WireGuard-конфиг: что означают Interface, Peer, Address и Endpoint

WireGuard — это современный VPN-протокол, который отличается простотой настройки и высокой производительностью. Однако, когда вы открываете файл конфигурации впервые, он может показаться набором непонятных параметров. В этой статье мы подробно разберем каждое поле конфигурационного файла WireGuard, объясним его назначение и покажем, как правильно редактировать конфиг, чтобы избежать ошибок.

Мы рассмотрим структуру файла, значения ключевых параметров, а также границы их редактирования. Вы узнаете, что можно менять без риска нарушить соединение, а что лучше оставить как есть. Наша цель — дать вам полное понимание конфигурации WireGuard, чтобы вы могли самостоятельно настраивать VPN под свои задачи.

Структура конфигурационного файла WireGuard

Конфигурационный файл WireGuard состоит из секций, каждая из которых определяет параметры либо локального интерфейса, либо удаленного пира. Обычно файл выглядит так:

[Interface]
PrivateKey = ...
Address = 10.0.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = ...
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Секция [Interface] описывает ваш локальный компьютер или сервер, а секция [Peer] — удаленное устройство, с которым вы устанавливаете соединение. Рассмотрим каждую секцию подробно.

Секция [Interface]: ваш локальный узел

Секция [Interface] содержит параметры, которые определяют ваш собственный туннельный интерфейс. Это ключевая часть конфигурации, и ее редактирование требует осторожности.

PrivateKey — ваш приватный ключ

Поле PrivateKey содержит ваш приватный ключ WireGuard. Он генерируется при создании конфигурации и должен оставаться в секрете. Никогда не передавайте его третьим лицам и не публикуйте в открытом доступе. При редактировании конфига не меняйте этот ключ, если вы не генерируете новую пару ключей осознанно.

Address — IP-адрес вашего туннеля

Поле Address задает IP-адрес (или несколько адресов) вашего интерфейса WireGuard. Это адрес, который будет использоваться внутри VPN-сети. Например, Address = 10.0.0.2/24 означает, что ваш адрес — 10.0.0.2 с маской подсети /24. Вы можете указать несколько адресов через запятую, например, для IPv4 и IPv6.

Это поле можно редактировать, чтобы изменить ваш IP в туннеле, но убедитесь, что он не конфликтует с другими устройствами в сети и находится в допустимом диапазоне.

DNS — DNS-серверы

Параметр DNS не является обязательным, но часто используется для указания DNS-серверов, которые будут использоваться внутри туннеля. Это может быть полезно для защиты от утечек DNS или для доступа к внутренним ресурсам сети.

Вы можете изменить DNS-серверы на любые, которые вам нужны, например, DNS = 8.8.8.8, 8.8.4.4.

Секция [Peer]: удаленная сторона

Секция [Peer] описывает удаленное устройство, с которым вы хотите установить соединение. В конфигурации может быть несколько секций [Peer], если вы подключаетесь к нескольким серверам.

PublicKey — публичный ключ пира

Поле PublicKey содержит публичный ключ удаленного устройства. Этот ключ не является секретным и может быть передан вам администратором VPN-сервера. Важно, чтобы он точно соответствовал публичному ключу сервера, иначе соединение не установится.

Редактировать этот ключ нужно только в том случае, если сервер сменил ключи, иначе вы потеряете связь.

Endpoint — адрес сервера

Поле Endpoint указывает публичный IP-адрес или доменное имя сервера, а также порт, на котором он слушает соединения WireGuard. Например, Endpoint = vpn.example.com:51820. Это обязательное поле для клиентской конфигурации.

Вы можете изменить endpoint, если сервер переехал на другой адрес или порт. Убедитесь, что порт соответствует тому, который настроен на сервере.

AllowedIPs — какие маршруты идут через туннель

Параметр AllowedIPs определяет, какие IP-адреса и подсети должны маршрутизироваться через туннель. Это ключевой параметр для управления трафиком. Например, AllowedIPs = 0.0.0.0/0, ::/0 означает, что весь трафик (IPv4 и IPv6) пойдет через туннель (так называемый full-tunnel). Если вы хотите использовать split-tunnel, укажите только определенные подсети, например, AllowedIPs = 10.0.0.0/8.

Редактирование этого поля позволяет контролировать, какие ресурсы доступны напрямую, а какие через VPN. Будьте внимательны: если указать слишком узкий диапазон, вы можете потерять доступ к нужным ресурсам.

PersistentKeepalive — поддержание соединения

Поле PersistentKeepalive задает интервал (в секундах) отправки keepalive-пакетов для поддержания NAT-соединения. Это особенно важно, если вы находитесь за NAT или файрволом. Обычно устанавливают значение 25 секунд.

Вы можете изменить это значение, если у вас есть специфические требования, но стандартное значение 25 обычно оптимально.

Пошаговый сценарий: как правильно редактировать конфиг

Предположим, вы хотите изменить конфигурацию клиента WireGuard, чтобы использовать split-tunnel вместо full-tunnel. Вот как это сделать безопасно:

1. Сделайте резервную копию оригинального конфиг-файла.
2. Откройте файл в текстовом редакторе.
3. Найдите секцию [Peer] и параметр AllowedIPs.
4. Измените значение с 0.0.0.0/0, ::/0 на нужные подсети, например, 10.0.0.0/8.
5. Сохраните файл и перезапустите интерфейс WireGuard.

После этого проверьте, что доступ в интернет сохраняется, а внутренние ресурсы VPN доступны.

Самостоятельная проверка результата

После внесения изменений важно убедиться, что конфигурация работает корректно. Вот несколько шагов для проверки:

• Проверьте статус интерфейса командой wg show. Вы должны увидеть активный handshake и передачу данных.
• Проверьте маршруты командой ip route (или route print в Windows). Убедитесь, что маршруты соответствуют вашим AllowedIPs.
• Проверьте доступность ресурсов: пингуйте адреса внутри VPN-сети и проверьте доступ в интернет.

Если что-то не работает, вернитесь к резервной копии и проанализируйте изменения.

Ограничения и безопасность

При редактировании конфигурации важно понимать ограничения:

• Не меняйте приватные ключи без необходимости, это приведет к разрыву соединения.
• Не используйте чужие ключи — всегда генерируйте свои.
• Не публикуйте конфиг-файлы — они содержат приватные ключи и могут быть использованы злоумышленниками.

Также избегайте использования генераторов конфигов из непроверенных источников — они могут содержать вредоносные параметры. Подробнее об этом читайте в статье Бесплатные конфиги и генераторы: риски.

Часто задаваемые вопросы

В этом разделе мы ответим на распространенные вопросы, связанные с конфигурацией WireGuard.

Что делать, если после изменения AllowedIPs пропал интернет?

Скорее всего, вы указали слишком узкий диапазон AllowedIPs, и трафик, который должен идти через туннель, теперь идет напрямую. Проверьте, какие маршруты у вас настроены, и убедитесь, что они соответствуют вашим задачам. Если нужно, верните значение 0.0.0.0/0.

Можно ли использовать несколько секций [Peer] в одном файле?

Да, можно. Это удобно, если вы подключаетесь к нескольким серверам одновременно. Просто добавьте несколько секций [Peer] с разными параметрами.

Что такое PersistentKeepalive и зачем он нужен?

PersistentKeepalive — это интервал отправки keepalive-пакетов, которые поддерживают NAT-соединение. Если вы находитесь за NAT, без keepalive соединение может быть разорвано через некоторое время. Рекомендуется устанавливать значение 25 секунд.

Как изменить endpoint, если сервер сменил адрес?

Просто отредактируйте поле Endpoint в секции [Peer], указав новый адрес и порт. Убедитесь, что порт совпадает с портом, на котором слушает сервер.