приватный_ключ_клиента>
Address = 10.0.0.2/24
DNS = 1.1.1.1  # опционально

[Peer]
PublicKey = <публичный_ключ_сервера>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.0.0.0/24, 192.168.0.0/16

Замените адреса на свои. AllowedIPs определяет, какие подсети направлять через туннель. Для пентеста часто нужно указывать только нужные сети, чтобы не гонять весь трафик через VPN.

Запуск туннеля и проверка подключения

Активируйте интерфейс:

sudo wg-quick up wg0

Проверьте статус:

sudo wg show

Если видите handshake и обмен пакетами — туннель работает. Можно проверить пинг до адреса внутри VPN:

ping 10.0.0.1

Остановить туннель — sudo wg-quick down wg0. Чтобы включить автоматический запуск, добавьте systemctl enable wg-quick@wg0.

Советы для пентестера: маршрутизация и split tunnel

Полный туннель (когда весь трафик идёт через VPN) оправдан только если вы скрываете свой IP. Для активной работы с целевой сетью удобнее split tunnel — направлять через VPN только те подсети, с которыми работаете. Для этого в AllowedIPs перечислите нужные адреса:

AllowedIPs = 10.10.0.0/16, 172.16.0.0/12

Так вы сохраните высокую скорость доступа к интернету и одновременно защитите канал к целевой сетевой инфраструктуре. Не забывайте проверять таблицу маршрутизации:

ip route

Если нужно временно направить весь трафик, используйте AllowedIPs = 0.0.0.0/0, но помните о возможных утечках DNS и необходимости настроить DNS в конфиге.

Заключение

WireGuard — незаменимый инструмент для пентестера, работающего в Kali Linux. Он прост в установке, требует минимум конфигурации и даёт полный контроль над маршрутизацией. Используйте приведённые команды и советы, адаптируйте их под свои задачи, и вы получите надёжный канал для атак и анализа.