Konfiguracja klienta VPN

Używamy Wireguarda (pl. Drótżnika). Trza go sobie najpierw zainstalować, a potem skonfigurować.

Instalacja zależy od systemu, ale jeśli nie grzebaliśta w jądrze to powinna być prosta (a kto grzebał i tak sobie poradzi). Oficjalna strona ma sensowną listę superkrótkich instrukcji.

Wireguarda konfiguruje się w trzech krokach:

1. Wygenerować klucze.
2. Dodać swojego klienta w konfiguracji serwera.
3. Skonfigurować swojego klienta.

Aby wygenerować klucze najlepiej wykonać poniższą sekwencję zaklęć:

wg genkey | sudo tee /etc/wireguard/private.key | wg pubkey | sudo tee /etc/wireguard/public.key

To zaklęcie powinno wypisać klucz publiczny, który będzie potrzebny w następnym kroku. Jest on też zzapisany w pliku, więc nie musisz się nim przejmować teraz.

sudo chmod og-rw /etc/wireguard/private.key

Do tego kroku potrzebujesz kogoś, kto ma dostęp administracyjny do Durrutiego – być może nawet to ty! W każdym razie, ta osoba potrzebuje dostać klucz publiczny wygenerowany w poprzednim kroku i używając go wykonać instrukcje ze strony Konfiguracja serwera VPN.

Klucz który należy tej osobie przekazać można dostać za pomocą:

cat /etc/wireguard/public.key

Powinno to wyświetlić ciąg liter i liczb zakończony znakiem równości.

W wyniku tego kroku dostaniesz od osoby go wykonującej adres IP, składający się z czterech liczb oddzielonych kropkami, który będzie potrzebny w kolejnym kroku.

To znowu do pewnego stopnia zależy od systemu, ale plik konfiguracyjny będzie zwykle pod /etc/wireguard/wg0.conf. Otwórz ów w twoim ulubionym edytorze tekstu i wpisz tamże:

[Interface]
PrivateKey = <Twój klucz prywatny>
Address = <Adres z poprzedniego kroku>/32

[Peer]
PublicKey = wM1Kh0qG4dO34sJlREvbBwQQfoMUsl1fWYEUI/BKPHA=
Endpoint = tepewu.pl:51820
AllowedIPs = 10.0.0.0/24

Należy przy tym zastąpić <Adres z poprzedniego kroku> adresem z poprzedniego kroku, a <Twój klucz prywatny> kluczem uzyskanym z polecenia

sudo cat /etc/wireguard/private.key

Ponieważ SPINKIoski są zwykle w sieciach, których nie kontrolujemy, a chcemy by były zdalnie dla nas dostępne, potrzebujemy by ich połączenie z VPNem było stałe nawet gdy same z niego nie korzystają. W tym celu trzeba do ich konfiguracji dodać linijkę:

PersistentKeepalive = 25

Po zapisaniu pliku skończyliśmy z konfiguracją, wystarczy VPNa uruchomić. Dla bezpieczeństwa warto jeszcze lekko ograniczyć dostęp do tego pliku:

sudo chmod og-rw /etc/wireguard/wg0.conf

Aby uruchomić VPNa wykonaj polecenie

sudo wg-quick up /etc/wireguard/wg0.conf

Aby sprawdzić czy działa zobacz co wypisują polecenia sudo wg oraz ping -c 4 10.0.0.1. W szczególności jeśli to drugie pisze coś co wygląda optymistycznie to raczej wszystko działa.

Aby wyłączyć VPNa wykonaj polecenia

sudo wg-quick down /etc/wireguard/wg0.conf

Raczej nie warto tego robić na własnych maszynach, ale SPINKIoski potrzebują włączać VPNa przy starcie systemu. Aby to osiągnąć należy użyć polecenia:

sudo systemctl enable wg-quick@wg0

Po takim uruchomieniu wyłączenie VPNa wymaga polecenia

sudo systemctl stop wg-quick@wg0

a ponowne włączenie

sudo systemctl start wg-quick@wg0