Налаштування сервера WireGuard на маршрутизаторах GL.iNet

WireGuard® — простий, швидкий і сучасний VPN, який використовує передову криптографію. Його розроблено, щоб бути швидшим, простішим, легшим і кориснішим за IPSec без зайвих складнощів та значно перевершувати OpenVPN за продуктивністю.

Щоб налаштувати сервер WireGuard на маршрутизаторі GL.iNet, перегляньте відео або виконайте наведені нижче дії.

Перевірка наявності публічної IP-адреси

За цією інструкцією перевірте, чи ваш інтернет-провайдер надає публічну IP-адресу.

Якщо ні, маршрутизатор не можна налаштувати як сервер WireGuard.

Альтернативні способи:

1. Якщо у вас є основний маршрутизатор, увійдіть у нього та перевірте, чи отримує він публічну IP-адресу від провайдера.
2. Попросіть провайдера надати публічну IP-адресу. За це може стягуватися додаткова плата.
3. Якщо ці два способи не працюють (наприклад, мережа перебуває за CGNAT), можна спробувати наше рішення SD-WAN AstroWarp.

Перевірка потреби в перенаправленні портів

Топологія мережі

GL.iNet — основний маршрутизатор

• Якщо GL.iNet — основний маршрутизатор мережі, перенаправлення портів не потрібне. Перейдіть до наступного кроку.

GL.iNet — додатковий маршрутизатор

• Якщо в мережі вже є основний маршрутизатор, а GL.iNet налаштовано як додатковий, налаштуйте перенаправлення портів на основному маршрутизаторі.

• Якщо в мережі вже є основний маршрутизатор, а GL.iNet розташований на кілька рівнів нижче нього, налаштуйте перенаправлення портів на кожному проміжному рівні.

Налаштування сервера WireGuard

Увійдіть у вебпанель адміністрування та перейдіть до VPN -> WireGuard Server.

1. Натисніть Generate Configuration (лише під час початкового налаштування сервера VPN).

   

2. Перевірте конфігурацію.

   Конфігурація за замовчуванням підходить для більшості випадків, як показано нижче. Якщо IPv4-адреса не конфліктує зі шлюзом маршрутизатора вищого рівня, змінювати її не потрібно.

   

   (На GL.iNet IPv6 вимкнено за замовчуванням. Щоб використовувати IPv6-адресу, увімкніть IPv6 на маршрутизаторі.)

   IPv4-адреса — це IP-адреса тунелю сервера WireGuard. Якщо вона конфліктує зі шлюзом маршрутизатора вищого рівня, змініть її, наприклад на 10.1.0.1/24, і натисніть Apply. Обов’язково вкажіть суфікс CIDR "/24", щоб уникнути проблем зі з’єднанням.

   

   Наприклад, якщо вище маршрутизатора GL.iNet розташований маршрутизатор Xfinity, його IP-адреса може бути 10.0.0.1. Вона може конфліктувати з IP-адресою тунелю сервера WireGuard на GL.iNet, тому можуть знадобитися зазначені зміни. Якщо конфлікту немає, пропустіть цей крок.

   

3. Додайте профіль.

   Відкрийте вкладку Profiles і натисніть Add, щоб створити профіль для пристрою.

   

   Задайте зрозумілу назву та натисніть Apply, щоб продовжити.

   

   Якщо потрібні додаткові налаштування, натисніть Set More. Потім натисніть Apply, щоб продовжити.

   

   Додавання правил маршрутизації за потреби

   У більшості випадків додавати правила маршрутизації не потрібно.

   Щоб отримувати із сервера доступ до пристроїв LAN клієнта WireGuard, відкрийте вкладку Route Rules на сторінці WireGuard Server і налаштуйте правила маршрутизації. Додаткові інструкції наведено тут.

   

   Інакше перейдіть до кроку 4, щоб завантажити конфігурацію клієнта.

4. Завантажте конфігурацію.

   Після додавання профілю та застосування налаштувань буде створено конфігурацію в трьох форматах: QR-код, звичайний текст і файл .conf. Виберіть зручний спосіб отримання конфігурації.

   • QR code: Підходить для кінцевих пристроїв (наприклад, смартфона, планшета або ноутбука), на яких установлено застосунок WireGuard. Щоб налаштувати пристрій як клієнт WireGuard, відкрийте застосунок WireGuard і відскануйте QR-код. Конфігурацію буде імпортовано автоматично.

     

   • Plain text: У текстовому форматі можна переглянути конфігурацію та скопіювати її для налаштування вручну, наприклад у застосунку WireGuard або на маршрутизаторі GL.iNet.

     

   • Файл .conf: Натисніть Download, щоб зберегти файл .conf на своєму пристрої. Його можна безпосередньо завантажити в застосунок WireGuard або на маршрутизатор GL.iNet.

     

   За потреби виберіть адресу сервера: публічну IP-адресу, домен DDNS або поточну IP-адресу WAN. Ця функція доступна починаючи з прошивки v4.8. Після зміни адреса сервера у файлі конфігурації оновиться одночасно.

   Наприклад, якщо публічна IP-адреса мережі часто змінюється, рекомендовано ввімкнути DDNS і використовувати домен DDNS як адресу сервера.

   

5. Запустіть сервер WireGuard.

   Натисніть кнопку Start угорі праворуч, щоб запустити сервер WireGuard.

   

   Стан з’єднання відображатиметься на цій самій сторінці.

   

Перевірка роботи сервера WireGuard

Перевірка стану сервера

Починаючи з прошивки v4.8, стан з’єднання сервера можна перевірити на сторінці WireGuard Server.

Якщо відображаються статистика передавання та завантаження трафіку й підключені пристрої, сервер WireGuard працює та має підключених клієнтів WireGuard.

Якщо відображається 0 трафіку та 0 клієнтів, жоден клієнт WireGuard не підключений.

Для прошивки v4.7 та раніших версій перевіряйте стан з’єднання сервера на сторінці VPN Dashboard.

Перевірка IP-адреси клієнта

Щоб перевірити успішне підключення до сервера, імпортуйте експортовану конфігурацію WireGuard на пристрій в іншій мережі, поза локальною мережею сервера. Відкрийте веббраузер і перевірте свою IP-адресу та місце розташування. Якщо вони відповідають IP-адресі та місцю розташування сервера VPN, а не вашого інтернет-провайдера, з’єднання VPN успішне.

Найпростіше скористатися смартфоном з офіційним застосунком WireGuard. Спочатку вимкніть Wi-Fi на смартфоні та підключіться до інтернету лише через стільникові дані (4G/5G). Відкрийте застосунок WireGuard, імпортуйте файл конфігурації та встановіть з’єднання. Перевірте, чи має смартфон доступ до інтернету та чи відповідає його IP-адреса IP-адресі сервера WireGuard.

Якщо підключення не вдається, можливі такі поширені причини:

• Інтернет-провайдер не надає публічну IP-адресу. Перевірте це тут.
• Може бути потрібне перенаправлення портів. Перевірте це тут.
• Інтернет-провайдер блокує порт сервера WireGuard. Виберіть інший порт або зверніться до провайдера по допомогу.
• У деяких країнах або регіонах з’єднання VPN можуть блокуватися.

Параметри сервера

Параметри сервера містять додаткові налаштування, зокрема віддалений доступ до LAN сервера та маскарадинг IP. Налаштуйте їх відповідно до потреб.

Для прошивки v4.8 та новіших версій відкрийте WireGuard Server і натисніть Options угорі праворуч.

Для прошивки v4.7 та раніших версій відкрийте VPN Dashboard -> VPN Server і натисніть значок шестірні, щоб відкрити параметри WireGuard.

У спливному вікні відобразяться такі функції.

• Allow Remote Access to the LAN Subnet: Якщо ввімкнено, ресурси підмережі LAN сервера доступні через тунель VPN.

• IP Masquerading: Якщо ввімкнено, IP-адреси джерела трафіку клієнтів LAN замінюються IP-адресою тунелю VPN маршрутизатора. Вимикайте цей параметр лише для з’єднань між мережами (site-to-site), коли віддалений вузол знає ваші підмережі LAN.

• MTU: Maximum Transmission Unit — максимальний розмір одиниці передавання. Задане для тунелю значення MTU перевизначає налаштування MTU у файлі конфігурації.

• Client to Client: Якщо ввімкнено, клієнти VPN цього сервера можуть отримувати доступ один до одного за своїми IP-адресами тунелів VPN.

  Client‑to‑Client оголошує лише IP-адресу тунелю кожного клієнта. Локальні підмережі LAN за клієнтами VPN не стають доступними автоматично. Щоб дозволити клієнтам доступ до LAN один одного, додайте правила маршрутизації на сервері VPN для оголошення цих віддалених підмереж LAN.

Установлення застосунку WireGuard

Завантажте застосунок WireGuard з офіційного вебсайту WireGuard.

---

WireGuard® — зареєстрована торговельна марка Jason A.Donenfeld.

---

Маєте запитання? Відвідайте наш форум спільноти або зв’яжіться з нами.