Postavljanje WireGuarda na Windows
Ovaj vodič objašnjava kako postaviti WireGuard VPN tunel između dva Windows računala: WireGuard poslužitelja koji radi na udaljenom Windows hostu, na primjer Windows VPS-u, i WireGuard klijenta koji radi na vašem lokalnom Windows računalu. Kada je tunel aktivan, računala razmjenjuju podatke putem šifrirane privatne veze, a po želji možete sav promet klijenta usmjeriti kroz poslužitelj.
Osnovna postava stvara tunel između poslužitelja i klijenta. Usmjeravanje cjelokupnog internetskog prometa klijenta kroz poslužitelj zahtijeva i NAT na poslužitelju, pogledajte „Konfiguracija NAT-a na poslužitelju za potpuno tuneliranje”.
Radi jednostavnijeg generiranja ključeva, ovaj vodič stvara i konfiguraciju poslužitelja i konfiguraciju klijenta unutar jedne WireGuard aplikacije, a zatim svaku konfiguracijsku datoteku postavlja na računalo kojem pripada. Konfiguracija poslužitelja radi na poslužitelju, a konfiguracija klijenta na klijentu. Poslužitelj i klijent uvijek su zasebna računala. Isti se postupak koristi za dodavanje bilo kojeg broja dodatnih klijenata.
Prije početka instalirajte najnoviju verziju WireGuarda sa stranice za instalaciju WireGuarda i na poslužitelj i na klijent te provjerite imate li administratorska prava na svakom računalu.
Postava u ovom vodiču izgleda ovako:
Poslužitelj (javni IP, sluša na UDP 51820) Adresa tunela 10.0.0.1/24 | | šifrirani WireGuard tunel | Klijent Adresa tunela 10.0.0.2/32
Izrada konfiguracije poslužitelja
Pokrenite C:\Program Files\WireGuard\wireguard.exe, kliknite Add tunnel i odaberite Add empty tunnel. WireGuard automatski generira par ključeva. Javni ključ prikazan na vrhu prozora javni je ključ poslužitelja. Trebat će vam kasnije pri konfiguriranju klijenta.
Tunelu dodijelite naziv i ispunite odjeljak Interface privatnim ključem poslužitelja, portom na kojem će WireGuard slušati i internom adresom koju će poslužitelj koristiti unutar tunela.
[Interface] PrivateKey = # privatni ključ WireGuard poslužitelja ListenPort = # port na kojem će WireGuard slušati Address = # interna IP adresa WireGuard poslužitelja, na primjer 10.0.0.1/24
Za mrežu tunela koristite privatnu podmrežu i držite poslužitelj i sve klijente u istom rasponu. Uobičajen izbor je 10.0.0.1/24 za poslužitelj te 10.0.0.2/32, 10.0.0.3/32 i tako dalje za svakog klijenta. Poslužitelj koristi prefiks /24 kako bi cijeli raspon tunela smatrao dostupnim putem WireGuard sučelja. Svaki klijent koristi /32 jer klijent predstavlja jednu adresu, a ne podmrežu. Klijent postavljen na /24 pretpostavio bi da se cijeli raspon nalazi na njegovu vlastitom sučelju i ne bi slao promet za druge adrese tunela kroz tunel.
Konfiguracija poslužitelja ne prikazuje potvrdni okvir Block untunneled traffic (kill-switch). Ta se opcija pojavljuje samo u konfiguraciji klijenta koja sav promet usmjerava kroz tunel, pogledajte „Izrada konfiguracije klijenta”.
Za dodatni sloj sigurnosti svakom peeru možete dodati unaprijed dijeljeni ključ (pre-shared key). Generirajte ga jednom i dodajte isti redak u odgovarajući odjeljak [Peer] i na poslužitelju i na klijentu:
PresharedKey = # unaprijed dijeljeni ključ, jednak na poslužitelju i klijentu
Ključ možete generirati alatom wg koji dolazi uz WireGuard:
"C:\Program Files\WireGuard\wg.exe" genpsk
Izrada konfiguracije klijenta
Kliknite Add tunnel i drugi put odaberite Add empty tunnel, ovaj put za klijenta. Javni ključ prikazan za ovaj tunel javni je ključ klijenta, koji poslužitelju treba da bi prihvatio klijenta.
Ispunite konfiguraciju klijenta:
[Interface] PrivateKey = # privatni ključ WireGuard klijenta Address = # interna IP adresa WireGuard klijenta, na primjer 10.0.0.2/32 DNS = 1.1.1.1, 1.0.0.1 [Peer] PublicKey = # javni ključ WireGuard poslužitelja AllowedIPs = # 0.0.0.0/0 za potpuni tunel ili 10.0.0.0/24 za podijeljeni tunel (split tunnel) Endpoint = # javna IP adresa i port WireGuard poslužitelja PersistentKeepalive = 25
Endpoint mora biti stvarna javna IP adresa poslužitelja zajedno s portom postavljenim u ListenPort poslužitelja, a ne interna adresa tunela. Za pomoć pri odabiru vrijednosti AllowedIPs pogledajte odjeljak „Razumijevanje AllowedIPs” u nastavku.
Redci DNS i PersistentKeepalive nisu obavezni. DNS postavlja DNS poslužitelje koji se koriste dok je tunel aktivan, što pomaže izbjeći probleme s razrješavanjem imena nakon povezivanja. Možete koristiti javne razrješivače poput 1.1.1.1, 1.0.0.1 ili 8.8.8.8, 8.8.4.4 ili DNS poslužitelj same VPN mreže. PersistentKeepalive = 25 šalje mali paket svakih 25 sekundi i pomaže održati vezu otvorenom kada je klijent iza NAT-a.
Kada konfiguracija klijenta ima jedan [Peer] i njegov AllowedIPs sadrži 0.0.0.0/0 (ili ::/0), uređivač tunela prikazuje potvrdni okvir Block untunneled traffic (kill-switch) ispod konfiguracijskog polja. Kod podijeljenog tunela, na primjer AllowedIPs = 10.0.0.0/24, potvrdni se okvir uopće ne pojavljuje.
Kill-switch je prema zadanim postavkama uključen čim unesete 0.0.0.0/0. Dok je tunel aktivan, pravila vatrozida dopuštaju samo promet koji ide kroz tunel, loopback promet, DHCP i otkrivanje susjeda IPv6 (neighbor discovery). Sve ostalo je blokirano, uključujući uređaje na vašoj lokalnoj mreži kao što su pisači i NAS. Ako je redak DNS postavljen, DNS upiti dopušteni su samo prema tamo navedenim poslužiteljima.
Isključivanje potvrdnog okvira nije samo isključivanje postavke. Uređivač prepisuje AllowedIPs: 0.0.0.0/0 postaje 0.0.0.0/1, 128.0.0.0/1, a ::/0 postaje ::/1, 8000::/1. Sav internetski promet i dalje ide kroz tunel, ali se blokirajuća pravila vatrozida ne stvaraju. Ponovni odabir potvrdnog okvira vraća 0.0.0.0/0.
Ključeve i Endpoint kopirajte vrlo pažljivo. Pogrešno upisan ključ ili pogrešan Endpoint najčešći je razlog zašto se tunel ne uspijeva povezati.
Dodavanje klijenta na poslužitelj
Ponovno otvorite konfiguraciju poslužitelja i dodajte odjeljak [Peer] za klijenta, koristeći javni ključ klijenta iz prethodnog koraka.
[Peer] PublicKey = # javni ključ WireGuard klijenta AllowedIPs = # interna IP adresa klijenta
U konfiguraciji poslužitelja AllowedIPs ima dvije uloge. Poslužitelju govori koja adresa tunela pripada ovom klijentu i djeluje kao popis usmjeravanja: svaki paket adresiran na te raspone šifrira se i šalje ovom peeru. Za jednog klijenta to je njegova adresa tunela, na primjer 10.0.0.2/32. Ako klijent treba kroz tunel učiniti dostupnom i lokalnu mrežu, i tu podmrežu dodajte ovdje, na primjer 10.0.0.2/32, 192.168.1.0/24. Ovaj korak ponovite za svakog dodatnog klijenta.
Konfiguriranje vatrozida sustava Windows na poslužitelju
Poslužitelj mora prihvaćati dolazni WireGuard promet na svom UDP portu. Otvorite Windows Defender vatrozid s naprednom sigurnošću, odaberite Dolazna pravila i kliknite Novo pravilo. Odaberite Port i kliknite Dalje. Odaberite UDP, unesite WireGuard port, na primjer 51820, i kliknite Dalje. Ako koristite više od jednog porta, navedite portove odvojene zarezima, na primjer 51820, 51821. Odaberite Dopusti vezu i kliknite Dalje. Odaberite profile na koje se pravilo odnosi. Ako je poslužitelj smješten u podatkovnom centru, obično je dovoljan profil Javno, a inače ostavite odabrane profile Domena, Privatno i Javno. Kliknite Dalje, pravilu dajte jasan naziv kao što je WireGuard UDP 51820 i kliknite Završi.
Ovo dolazno pravilo potrebno je samo na poslužitelju, jer je poslužitelj strana koja prima dolazne veze. Na VPS-u se dodatno uvjerite da vaš pružatelj hostinga dopušta dolazni UDP promet na ovom portu na razini mreže, a ne samo u vatrozidu sustava Windows.
Izvoz i postavljanje konfiguracija
Kada su obje konfiguracije spremne, kliknite Export all tunnels to zip, odaberite lokaciju i spremite.
Otvorite arhivu da biste pronašli konfiguracijske datoteke svih tunela. Konfiguraciju poslužitelja postavite na poslužitelj, a svakom klijentu dajte njegovu vlastitu konfiguracijsku datoteku. Ako računalo sadrži mnogo tunela, pojedinačni tunel možete izvesti i iz njegova kontekstnog izbornika. Izvoz u zip datoteku praktičan je kada su oba tunela stvorena na istom računalu, kao u ovom vodiču. Ako svaku konfiguraciju stvarate izravno na njezinu hostu, izvoz nije potreban i konfiguracijsku datoteku možete ručno kopirati.
Na poslužitelju odaberite konfiguraciju poslužitelja i kliknite Activate.
Na klijentu kliknite Add Tunnel, odaberite konfiguracijsku datoteku klijenta i otvorite je.
Zatim kliknite Activate.
Prvi klijent sada je konfiguriran. Dodatne klijente dodajte na isti način: za svakog klijenta stvorite novi prazni tunel i u konfiguraciju poslužitelja dodajte odgovarajući odjeljak [Peer] s javnim ključem i adresom tunela tog klijenta, kako je opisano u „Dodavanje klijenta na poslužitelj”.
Ako WireGuard na udaljenom poslužitelju konfigurirate putem RDP sesije, prije aktiviranja tunela koji usmjerava sav promet pročitajte odjeljak „Razumijevanje AllowedIPs”. Konfiguracija s AllowedIPs = 0.0.0.0/0 može promet samog poslužitelja preusmjeriti u tunel i prekinuti vašu RDP vezu.
Provjera veze
Nakon aktiviranja tunela Windows može prikazati WireGuard adapter kao „Nema pristupa mreži” ili „Nema pristupa internetu” u Centru za mreže i dijeljenje. To je očekivano ponašanje jer Windows ne tretira adaptere VPN tunela kao standardne internetske veze, i ne utječe na tunel. Windows taj status utvrđuje svojom provjerom povezivosti, koja ispituje određene Microsoftove URL-ove, pa se upozorenje može pojaviti i ako su ti upiti blokirani ili ih vaš DNS ne razriješi, čak i kada tunel radi.
Da biste potvrdili da tunel radi, provjerite njegov status u WireGuard klijentu. Aktivan tunel prikazuje status Active zajedno s brojačima prijenosa podataka. Ako brojači rastu, tunel propušta promet.
Na poslužitelju također možete potvrditi da WireGuard sluša na svom UDP portu dok je tunel aktivan:
netstat -ano | findstr 51820
U PowerShellu je istovjetna naredba:
Get-NetUDPEndpoint -LocalPort 51820
Zamijenite 51820 svojim WireGuard portom. Ako se ne vrati ništa, tunel nije aktivan ili se port razlikuje od onog postavljenog u konfiguraciji poslužitelja.
Zatim otvorite naredbeni redak i pošaljite ping na internu adresu tunela poslužitelja:
ping 10.0.0.1
Zamijenite 10.0.0.1 stvarnom internom IP adresom koju ste postavili za poslužitelj. Ako poslužitelj odgovori, promet prolazi kroz tunel. Ako nema odgovora, prvo provjerite handshake: vatrozid sustava Windows na Windows Serveru prema zadanim postavkama blokira dolazni ping, pa izostanak odgovora ne znači uvijek da tunel ne radi.
Ako klijent koristi AllowedIPs = 0.0.0.0/0, možete također potvrditi da se promet usmjerava kroz tunel:
tracert 8.8.8.8
Prvi skok trebala bi biti interna IP adresa WireGuard poslužitelja.
Provjera WireGuard handshakea
Handshake je najkorisniji pokazatelj pri dijagnosticiranju WireGuard veze. U WireGuard aplikaciji otvorite tunel i pratite polje Latest handshake. Na tunelu koji radi handshake se pojavljuje unutar nekoliko sekundi od aktivacije, a zatim se povremeno ažurira dok se prenose podaci. Ako je tunel u mirovanju, između handshakeova može proći neko vrijeme pa je kratka stanka normalna. Ako polje ostane prazno, peerovi ne mogu doprijeti jedan do drugoga, što obično upućuje na pogrešan Endpoint, zatvoren UDP port ili ključeve koji se ne podudaraju.
Handshake možete provjeriti i iz naredbenog retka alatom wg koji dolazi uz WireGuard:
wg show
Izlaz navodi svakog peera zajedno s vremenom posljednjeg handshakea i brojačima prijenosa.
Razumijevanje AllowedIPs
Vrijednost AllowedIPs u konfiguraciji klijenta određuje koji se promet šalje kroz tunel. Ukratko, na klijentu AllowedIPs određuje koji se paketi šalju u tunel, dok na poslužitelju određuje koji se paketi prihvaćaju od određenog klijenta i kamo se usmjeravaju.
Vrijednost 0.0.0.0/0 usmjerava sav promet kroz tunel, uključujući uobičajeno pregledavanje interneta. Koristite je kada želite potpunu zaštitu prometa. Da bi taj promet stigao do interneta, poslužitelj ga mora prevesti. Pogledajte „Konfiguracija NAT-a na poslužitelju za potpuno tuneliranje” u nastavku.
Vrijednost poput 10.0.0.0/24 kroz tunel usmjerava samo promet interne mreže, dok uobičajeni internetski promet i dalje koristi normalnu vezu. Koristite je kada trebate pristupiti samo određenim resursima na udaljenoj mreži.
Možete navesti nekoliko podmreža odvojenih zarezima, na primjer 10.0.0.0/24, 192.168.1.0/24.
Opcija Block untunneled traffic (kill-switch) u uređivaču tunela u potpunosti djeluje uz AllowedIPs = 0.0.0.0/0. Blokira sve što bi putovalo izvan tunela, a time blokira i lokalnu mrežu. Ako trebate pristup pisačima ili drugim uređajima na LAN-u, ostavite kill-switch isključenim.
Postavka AllowedIPs = 0.0.0.0/0 šalje svaku vezu kroz tunel. Ako je primijenite na udaljenom poslužitelju kojim upravljate putem RDP-a, RDP sesija može pasti čim tunel postane aktivan, jer se promet poslužitelja preusmjerava. Na poslužitelju kojem se pristupa putem RDP-a usmjeravajte samo podmreže koje trebate i testirajte s uskom vrijednošću AllowedIPs prije prelaska na 0.0.0.0/0.
Pristup lokalnoj mreži dok je tunel aktivan
Kod podijeljenog tunela, na primjer AllowedIPs = 10.0.0.0/24, lokalna mreža nastavlja raditi kao i obično i ništa se ne mora mijenjati. Koraci u nastavku odnose se na potpuni tunel.
Najjednostavnija je opcija isključiti potvrdni okvir Block untunneled traffic (kill-switch) u uređivaču tunela klijenta. Uređivač zamjenjuje 0.0.0.0/0 vrijednošću 0.0.0.0/1, 128.0.0.0/1. Vaša lokalna podmreža, na primjer 192.168.1.0/24, ima specifičniju rutu preko fizičkog adaptera, pa Windows promet LAN-a šalje izravno u lokalnu mrežu, dok internetski promet i dalje ide kroz tunel. Cijena toga je da ništa ne blokira promet ako tunel padne.
Ako želite biti sigurni da promet LAN-a nikada ne ulazi u tunel, lokalni raspon izričito isključite iz AllowedIPs. Na primjer, sljedeća vrijednost pokriva svaku IPv4 adresu osim 192.168.0.0/16:
AllowedIPs = 0.0.0.0/1, 128.0.0.0/2, 192.0.0.0/9, 192.128.0.0/11, 192.160.0.0/13, 192.169.0.0/16, 192.170.0.0/15, 192.172.0.0/14, 192.176.0.0/12, 192.192.0.0/10, 193.0.0.0/8, 194.0.0.0/7, 196.0.0.0/6, 200.0.0.0/5, 208.0.0.0/4, 224.0.0.0/3
Ako vaša lokalna mreža koristi drugi raspon, kao što je 10.x.x.x ili 172.16.x.x, izračunajte popis za taj raspon pomoću kalkulatora AllowedIPs i pazite da je podmreža tunela i dalje uključena. Budući da ta vrijednost nema rutu /0, kill-switch uz nju nije dostupan.
Info Izbjegavajte korištenje iste podmreže za tunel i lokalnu mrežu. Ako je vaša kućna mreža 10.0.0.0/24, odaberite drugi raspon za tunel, na primjer 10.8.0.0/24.
Za pristup mreži iza poslužitelja, na primjer uredskom LAN-u 192.168.10.0/24, poslužitelju nije potreban dodatni unos jer već ima rutu prema vlastitom LAN-u. Na klijentu je dodajte u AllowedIPs u odjeljku [Peer], na primjer AllowedIPs = 10.0.0.0/24, 192.168.10.0/24. Poslužitelj ujedno mora proslijediti i prevesti taj promet, pogledajte „Konfiguracija NAT-a na poslužitelju za potpuno tuneliranje”. Uređaji u tom LAN-u odgovaraju na LAN adresu poslužitelja, pa je NAT na poslužitelju najjednostavniji način da se odgovori vrate kroz tunel.
Konfiguracija NAT-a na poslužitelju za potpuno tuneliranje
Ako klijenti koriste AllowedIPs = 0.0.0.0/0 i želite da njihov promet doista stigne do interneta kroz poslužitelj, poslužitelj mora prevesti interne WireGuard adrese u vlastitu vanjsku adresu. U sustavu Windows to se radi naredbom New-NetNat, a ne skriptama PostUp i PostDown koje se koriste na Linuxu.
Otvorite PowerShell kao administrator na poslužitelju i pokrenite sljedeće, koristeći podmrežu tunela koju ste dodijelili poslužitelju:
New-NetNat -Name WireGuardNAT -InternalIPInterfaceAddressPrefix 10.0.0.0/24
Zamijenite 10.0.0.0/24 podmrežom svog tunela i pazite da prefiks pokriva svaku adresu klijenta koju dodijelite. Klijent izvan tog raspona, na primjer 10.0.1.2, ne bi bio obuhvaćen ovim pravilom. Aktivna pravila možete pregledati u bilo kojem trenutku:
Get-NetNat
Da biste kasnije uklonili NAT pravilo, pokrenite:
Remove-NetNat -Name WireGuardNAT
Ako se klijenti povežu i handshake uspije, ali njihov internetski promet i dalje ne prolazi kroz poslužitelj, omogućite prosljeđivanje IP-a (IP forwarding) na sučeljima uključenim u usmjeravanje i ponovno testirajte. Točan oblik ovisi o verziji sustava Windows, na primjer:
Set-NetIPInterface -InterfaceAlias "Ethernet" -Forwarding Enabled
Primijenite to na vanjsko sučelje koje nosi internetski promet i na WireGuard sučelje, koristeći njihove stvarne nazive iz naredbe Get-NetIPInterface.
New-NetNat zahtijeva Windows 10, Windows 11 ili Windows Server 2016 i novije, a na nekim sustavima zahtijeva da je omogućena značajka Hyper-V, čak i ako Hyper-V inače ne koristite. Na nekim VPS paketima Hyper-V se ne može omogućiti, što onemogućuje ovu metodu. Je li New-NetNat sam dovoljan ili se mora omogućiti i prosljeđivanje IP-a, može ovisiti o verziji sustava Windows, stoga to provjerite na svom poslužitelju kada potpuno tuneliranje ne radi.
Rješavanje problema
Tunel je aktivan, ali nema veze s poslužiteljem. Provjerite je li WireGuard UDP port, na primjer 51820, otvoren u vatrozidu na poslužitelju. Potvrdite da su javni ključevi ispravno kopirani između konfiguracija poslužitelja i klijenta. Provjerite da Endpoint u konfiguraciji klijenta upućuje na stvarnu javnu IP adresu poslužitelja, a ne na internu adresu tunela.
DNS ne radi nakon povezivanja. Dodajte DNS poslužitelj u odjeljak Interface klijenta:
[Interface] PrivateKey = ... Address = ... DNS = 1.1.1.1, 1.0.0.1
Brojači paketa ne rastu. Tunel ne propušta podatke. Provjerite je li AllowedIPs ispravno postavljen na obje strane, ne sukobljavaju li se interne WireGuard adrese s postojećom lokalnom mrežom i koristi li već neka druga aplikacija ListenPort.
Potvrdni okvir kill-switcha ne može se isključiti. Uređivač prepisuje AllowedIPs samo kada može pročitati cijelu konfiguraciju. Provjerite sadrži li odjeljak [Peer] valjan javni ključ kopiran s poslužitelja i nalazi li se svaka postavka u zasebnom retku, a zatim pokušajte ponovno.
Trebate više pojedinosti za dijagnosticiranje problema. Otvorite tunel u WireGuard aplikaciji i pogledajte karticu Log, koja bilježi handshakeove, pogreške i događaje veze dok se događaju. Odatle možete izvesti zapisnik ako ga trebate podijeliti.
Automatsko pokretanje WireGuarda nakon ponovnog pokretanja poslužitelja
Da bi tunel radio i nakon ponovnih pokretanja, instalirajte ga kao Windows servis. Kada je tunel instaliran kao servis, automatski se pokreće nakon ponovnog pokretanja. Otvorite naredbeni redak ili PowerShell kao administrator i pokrenite sljedeće, koristeći putanju do konfiguracijske datoteke poslužitelja:
wireguard /installtunnelservice "C:\Program Files\WireGuard\wg_server.conf"
Ovu naredbu pokrenite samo jednom, a ne pri svakom pokretanju. Aktiviranje tunela iz WireGuard aplikacije obično instalira isti servis, pa je u mnogim slučajevima dovoljno aktivirati ga jednom. Da biste servis kasnije uklonili, koristite naziv tunela, a to je naziv konfiguracijske datoteke bez nastavka .conf.
wireguard /uninstalltunnelservice wg_server
Za ponovno pokretanje servisa, na primjer nakon uređivanja konfiguracije, pokrenite naredbu za deinstalaciju, a zatim ponovno naredbu za instalaciju.
Budući da tunel radi kao servis, zaseban zadatak u Planeru zadataka nije potreban.
Ponovno pokrenite poslužitelj i provjerite pokreće li se tunel sam.
