9. WireGuard i OpenVPN
Tunnelry potrafi obsługiwać dwa rodzaje VPN jednocześnie. OpenVPN jest sprawdzonym wyborem: działa w prawie każdej sieci i ma aplikacje na każdy system. WireGuard jest nowszy, szybszy i oszczędniejszy dla baterii telefonu, a urządzenie konfiguruje się skanując kod QR. To, którego z nich używa urządzenie, wybierasz osobno dla każdego z nich; role, reguły i dziennik operacji są wspólne.
Który dla którego urządzenia
| OpenVPN | WireGuard | |
|---|---|---|
| Najlepszy dla | laptopów, routerów, sieci blokujących UDP | telefonów i tabletów |
| Konfiguracja | import pliku .ovpn | zeskanowanie kodu QR (albo import pliku .conf) |
| Można pobrać ponownie | tak | nie: plik jest pokazywany raz, potem wydajesz nowy |
| Przycisk Rozłącz | tak | nie: zamiast tego unieważnij profil |
Jeśli nie wiesz, którego użyć, wybierz OpenVPN dla komputerów i WireGuard dla telefonów.
Włączanie WireGuarda
- Otwórz Serwer VPN i włącz Używaj WireGuard. Tunnelry proponuje port (UDP 51820) i własną sieć dla urządzeń WireGuard, obok tej, której używa OpenVPN. Zmieniaj je tylko wtedy, gdy kolidują z czymś, co masz.
- Naciśnij Zapisz, potem Zastosuj na pasku u góry i potwierdź na czas (jak przy każdej zmianie serwera).
- Otwórz port w routerze. WireGuard potrzebuje własnego portu UDP (51820, jeśli go nie zmieniłeś) przekierowanego na serwer, oprócz portu OpenVPN. Zapora w chmurze wymaga tej samej reguły.
Kreator zadaje to samo pytanie przy nowym serwerze, w Opcjach zaawansowanych. Serwer potrzebuje pakietu
wireguard-tools; instalator i aktualizacje instalują go za Ciebie. Serwer VPN pokazuje stan obu usług w karcie
Usługa VPN, każdą z własnym uruchomieniem, restartem i zatrzymaniem.
Protokół można znów wyłączyć, ale tylko wtedy, gdy żaden profil go nie używa: najpierw unieważnij te profile.
Dodawanie urządzenia WireGuard
Otwórz Profile VPN, naciśnij Dodaj profil, wybierz WireGuard, podaj nazwę urządzenia i rolę.
W oknie pojawi się kod QR. Na telefonie zainstaluj aplikację WireGuard, dotknij Dodaj i zeskanuj kod. Na komputerze naciśnij Pobierz plik i zaimportuj plik
.confw aplikacji WireGuard.Naciśnij Urządzenie jest skonfigurowane.
Plik zawiera klucz prywatny urządzenia. Jest pokazywany raz: serwer nie trzyma jego kopii. Jeśli zamkniesz okno za wcześnie albo zgubisz plik, naciśnij Nowy plik przy tym profilu: urządzenie dostanie nowy klucz i nowy plik, a stary plik przestanie działać od razu. Nie wysyłaj pliku zwykłym e-mailem.
Zmiany, które wymagają nowego pliku
- Zmiana roli urządzenia WireGuard daje mu nowy adres, a jego adres jest częścią pliku. Dostajesz więc nowy plik (pokazany raz), a stary przestaje działać.
- Plik WireGuard zawiera listę celów, które urządzenie kieruje do VPN. Gdy później dodasz cele do roli, zapora stosuje je od razu, ale starszy plik jeszcze ich nie kieruje. Takie urządzenie jest na liście oznaczone wymaga nowego pliku: naciśnij Nowy plik i skonfiguruj je ponownie.
- Unieważnienie urządzenia odcina je natychmiast.
Kto jest połączony
Pulpit pokazuje urządzenia obu rodzajów w Połączeni teraz. WireGuard nie ma sesji, więc zamiast czasu połączenia urządzenie WireGuard pokazuje ostatni kontakt z serwerem. Uznaje się je za połączone, jeśli kontaktowało się z serwerem w ciągu ostatnich trzech minut.
Wyłączanie OpenVPN
Jeśli chcesz tylko WireGuard, unieważnij profile OpenVPN i wyłącz OpenVPN w Serwer VPN. Nic się nie instaluje od nowa, a role zostają bez zmian.
Gdy urządzenie WireGuard się nie łączy
- Port nie jest otwarty: przekieruj UDP 51820 (albo Twój port) w routerze i sprawdź zaporę w chmurze.
- Urządzenie ma stary plik: po zmianie roli lub Nowy plik działa tylko najnowszy plik.
- Na serwerze
sudo wg show tunnelry1pokazuje urządzenia, które skontaktowały się z nim, i kiedy.
sudo systemctl status tunnelry-wireguard
sudo wg show tunnelry1
WireGuard obsługuje tu tylko IPv4, tak jak OpenVPN: IPv6 jest wyłączone. Rola z dostępem do internetu kieruje do tunelu także ruch IPv6 urządzenia, gdzie jest odrzucany, więc nic nie wycieka poza VPN.