WireGuard over WireGuard и WireGuard over TURN: сложные схемы

Когда нужны сложные схемы WireGuard?

Стандартный WireGuard предполагает прямой UDP-обмен между пирами. Однако на практике часто встречаются NAT, CGNAT, строгие файрволы или требование маскировки трафика. В таких случаях используют либо вложенные туннели WireGuard, либо ретрансляцию через TURN. Обе схемы решают схожие задачи, но каждая — своими средствами, и выбор зависит от сценария и возможностей инфраструктуры.

WireGuard over WireGuard: принцип и сценарии

Термин «WireGuard over WireGuard» означает туннель WireGuard, проложенный внутри другого туннеля WireGuard. Внешний туннель обеспечивает транспорт, внутренний — отдельный логический уровень связи. Такой подход применяется для:

• обхода ограничений, если внешний туннель уже работает через защищённый канал;
• организации связи между филиалами через центральный шлюз без изменения внутренних подсетей;
• повышения конфиденциальности за счёт двойного шифрования (хотя это спорно и добавляет нагрузку).

Настройка сводится к тому, чтобы поднять внешний туннель на обоих пирах, а затем внутри его интерфейса (например, wg0) запустить второй туннель между теми же или другими пирами. Для этого внутренние туннели используют адреса из диапазонов, которые маршрутизируются только через внешний туннель.

WireGuard over TURN: обход NAT и ограничений

TURN (Traversal Using Relays around NAT) — протокол, позволяющий передавать UDP-трафик через ретранслятор, который обычно работает на 443-м порту и использует TCP/TLS. Это особенно полезно, когда UDP-трафик блокируется, а прямой WireGuard-канал установить невозможно. В схеме WireGuard over TURN пакеты WireGuard упаковываются в сообщения TURN и отправляются на сервер, который пересылает их адресату.

Важно понимать: WireGuard не поддерживает TURN нативно. Для работы требуется специальный клиент-обёртка (например, open-source решения для мобильных приложений) и собственный TURN-сервер, такой как coturn. Перед внедрением проверьте совместимость клиента с вашим сценарием и версией протокола.

Сравнение двух подходов

Для выбора подходящей схемы сравним их по ключевым критериям:

Вывод: если UDP-связь возможна и вам нужен дополнительный слой шифрования — выбирайте вложенный WireGuard. Если сеть фильтрует UDP или требует маскировки под HTTPS — TURN.

Общая последовательность настройки

WireGuard over WireGuard

1. Создайте внешний туннель до сервера-ретранслятора, следуя штатной документации WireGuard.
2. Убедитесь, что через интерфейс внешнего туннеля проходят пакеты (например, ping до приватного IP).
3. Настройте внутренний туннель: задайте отдельный приватный диапазон и укажите endpoint, равный адресу внутреннего пира из внешней сети.
4. Добавьте маршруты, чтобы трафик к сети внутреннего туннеля шёл через интерфейс внутреннего туннеля, а не выпадал в физическую сеть.
5. Проверьте MTU. Уменьшите MTU внешнего интерфейса до 1280, чтобы избежать фрагментации.

WireGuard over TURN

1. Разверните TURN-сервер (например, coturn) с сертификатом TLS, чтобы клиенты могли работать по 443/443.
2. Выберите клиентское приложение, которое поддерживает TURN поверх WireGuard. Проверьте совместимость с вашей ОС.
3. В настройках клиента укажите адрес TURN-сервера, учётные данные и параметры WireGuard.
4. Скройте внутренние маршруты, если требуется, и проверьте корректность DNS.

Типичные ошибки и советы

• Неправильная маршрутизация: внутренний трафик уходит напрямую, а не через внешний туннель.
• Игнорирование MTU: стандартный MTU 1500 приводит к фрагментации и потере производительности.
• Запуск внутреннего туннеля до установления внешнего — в итоге пакеты теряются.
• В TURN-схемах забывают настроить relay-адреса в TURN-сервере, из-за чего данные не передаются.

Перед выбором обязательно протестируйте оба варианта в ваших условиях. И обязательно проверьте документацию для версий вашего ПО и региона, так как некоторые операторы блокируют возможности TURN.