「WireGuard」の版間の差分

PresharedKey

$ wg genkey > privatekey

$ wg pubkey < privatekey > publickey

$ wg genkey | tee privatekey | wg pubkey > publickey

# wg genpsk > preshared

# ip link add dev wg0 type wireguard
# ip addr add 10.0.0.1/24 dev wg0
# wg set wg0 listen-port 48574 private-key ./privatekey
# wg set wg0 peer [Peer B public key] persistent-keepalive 25 allowed-ips 10.0.0.2/32 endpoint 10.10.10.2:39814
# ip link set wg0 up

# ip link add dev wg0 type wireguard
# ip addr add 10.0.0.2/24 dev wg0
# wg set wg0 listen-port 39814 private-key ./privatekey
# wg set wg0 peer [Peer A public key] persistent-keepalive 25 allowed-ips 10.0.0.1/32 endpoint 10.10.10.1:48574
# ip link set wg0 up

peer-a$ wg
interface: wg0
  public key: UguPyBThx/+xMXeTbRYkKlP0Wh/QZT3vTLPOVaaXTD8=
  private key: (hidden)
  listening port: 48574

peer: 9jalV3EEBnVXahro0pRMQ+cHlmjE33Slo9tddzCVtCw=
  endpoint: 10.10.10.2:39814
  allowed ips: 10.0.0.2/32

 peer-a$ ping 10.0.0.2

# wg showconf wg0 > /etc/wireguard/wg0.conf
# wg setconf wg0 /etc/wireguard/wg0.conf

/etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/32
PrivateKey = [CLIENT PRIVATE KEY]
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
AllowedIPs = 10.0.0.0/24, 10.123.45.0/24, 1234:4567:89ab::/48
Endpoint = [SERVER ENDPOINT]:51820
PersistentKeepalive = 25
/etc/systemd/network/30-wg0.netdev
[NetDev]
Name = wg0
Kind = wireguard
Description = Wireguard

[WireGuard]
PrivateKey = [CLIENT PRIVATE KEY]

[WireGuardPeer]
PublicKey = [SERVER PUBLIC KEY]
PresharedKey = [PRE SHARED KEY]
AllowedIPs = 10.0.0.0/24
Endpoint = [SERVER ENDPOINT]:51820
PersistentKeepalive = 25
/etc/systemd/network/30-wg0.network
[Match]
Name = wg0

[Network]
Address = 10.0.0.3/32
DNS = 10.0.0.1

[Route]
Gateway = 10.0.0.1
Destination = 10.0.0.0/24
# sysctl net.ipv4.ip_forward=1

/etc/wireguard/wg0.conf
[Interface]
Address = 10.200.200.1/24
SaveConfig = true
ListenPort = 51820
PrivateKey = [SERVER PRIVATE KEY]
MTU = 1420

# note - substitute eth0 in the following lines to match the Internet-facing interface
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# client foo
PublicKey = [FOO's PUBLIC KEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 10.200.200.2/32

[Peer]
# client bar
PublicKey = [BAR's PUBLIC KEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 10.200.200.3/32
# systemctl start wg-quick@wg0

foo.conf
[Interface]
Address = 10.200.200.2/24
PrivateKey = [FOO's PRIVATE KEY]
DNS = 10.200.200.1
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 0.0.0.0/0
Endpoint = my.ddns.address.com:51820
bar.conf
[Interface]
Address = 10.200.200.3/24
PrivateKey = [BAR's PRIVATE KEY]
DNS = 10.200.200.1
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
PresharedKey = [PRE-SHARED KEY]
AllowedIPs = 0.0.0.0/0
Endpoint = my.ddns.address.com:51820
$ qrencode -t ansiutf8 < foo.conf

$ nc -vvlnp 2222

$ dd if=/dev/zero bs=1024K count=1024 | nc -v 10.0.0.203 2222

# wg
interface: wg0
  public key: UguPyBThx/+xMXeTbRYkKlP0Wh/QZT3vTLPOVaaXTD8=
  private key: (hidden)
  listening port: 51820

peer: 9jalV3EEBnVXahro0pRMQ+cHlmjE33Slo9tddzCVtCw=
  preshared key: (hidden)
  endpoint: 192.168.1.216:53207
  allowed ips: 10.0.0.0/0
  latest handshake: 1 minutes, 17 seconds ago
  transfer: 56.43 GiB received, 1.06 TiB sent
PostUp = wg set %i private-key <(su user -c "export PASSWORD_STORE_DIR=/path/to/your/store/; pass WireGuard/private-keys/%i")

/etc/systemd/system/wireguard_reresolve-dns.timer
[Unit]
Description=Periodically reresolve DNS of all WireGuard endpoints

[Timer]
OnCalendar=*:*:0/30

[Install]
WantedBy=timers.target
/etc/systemd/system/wireguard_reresolve-dns.service
[Unit]
Description=Reresolve DNS of all WireGuard endpoints
Wants=network-online.target
After=network-online.target

[Service]
Type=oneshot
ExecStart=/bin/sh -c 'for i in /etc/wireguard/*.conf; do /usr/share/wireguard/examples/reresolve-dns/reresolve-dns.sh "\$i"; done'
$ qrencode -t ansiutf8 -r client.conf

# modprobe wireguard
# echo module wireguard +p > /sys/kernel/debug/dynamic_debug/control

# wg syncconf ${WGNET} <(wg-quick strip ${WGNET})

/etc/NetworkManager/conf.d/unmanaged.conf
[keyfile]
unmanaged-devices=interface-name:wg0
foo.config
[Interface]
Address = 10.200.200.2/24
MTU = 1420
PrivateKey = PEER_FOO_PRIVATE_KEY
DNS = 10.200.200.1
# wg-quick up wg0
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
Key is not the correct length or format: `/path/example.key'
Configuration parsing error
[#] ip link delete dev wg0

# Set the persistent-keepalive via command line (temporarily)
[#] wg set wg0 peer $PUBKEY persistent-keepalive 25

ip route add <endpoint ip> via <gateway> dev <network interface>

ip route add 203.0.113.102 via 192.168.0.1 dev eth0

/etc/NetworkManager/dispatcher.d/50-wg0.sh
#!/bin/sh
case $2 in
  up)
    wg-quick up wg0
    ip route add <endpoint ip> via $IP4_GATEWAY dev $DEVICE_IP_IFACE
    ;;
  pre-down)
    wg-quick down wg0
    ;;
esac
/etc/NetworkManager/conf.d/rc-manager.conf
[main]
rc-manager=resolvconf
/etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.2/24  # The client IP from wg0server.conf with the same subnet mask
PrivateKey = [CLIENT PRIVATE KEY]
PostUp = resolvectl domain %i "~."; resolvectl dns %i 10.0.0.1; resolvectl dnssec %i yes
MTU = 1420

[Peer]
PublicKey = [SERVER PUBLICKEY]
AllowedIPs = 0.0.0.0/0, ::0/0
Endpoint = [SERVER ENDPOINT]:51820
PersistentKeepalive = 25

@@ 1行目: / 1行目: @@
-[[Category:Virtual Private Network]]
+[[Category:仮想プライベートネットワーク]]
 [[en:WireGuard]]
 [[zh-hans:WireGuard]]
@@ 20行目: / 20行目: @@
 * {{App|Qomui|高度な機能と複数のプロバイダーのサポートを備えた OpenVPN GUI。|https://github.com/corrad1nho/qomui|{{AUR|qomui}}}}
-=== Command-line tools ===
+=== コマンドラインツール ===
-* {{App|wg_tool|Tool to manage wireguard configs for server and users.|https://github.com/gene-git/wg_tool|{{AUR|wg_tool}}}}
+* {{App|wg_tool|サーバーとユーザーの wireguard 設定を管理するツール。|https://github.com/gene-git/wg_tool|{{AUR|wg_tool}}}}
 == 使用方法 ==
@@ 67行目: / 67行目: @@
  # wg genpsk > preshared
 === 手動設定 ===
@@ 261行目: / 260行目: @@
 {{Note|[[NetworkManager]] を使用している場合、{{ic|NetworkManager-wait-online.service}} を、[[systemd-networkd]] を使用している場合、{{ic|systemd-networkd-wait-online.service}} を有効化することでネットワーク接続が有効になってからサービスが実行されるようになります。}}
+== トンネルのテスト ==
-== Testing the tunnel ==
+トンネルが確立されたら、[[netcat]]を使ってトラフィックを送り、スループットや CPU 使用率などをテストすることができます。
-{{Merge|#Basic checkups|Same topic.}}
+トンネルの片側で {{ic|nc}} を listen モードで実行し、もう片側で {{ic|/dev/zero}} から送信モードの {{ic|nc}} にデータをパイプします。
+以下の例では、ポート 2222 がトラフィックに使用されています（ファイアウォールを使用している場合は、ポート2222のトラフィックを必ず許可してください）。
-Once a tunnel has been established, one can use [[netcat]] to send traffic through it to test out throughput, CPU usage, etc.
-On one side of the tunnel, run {{ic|nc}} in listen mode and on the other side, pipe some data from {{ic|/dev/zero}} into {{ic|nc}} in sending mode.
+トンネルの片側で、トラフィックを確認する。
-In the example below, port 2222 is used for the traffic (be sure to allow traffic on port 2222 if using a firewall).
-On one side of the tunnel listen for traffic:
  $ nc -vvlnp 2222
+トンネルの向こう側では、トラフィックを送ってください。
-On the other side of the tunnel, send some traffic:
  $ dd if=/dev/zero bs=1024K count=1024 | nc -v 10.0.0.203 2222
+状態の監視は {{ic|wg}} で直接行うことができます。
-Status can be monitored using {{ic|wg}} directly.
 {{hc|# wg|2=
@@ 342行目: / 339行目: @@
 上記ファイルを作成したら {{ic|wireguard_reresolve-dns.timer}} を[[起動]]・[[有効化]]してください。
-=== Generate QR code ===
+=== QR コードを生成 ===
+クライアントが電話などのモバイル デバイスの場合、{{Pkg|qrencode}} を使用してクライアントの設定 QR コードを生成し、端末に表示できます。
-If the client is a mobile device such as a phone, {{Pkg|qrencode}} can be used to generate client's configuration QR code and display it in terminal:
  $ qrencode -t ansiutf8 -r ''client.conf''
+=== デバッグログを有効にする ===
-=== Enable debug logs ===
+ダイナミックデバッグをサポートするカーネル上で Linux カーネルモジュールを使用する場合、実行することでデバッグ情報をカーネルリングバッファ（[[dmesg]] や [[journalctl]] で表示可能）に書き込むことができます。
-When using the Linux kernel module on a kernel that supports dynamic debugging, debugging information can be written into the kernel ring buffer (viewable with [[dmesg]] and [[journalctl]]) by running:
  # modprobe wireguard
  # echo module wireguard +p > /sys/kernel/debug/dynamic_debug/control
+=== ピア(サーバー)設定の再読み込み ===
-=== Reload peer (server) configuration ===
+WireGuard ピア（主にサーバ）が設定から他のピアを追加または削除し、アクティブなセッションを停止せずに再読み込みしたい場合、次のコマンドを実行することができます:
-In case the WireGuard peer (mostly server) adding or removing another peers from its configuration and wants to reload it without stopping any active sessions, one can execute the following command to do it:
  # wg syncconf ${WGNET} <(wg-quick strip ${WGNET})
-Where {{ic|$WGNET}} is WireGuard interface name or configuration base name, for example {{ic|wg0}} (for server) or {{ic|client}} (without the ''.conf'' extension, for client).
+ここで、{{ic|$WGNET}} は WireGuard インターフェース名または設定ベース名です。例えば、{{ic|wg0}}(サーバー用) または {{ic|client}} です。(クライアント用には ''.conf'' という拡張子をつけません)。
-{{Expansion|Show how to do this with other network managers from [[#Persistent configuration]].}}
 == トラブルシューティング ==
@@ 376行目: / 371行目: @@
 }}
-=== Broken DNS resolution ===
+=== DNS 解析の不具合について ===
+すべてのトラフィックを WireGuard インターフェイスでトンネリングする場合、しばらくすると、または新規接続時に接続が失われたように見えることがあります。これは、[[ネットワークマネージャ]]または [[DHCP]] クライアントが {{ic|/etc/resolv.conf}} を上書きすることによって発生した可能性があります。
-When tunneling all traffic through a WireGuard interface, the connection can become seemingly lost after a while or upon new connection. This could be caused by a [[network manager]] or [[DHCP]] client overwriting {{ic|/etc/resolv.conf}}.
+デフォルトでは ''wg-quick'' は新しい [[DNS]] エントリを登録するために ''resolvconf'' を使用します (設定ファイルの {{ic|DNS}} キーワードから).これは、''resolvconf'' を使用しない[[ネットワークマネージャ]]や [[DHCP]] クライアントで、{{ic|/etc/resolv.conf}} を上書きし、wg-quick が追加した DNS サーバを削除するため問題が発生するでしょう。
-By default ''wg-quick''  uses ''resolvconf'' to register new [[DNS]] entries (from the {{ic|DNS}} keyword in the configuration file). This will cause issues with [[network manager]]s and [[DHCP]] clients that do not use ''resolvconf'', as they will overwrite {{ic|/etc/resolv.conf}} thus removing the DNS servers added by wg-quick.
+解決策としては、[[resolvconf]] をサポートするネットワークソフトを使用することです。
-The solution is to use networking software that supports [[resolvconf]].
-{{Note|Users of [[systemd-resolved]] should make sure that {{Pkg|systemd-resolvconf}} is [[install]]ed.}}
+{{Note|[[systemd-resolved]] のユーザは、{{Pkg|systemd-resolvconf}} が[[インストール]]されていることを確認する必要があります。}}
-Users of [[NetworkManager]] should know that it does not use resolvconf by default.  It is recommended to use [[systemd-resolved]].  If this is undesirable, [[install]] {{Pkg|openresolv}} and configure NetworkManager to use it: [[NetworkManager#Use openresolv]].
+[[NetworkManager]] のユーザは、デフォルトでは resolvconf を使用しないことを知っておく必要があります。[[systemd-resolved]] を使うことが推奨されています。 これが望ましくない場合は {{Pkg|openresolv}} を[[インストール]]して、[[NetworkManager#Use openresolv]].
+を使用するように NetworkManagerを設定してください。
-=== Low MTU ===
+=== 低 MTU ===
+MTU が低すぎる (1280 未満) ため、wg-quick は WireGuard インターフェイスの作成に失敗した可能性があります。これは、クライアントのインターフェイス セクションの WireGuard 設定で MTU 値を設定することで解決できます。
-Due to too low MTU (lower than 1280), wg-quick may have failed to create the WireGuard interface. This can be solved by setting the MTU value in WireGuard configuration in Interface section on client.
 {{hc|foo.config|2=
 [Interface]
@@ 399行目: / 396行目: @@
 }}
+=== 鍵の長さや形式が正しくない ===
-=== Key is not the correct length or format ===
+以下のエラーを回避するためには、鍵ファイルのパスではなく、鍵の値を設定ファイルに記述してください。
-To avoid the following error, put the key value in the configuration file and not the path to the key file.
 {{hc|# wg-quick up wg0|
@@ 411行目: / 408行目: @@
 }}
+=== NAT /ファイアウォールの背後にある持続的な接続を確立することができない ===
-=== Unable to establish a persistent connection behind NAT / firewall ===
+デフォルトでは、WireGuard ピアは通信する必要がない間は沈黙を保つため、NAT や[[ファイアウォール]]の背後にあるピアは、他のピアに自らアクセスするまで他のピアからアクセスできない場合があります（または接続がタイムアウトする場合もあります）。NAT やファイアウォールの背後にあるピアの{{ic|1=PersistentKeepalive = 25}} 設定に追加することで、接続が開いたままになることを保証できます。
-By default, WireGuard peers remain silent while they do not need to communicate, so peers located behind a NAT and/or [[firewall]] may be unreachable from other peers until they reach out to other peers themselves (or the connection may time out). Adding {{ic|1=PersistentKeepalive = 25}} to the {{ic|[Peer]}} settings of a peer located behind a NAT and/or firewall can ensure that the connection remains open.
 {{hc|# Set the persistent-keepalive via command line (temporarily)|
@@ 419行目: / 416行目: @@
 }}
-=== Loop routing ===
+=== ループ ルーティング ===
+エンドポイント IP を許可 IP リストに追加すると、カーネルは、元のルートを使用するのではなく、当該デバイスバインディングにハンドシェイクを送信しようとします。その結果、ハンドシェイクの試行が失敗します。
-Adding the endpoint IP to the allowed IPs list, the kernel will attempt to send handshakes to said device binding, rather than using the original route. This results in failed handshake attempts.
+回避策として、エンドポイントへの正しいルートを、以下の方法で手動で追加する必要があります。
-As a workaround, the correct route to the endpoint needs to be manually added using
  ip route add <endpoint ip> via <gateway> dev <network interface>
@@ 431行目: / 428行目: @@
  ip route add 203.0.113.102 via 192.168.0.1 dev eth0
+このルートを永続化するには、{{ic|1=PostUp = ip route ...}} というコマンドを {{ic|wg0.conf}} の {{ic|[Interface]}} セクションに追加することができます。しかし、特定のセットアップ（例えば、NetworkManagerと組み合わせて {{ic|wg-quick@.service}} を使用）において、これはレジュームに失敗するかもしれません。さらに、これは静的なネットワーク設定に対してのみ機能し、ゲートウェイやデバイスが変更されると失敗します（例えば、ラップトップでイーサネットや無線 LAN を使用している場合など）。
-To make this route persistent, the command can be added as {{ic|1=PostUp = ip route ...}} to the {{ic|[Interface]}} section of {{ic|wg0.conf}}. However, on certain setups (e.g. using {{ic|wg-quick@.service}} in combination with NetworkManager) this might fail on resume. Furthermore, this only works for a static network setup and fails if gateways or devices change (e.g. using ethernet or wifi on a laptop).
+NetworkManagerを使用する場合、より柔軟な解決策として、ディスパッチャスクリプトを使用して WireGuardを起動することができます。root として以下を作成します。
-Using NetworkManager, a more flexible solution is to start WireGuard using a dispatcher script. As root, create
 {{hc|/etc/NetworkManager/dispatcher.d/50-wg0.sh|2=
 #!/bin/sh
@@ 446行目: / 444行目: @@
 esac
 }}
-If not already running, start and enable {{ic|NetworkManager-dispatcher.service}}.
+まだ起動していない場合は、{{ic|NetworkManager-dispatcher.service}} を起動し、有効にしてください。
+また、NetworkManager が {{ic|wg0}} のルートを管理していないことを確認してください。([[#ルートが定期的にリセットされる|上記参照]])。
-Also, make sure that NetworkManager is not managing routes for {{ic|wg0}} ([[#Routes are periodically reset|see above]]).
 === NetworkManager で切断される ===
@@ 489行目: / 487行目: @@
 {{ic|wg0}} が落ちたときに ''systemd-resolved'' は自動的に全てのパラメータを戻すため {{ic|PostDown}} キーは必要ありません。
+== 参照 ==
+* [[Wikipedia:WireGuard]]
+* [https://www.wireguard.com/presentations/ Presentations by Jason Donenfeld].
+* [https://lists.zx2c4.com/mailman/listinfo/wireguard Mailing list]
+* [https://docs.sweeting.me/s/wireguard Unofficial WireGuard Documentation]
+* [[Debian:Wireguard]]

	Peer A	Peer B
外部 IP アドレス	10.10.10.1/24	10.10.10.2/24
内部 IP アドレス	10.0.0.1/24	10.0.0.2/24
wireguard 使用ポート	UDP/48574	UDP/39814

「WireGuard」の版間の差分

2024年8月14日 (水) 23:09時点における最新版

目次

インストール

グラフィカルクライアント

コマンドラインツール

使用方法

鍵の生成

手動設定

Peer A の設定

Peer B の設定

基本チェック

設定の永続化

ピア設定例

systemd-networkd の設定例

特定のユースケース: VPN サーバー

サーバー

鍵の生成

サーバーの設定

クライアントの設定

トンネルのテスト

ヒントとテクニック

秘密鍵を暗号化して保存

IP が変わるエンドポイント

QR コードを生成

デバッグログを有効にする

ピア(サーバー)設定の再読み込み

トラブルシューティング

ルートが定期的にリセットされる

DNS 解析の不具合について

低 MTU

鍵の長さや形式が正しくない

NAT /ファイアウォールの背後にある持続的な接続を確立することができない

ループ ルーティング

NetworkManager で切断される

resolvconf を使う

dnsmasq を使う

systemd-resolved を使う

参照

案内メニュー

検索

ループルーティング