WireGuard на Linux Mint: пошаговая установка и настройка

WireGuard — современный VPN-протокол, который работает быстрее и проще, чем OpenVPN или IPsec. На Linux Mint он ставится из официального репозитория проекта, но процесс требует аккуратности: нужно обновить ядро, установить заголовки, создать ключи и правильно оформить конфигурационный файл. В этой инструкции мы разберём установку с нуля до рабочего соединения.

Подготовка системы и установка пакетов

Перед установкой убедитесь, что ваша система обновлена. Откройте терминал и выполните:

sudo apt update && sudo apt upgrade -y

WireGuard требует модуль ядра. В большинстве дистрибутивов Linux Mint модуль уже включён, но для безопасности проверьте:

modprobe wireguard

Если модуль не найден, установите заголовки ядра, соответствующие вашей версии. Для Linux Mint 21/22 это обычно пакеты linux-headers-generic и linux-headers-$(uname -r).

Добавьте официальный PPA WireGuard (проверьте актуальность на wireguard.com/install):

sudo add-apt-repository ppa:wireguard/wireguard
sudo apt update

Установите WireGuard и вспомогательные утилиты:

sudo apt install wireguard resolvconf

Пакет resolvconf нужен для автоматической настройки DNS. В некоторых версиях Mint он устанавливается автоматически, но лучше указать явно.

Генерация ключей и создание конфигурации клиента

WireGuard использует пару ключей. Сгенерируйте закрытый ключ:

wg genkey | sudo tee /etc/wireguard/privatekey | wg pubkey | sudo tee /etc/wireguard/publickey

Первая команда создаёт закрытый ключ, вторая — публичный на его основе. Убедитесь, что права на приватный ключ ограничены:

sudo chmod 600 /etc/wireguard/privatekey

Теперь создайте файл конфигурации клиента /etc/wireguard/wg0.conf. Он должен содержать параметры вашего VPN-сервера. Пример для клиента:

[Interface]
PrivateKey = <ваш_закрытый_ключ>
Address = 10.0.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = <публичный_ключ_сервера>
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Значения подставьте свои: Address — внутренний адрес клиента, Endpoint — реальный адрес сервера, AllowedIPs — маршруты, которые пойдут через туннель. Если нужно отправлять только определённые подсети, укажите их вместо 0.0.0.0/0.

Проверьте, что ключи записаны без пробелов и лишних символов. Конфигурация чувствительна к регистру.

Запуск WireGuard через systemd (wg-quick)

Проще всего использовать встроенный скрипт wg-quick. Активируйте интерфейс:

sudo systemctl start wg-quick@wg0

Проверьте статус:

sudo systemctl status wg-quick@wg0

Если всё в порядке, включите автозапуск при старте системы:

sudo systemctl enable wg-quick@wg0

Альтернативный способ — поднимать интерфейс вручную командой sudo wg-quick up wg0. Но для постоянного использования лучше через systemd.

Проверка работоспособности и типичные проблемы

После запуска проверьте, появился ли интерфейс:

ip addr show wg0

Выполните пинг до адреса сервера из вашей подсети, затем проверьте внешний IP через curl ifconfig.me. Если трафик не идёт, посмотрите журнал:

sudo journalctl -u wg-quick@wg0 -n 50

Частая проблема — несоответствие заголовков ядра после обновления. Выполните sudo apt install linux-headers-$(uname -r) и пересоберите модуль. Также убедитесь, что файл конфигурации имеет права 600, иначе wg-quick откажется работать из соображений безопасности.

Если используется файрвол, разрешите UDP-порт 51820 (или тот, что указан в Endpoint) на сервере, для клиента это обычно не требуется.

Автоматическое подключение и дополнения

Чтобы туннель поднимался сам, уже достаточно systemctl enable wg-quick@wg0. Дополнительно можно настроить kill-switch — правило файрвола, которое блокирует трафик при обрыве VPN. Для этого в файле конфигурации добавьте PostUp и PreDown с правилами iptables, но этот шаг требует знания сетевых интерфейсов. Для большинства случаев стандартный конфиг без kill-switch’а безопасен.

Если вы переключаетесь между VPN-серверами, создайте отдельные файлы wg1.conf, wg2.conf и запускайте их как wg-quick@wg1, wg-quick@wg2.

Помните, что параметры вроде DNS или Endpoint зависят от вашего провайдера и региона — проверяйте их для своей конфигурации.