「WireGuard」の版間の差分

PresharedKey

$ wg genkey > privatekey

$ wg pubkey < privatekey > publickey

$ wg genkey | tee privatekey | wg pubkey > publickey

# wg genpsk > preshared

# ip link add dev wg0 type wireguard
# ip addr add 10.0.0.1/24 dev wg0
# wg set wg0 listen-port 48574 private-key ./privatekey
# wg set wg0 peer [Peer B public key] persistent-keepalive 25 allowed-ips 10.0.0.2/32 endpoint 10.10.10.2:39814
# ip link set wg0 up

# ip link add dev wg0 type wireguard
# ip addr add 10.0.0.2/24 dev wg0
# wg set wg0 listen-port 39814 private-key ./privatekey
# wg set wg0 peer [Peer A public key] persistent-keepalive 25 allowed-ips 10.0.0.1/32 endpoint 10.10.10.1:48574
# ip link set wg0 up

peer-a$ wg
interface: wg0
  public key: UguPyBThx/+xMXeTbRYkKlP0Wh/QZT3vTLPOVaaXTD8=
  private key: (hidden)
  listening port: 48574

peer: 9jalV3EEBnVXahro0pRMQ+cHlmjE33Slo9tddzCVtCw=
  endpoint: 10.10.10.2:39814
  allowed ips: 10.0.0.2/32

 peer-a$ ping 10.0.0.2

# wg showconf wg0 > /etc/wireguard/wg0.conf
# wg setconf wg0 /etc/wireguard/wg0.conf

/etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/32
PrivateKey = [CLIENT PRIVATE KEY]
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
AllowedIPs = 10.0.0.0/24, 10.123.45.0/24, 1234:4567:89ab::/48
Endpoint = [SERVER ENDPOINT]:51820
PersistentKeepalive = 25
/etc/systemd/network/30-wg0.netdev
[NetDev]
Name = wg0
Kind = wireguard
Description = Wireguard

[WireGuard]
PrivateKey = [CLIENT PRIVATE KEY]

[WireGuardPeer]
PublicKey = [SERVER PUBLIC KEY]
PresharedKey = [PRE SHARED KEY]
AllowedIPs = 10.0.0.0/24
Endpoint = [SERVER ENDPOINT]:51820
PersistentKeepalive = 25
/etc/systemd/network/30-wg0.network
[Match]
Name = wg0

[Network]
Address = 10.0.0.3/32
DNS = 10.0.0.1

[Route]
Gateway = 10.0.0.1
Destination = 10.0.0.0/24
# sysctl net.ipv4.ip_forward=1

/etc/wireguard/wg0.conf
[Interface]
Address = 10.200.200.1/24
SaveConfig = true
ListenPort = 51820
PrivateKey = [SERVER PRIVATE KEY]
MTU = 1420

# note - substitute eth0 in the following lines to match the Internet-facing interface
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# client foo
PublicKey = [FOO's PUBLIC KEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 10.200.200.2/32

[Peer]
# client bar
PublicKey = [BAR's PUBLIC KEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 10.200.200.3/32
# systemctl start wg-quick@wg0

foo.conf
[Interface]
Address = 10.200.200.2/24
PrivateKey = [FOO's PRIVATE KEY]
DNS = 10.200.200.1
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 0.0.0.0/0
Endpoint = my.ddns.address.com:51820
bar.conf
[Interface]
Address = 10.200.200.3/24
PrivateKey = [BAR's PRIVATE KEY]
DNS = 10.200.200.1
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 0.0.0.0/0
Endpoint = my.ddns.address.com:51820
$ qrencode -t ansiutf8 < foo.conf

$ nc -vvlnp 2222

$ dd if=/dev/zero bs=1024K count=1024 | nc -v 10.0.0.203 2222

# wg
interface: wg0
  public key: UguPyBThx/+xMXeTbRYkKlP0Wh/QZT3vTLPOVaaXTD8=
  private key: (hidden)
  listening port: 51820

peer: 9jalV3EEBnVXahro0pRMQ+cHlmjE33Slo9tddzCVtCw=
  preshared key: (hidden)
  endpoint: 192.168.1.216:53207
  allowed ips: 10.0.0.0/0
  latest handshake: 1 minutes, 17 seconds ago
  transfer: 56.43 GiB received, 1.06 TiB sent
PostUp = wg set %i private-key <(su user -c "export PASSWORD_STORE_DIR=/path/to/your/store/; pass WireGuard/private-keys/%i")

/etc/systemd/system/wireguard_reresolve-dns.timer
[Unit]
Description=Periodically reresolve DNS of all WireGuard endpoints

[Timer]
OnCalendar=*:*:0/30

[Install]
WantedBy=timers.target
/etc/systemd/system/wireguard_reresolve-dns.service
[Unit]
Description=Reresolve DNS of all WireGuard endpoints
Wants=network-online.target
After=network-online.target

[Service]
Type=oneshot
ExecStart=/bin/sh -c 'for i in /etc/wireguard/*.conf; do /usr/share/wireguard/examples/reresolve-dns/reresolve-dns.sh "\$i"; done'
$ qrencode -t ansiutf8 -r client.conf

# modprobe wireguard
# echo module wireguard +p > /sys/kernel/debug/dynamic_debug/control

# wg syncconf ${WGNET} <(wg-quick strip ${WGNET})

/etc/NetworkManager/conf.d/unmanaged.conf
[keyfile]
unmanaged-devices=interface-name:wg0
foo.config
[Interface]
Address = 10.200.200.2/24
MTU = 1420
PrivateKey = PEER_FOO_PRIVATE_KEY
DNS = 10.200.200.1
# wg-quick up wg0
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
Key is not the correct length or format: `/path/example.key'
Configuration parsing error
[#] ip link delete dev wg0

# Set the persistent-keepalive via command line (temporarily)
[#] wg set wg0 peer $PUBKEY persistent-keepalive 25

ip route add <endpoint ip> via <gateway> dev <network interface>

ip route add 203.0.113.102 via 192.168.0.1 dev eth0

/etc/NetworkManager/dispatcher.d/50-wg0.sh
#!/bin/sh
case $2 in
  up)
    wg-quick up wg0
    ip route add <endpoint ip> via $IP4_GATEWAY dev $DEVICE_IP_IFACE
    ;;
  pre-down)
    wg-quick down wg0
    ;;
esac
/etc/NetworkManager/conf.d/rc-manager.conf
[main]
rc-manager=resolvconf
/etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.2/24  # The client IP from wg0server.conf with the same subnet mask
PrivateKey = [CLIENT PRIVATE KEY]
PostUp = resolvectl domain %i "~."; resolvectl dns %i 10.0.0.1; resolvectl dnssec %i yes
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
AllowedIPs = 0.0.0.0/0, ::0/0
Endpoint = [SERVER ENDPOINT]:51820
PersistentKeepalive = 25

	Peer A	Peer B
外部 IP アドレス	10.10.10.1/24	10.10.10.2/24
内部 IP アドレス	10.0.0.1/24	10.0.0.2/24
wireguard 使用ポート	UDP/48574	UDP/39814

@@ 1行目: / 1行目: @@
-[[Category:Virtual Private Network]]
+[[Category:仮想プライベートネットワーク]]
 [[en:WireGuard]]
 [[zh-hans:WireGuard]]
+{{Related articles start}}
+{{Related|Linux Containers で OpenVPN クライアント}}
+{{Related articles end}}
 [https://www.wireguard.com/ WireGuard] のホームページより:
 :Wireguard は最先端の暗号技術を使用する非常にシンプルで高速な VPN です。IPSec よりも高速・単純・軽量・有用であることを目指しており、面倒なことを避けています。OpenVPN と比べると高いパフォーマンスを発揮します。WireGuard は組み込みインターフェイスからスーパーコンピュータまで様々な環境に対応する汎用の VPN として設計されています。最初は Linux カーネル用にリリースされましたが、現在はクロスプラットフォーム（Windows、macOS、BSD、iOS、Android）であり、広く展開できます。
-この記事で使用されている主な概念の大まかな紹介は、[https://www.wireguard.com/ WireGuard] のプロジェクトホームページにあります。 WireGuard は、2020年3月から Linux カーネルに組み込まれています。
+この記事で使用されている主な概念の大まかな紹介は、[https://www.wireguard.com/ WireGuard] のプロジェクトホームページにあります。 WireGuard は、2019年後半から Linux カーネルに組み込まれています。
 == インストール ==
@@ 17行目: / 20行目: @@
 * {{App|Qomui|高度な機能と複数のプロバイダーのサポートを備えた OpenVPN GUI。|https://github.com/corrad1nho/qomui|{{AUR|qomui}}}}
-=== Command-line tools ===
+=== コマンドラインツール ===
-* {{App|wg_tool|Tool to manage wireguard configs for server and users.|https://github.com/gene-git/wg_tool|{{AUR|wg_tool}}}}
+* {{App|wg_tool|サーバーとユーザーの wireguard 設定を管理するツール。|https://github.com/gene-git/wg_tool|{{AUR|wg_tool}}}}
 == 使用方法 ==
@@ 65行目: / 68行目: @@
  # wg genpsk > preshared
+=== 手動設定 ===
 ==== Peer A の設定 ====
@@ 87行目: / 91行目: @@
  # ip link set wg0 up
-==== 基本チェック ====
+=== 基本チェック ===
 パラメータを付けずに wg コマンドを呼び出すことで現在の設定を確認できます。
@@ 105行目: / 109行目: @@
   peer-a$ ping 10.0.0.2
-==== 設定の永続化 ====
+=== 設定の永続化 ===
 {{ic|showconf}} を使うことで設定を保存できます:
@@ 158行目: / 162行目: @@
 }}
-== VPN サーバーの設定 ==
+== 特定のユースケース: VPN サーバー ==
 このセクションでは [[OpenVPN]] などと同じように暗号化されたトンネルを使ってサーバー・ネットワークリソースにアクセスできるようにするため、WireGuard の「サーバー」と汎用的な「クライアント」を設定します。サーバーは Linux で稼働させますがクライアントのプラットフォームは複数選択できます (WireGuard プロジェクトは Linux ネイティブや macOS のソフトウェアに加えて iOS や Android プラットフォームのアプリも提供しています)。詳しくは公式プロジェクトの [https://www.wireguard.com/install/ インストールリンク] を見てください。
@@ 255行目: / 259行目: @@
 {{Note|[[NetworkManager]] を使用している場合、{{ic|NetworkManager-wait-online.service}} を、[[systemd-networkd]] を使用している場合、{{ic|systemd-networkd-wait-online.service}} を有効化することでネットワーク接続が有効になってからサービスが実行されるようになります。}}
+== トンネルのテスト ==
+トンネルが確立されたら、[[netcat]]を使ってトラフィックを送り、スループットや CPU 使用率などをテストすることができます。
+トンネルの片側で {{ic|nc}} を listen モードで実行し、もう片側で {{ic|/dev/zero}} から送信モードの {{ic|nc}} にデータをパイプします。
+以下の例では、ポート 2222 がトラフィックに使用されています（ファイアウォールを使用している場合は、ポート2222のトラフィックを必ず許可してください）。
+トンネルの片側で、トラフィックを確認する。
+ $ nc -vvlnp 2222
+トンネルの向こう側では、トラフィックを送ってください。
+ $ dd if=/dev/zero bs=1024K count=1024 | nc -v 10.0.0.203 2222
+状態の監視は {{ic|wg}} で直接行うことができます。
+{{hc|# wg|2=
+interface: wg0
+  public key: UguPyBThx/+xMXeTbRYkKlP0Wh/QZT3vTLPOVaaXTD8=
+  private key: (hidden)
+  listening port: 51820
+peer: 9jalV3EEBnVXahro0pRMQ+cHlmjE33Slo9tddzCVtCw=
+  preshared key: (hidden)
+  endpoint: 192.168.1.216:53207
+  allowed ips: 10.0.0.0/0
+  latest handshake: 1 minutes, 17 seconds ago
+  transfer: 56.43 GiB received, 1.06 TiB sent
+}}
 == ヒントとテクニック ==
@@ 304行目: / 339行目: @@
 上記ファイルを作成したら {{ic|wireguard_reresolve-dns.timer}} を[[起動]]・[[有効化]]してください。
-=== Generate QR code ===
+=== QR コードを生成 ===
+クライアントが電話などのモバイル デバイスの場合、{{Pkg|qrencode}} を使用してクライアントの設定 QR コードを生成し、端末に表示できます。
-If the client is a mobile device such as a phone, {{Pkg|qrencode}} can be used to generate client's configuration QR code and display it in terminal:
  $ qrencode -t ansiutf8 -r ''client.conf''
+=== デバッグログを有効にする ===
-=== Enable debug logs ===
+ダイナミックデバッグをサポートするカーネル上で Linux カーネルモジュールを使用する場合、実行することでデバッグ情報をカーネルリングバッファ（[[dmesg]] や [[journalctl]] で表示可能）に書き込むことができます。
-When using the Linux kernel module on a kernel that supports dynamic debugging, debugging information can be written into the kernel ring buffer (viewable with [[dmesg]] and [[journalctl]]) by running:
  # modprobe wireguard
  # echo module wireguard +p > /sys/kernel/debug/dynamic_debug/control
+=== ピア(サーバー)設定の再読み込み ===
-=== Reload peer (server) configuration ===
+WireGuard ピア（主にサーバ）が設定から他のピアを追加または削除し、アクティブなセッションを停止せずに再読み込みしたい場合、次のコマンドを実行することができます:
-In case the WireGuard peer (mostly server) adding or removing another peers from its configuration and wants to reload it without stopping any active sessions, one can execute the following command to do it:
  # wg syncconf ${WGNET} <(wg-quick strip ${WGNET})
-Where {{ic|$WGNET}} is WireGuard interface name or configuration base name, for example {{ic|wg0}} (for server) or {{ic|client}} (without the ''.conf'' extension, for client).
+ここで、{{ic|$WGNET}} は WireGuard インターフェース名または設定ベース名です。例えば、{{ic|wg0}}(サーバー用) または {{ic|client}} です。(クライアント用には ''.conf'' という拡張子をつけません)。
-{{Expansion|Show how to do this with other network managers from [[#Persistent configuration]].}}
 == トラブルシューティング ==
@@ 336行目: / 369行目: @@
 [keyfile]
 unmanaged-devices=interface-name:wg0
 }}
+=== DNS 解析の不具合について ===
+すべてのトラフィックを WireGuard インターフェイスでトンネリングする場合、しばらくすると、または新規接続時に接続が失われたように見えることがあります。これは、[[ネットワークマネージャ]]または [[DHCP]] クライアントが {{ic|/etc/resolv.conf}} を上書きすることによって発生した可能性があります。
+デフォルトでは ''wg-quick'' は新しい [[DNS]] エントリを登録するために ''resolvconf'' を使用します (設定ファイルの {{ic|DNS}} キーワードから).これは、''resolvconf'' を使用しない[[ネットワークマネージャ]]や [[DHCP]] クライアントで、{{ic|/etc/resolv.conf}} を上書きし、wg-quick が追加した DNS サーバを削除するため問題が発生するでしょう。
+解決策としては、[[resolvconf]] をサポートするネットワークソフトを使用することです。
+{{Note|[[systemd-resolved]] のユーザは、{{Pkg|systemd-resolvconf}} が[[インストール]]されていることを確認する必要があります。}}
+[[NetworkManager]] のユーザは、デフォルトでは resolvconf を使用しないことを知っておく必要があります。[[systemd-resolved]] を使うことが推奨されています。 これが望ましくない場合は {{Pkg|openresolv}} を[[インストール]]して、[[NetworkManager#Use openresolv]].
+を使用するように NetworkManagerを設定してください。
+=== 低 MTU ===
+MTU が低すぎる (1280 未満) ため、wg-quick は WireGuard インターフェイスの作成に失敗した可能性があります。これは、クライアントのインターフェイス セクションの WireGuard 設定で MTU 値を設定することで解決できます。
+{{hc|foo.config|2=
+[Interface]
+Address = 10.200.200.2/24
+MTU = 1420
+PrivateKey = ''PEER_FOO_PRIVATE_KEY''
+DNS = 10.200.200.1
+}}
+=== 鍵の長さや形式が正しくない ===
+以下のエラーを回避するためには、鍵ファイルのパスではなく、鍵の値を設定ファイルに記述してください。
+{{hc|# wg-quick up wg0|
+[#] ip link add wg0 type wireguard
+[#] wg setconf wg0 /dev/fd/63
+Key is not the correct length or format: `''/path/example.key'''
+Configuration parsing error
+[#] ip link delete dev wg0
+}}
+=== NAT /ファイアウォールの背後にある持続的な接続を確立することができない ===
+デフォルトでは、WireGuard ピアは通信する必要がない間は沈黙を保つため、NAT や[[ファイアウォール]]の背後にあるピアは、他のピアに自らアクセスするまで他のピアからアクセスできない場合があります（または接続がタイムアウトする場合もあります）。NAT やファイアウォールの背後にあるピアの{{ic|1=PersistentKeepalive = 25}} 設定に追加することで、接続が開いたままになることを保証できます。
+{{hc|# Set the persistent-keepalive via command line (temporarily)|
+[#] wg set wg0 peer $PUBKEY persistent-keepalive 25
+}}
+=== ループ ルーティング ===
+エンドポイント IP を許可 IP リストに追加すると、カーネルは、元のルートを使用するのではなく、当該デバイスバインディングにハンドシェイクを送信しようとします。その結果、ハンドシェイクの試行が失敗します。
+回避策として、エンドポイントへの正しいルートを、以下の方法で手動で追加する必要があります。
+ ip route add <endpoint ip> via <gateway> dev <network interface>
+e.g. for peer B from above in a standard LAN setup:
+ ip route add 203.0.113.102 via 192.168.0.1 dev eth0
+このルートを永続化するには、{{ic|1=PostUp = ip route ...}} というコマンドを {{ic|wg0.conf}} の {{ic|[Interface]}} セクションに追加することができます。しかし、特定のセットアップ（例えば、NetworkManagerと組み合わせて {{ic|wg-quick@.service}} を使用）において、これはレジュームに失敗するかもしれません。さらに、これは静的なネットワーク設定に対してのみ機能し、ゲートウェイやデバイスが変更されると失敗します（例えば、ラップトップでイーサネットや無線 LAN を使用している場合など）。
+NetworkManagerを使用する場合、より柔軟な解決策として、ディスパッチャスクリプトを使用して WireGuardを起動することができます。root として以下を作成します。
+{{hc|/etc/NetworkManager/dispatcher.d/50-wg0.sh|2=
+#!/bin/sh
+case $2 in
+  up)
+    wg-quick up wg0
+    ip route add <endpoint ip> via $IP4_GATEWAY dev $DEVICE_IP_IFACE
+    ;;
+  pre-down)
+    wg-quick down wg0
+    ;;
+esac
+}}
+まだ起動していない場合は、{{ic|NetworkManager-dispatcher.service}} を起動し、有効にしてください。
+また、NetworkManager が {{ic|wg0}} のルートを管理していないことを確認してください。([[#ルートが定期的にリセットされる|上記参照]])。
 === NetworkManager で切断される ===
@@ 378行目: / 487行目: @@
 {{ic|wg0}} が落ちたときに ''systemd-resolved'' は自動的に全てのパラメータを戻すため {{ic|PostDown}} キーは必要ありません。
+== 参照 ==
+* [[Wikipedia:WireGuard]]
+* [https://www.wireguard.com/presentations/ Presentations by Jason Donenfeld].
+* [https://lists.zx2c4.com/mailman/listinfo/wireguard Mailing list]
+* [https://docs.sweeting.me/s/wireguard Unofficial WireGuard Documentation]
+* [[Debian:Wireguard]]

「WireGuard」の版間の差分

2024年8月14日 (水) 23:09時点における最新版

目次

インストール

グラフィカルクライアント

コマンドラインツール

使用方法

鍵の生成

手動設定

Peer A の設定

Peer B の設定

基本チェック

設定の永続化

ピア設定例

systemd-networkd の設定例

特定のユースケース: VPN サーバー

サーバー

鍵の生成

サーバーの設定

クライアントの設定

トンネルのテスト

ヒントとテクニック

秘密鍵を暗号化して保存

IP が変わるエンドポイント

QR コードを生成

デバッグログを有効にする

ピア(サーバー)設定の再読み込み

トラブルシューティング

ルートが定期的にリセットされる

DNS 解析の不具合について

低 MTU

鍵の長さや形式が正しくない

NAT /ファイアウォールの背後にある持続的な接続を確立することができない

ループ ルーティング

NetworkManager で切断される

resolvconf を使う

dnsmasq を使う

systemd-resolved を使う

参照

案内メニュー

検索

ループルーティング