# 9. WireGuard i OpenVPN

Tunnelry potrafi obsługiwać dwa rodzaje VPN jednocześnie. **OpenVPN** jest sprawdzonym wyborem: działa w prawie każdej
sieci i ma aplikacje na każdy system. **WireGuard** jest nowszy, szybszy i oszczędniejszy dla baterii telefonu, a
urządzenie konfiguruje się skanując kod QR. To, którego z nich używa urządzenie, wybierasz osobno dla każdego z nich;
role, reguły i dziennik operacji są wspólne.

## Który dla którego urządzenia

| | OpenVPN | WireGuard |
|---|---|---|
| Najlepszy dla | laptopów, routerów, sieci blokujących UDP | telefonów i tabletów |
| Konfiguracja | import pliku `.ovpn` | zeskanowanie kodu QR (albo import pliku `.conf`) |
| Można pobrać ponownie | tak | nie: plik jest pokazywany raz, potem wydajesz nowy |
| Przycisk Rozłącz | tak | nie: zamiast tego unieważnij profil |

Jeśli nie wiesz, którego użyć, wybierz OpenVPN dla komputerów i WireGuard dla telefonów.

## Włączanie WireGuarda

1. Otwórz **Serwer VPN** i włącz **Używaj WireGuard**. Tunnelry proponuje port (UDP 51820) i własną sieć dla urządzeń
   WireGuard, obok tej, której używa OpenVPN. Zmieniaj je tylko wtedy, gdy kolidują z czymś, co masz.
2. Naciśnij **Zapisz**, potem **Zastosuj** na pasku u góry i potwierdź na czas (jak przy każdej zmianie serwera).
3. **Otwórz port w routerze.** WireGuard potrzebuje własnego portu UDP (51820, jeśli go nie zmieniłeś) przekierowanego
   na serwer, oprócz portu OpenVPN. Zapora w chmurze wymaga tej samej reguły.

Kreator zadaje to samo pytanie przy nowym serwerze, w *Opcjach zaawansowanych*. Serwer potrzebuje pakietu
`wireguard-tools`; instalator i aktualizacje instalują go za Ciebie. **Serwer VPN** pokazuje stan obu usług w karcie
**Usługa VPN**, każdą z własnym uruchomieniem, restartem i zatrzymaniem.

Protokół można znów wyłączyć, ale tylko wtedy, gdy żaden profil go nie używa: najpierw unieważnij te profile.

## Dodawanie urządzenia WireGuard

1. Otwórz **Profile VPN**, naciśnij **Dodaj profil**, wybierz **WireGuard**, podaj nazwę urządzenia i rolę.

   ![Okno nowego profilu z wyborem protokołu](https://tunnelry.com/img/pl/profile-new.png)

2. W oknie pojawi się **kod QR**. Na telefonie zainstaluj aplikację WireGuard, dotknij **Dodaj** i zeskanuj kod. Na
   komputerze naciśnij **Pobierz plik** i zaimportuj plik `.conf` w aplikacji WireGuard.
3. Naciśnij **Urządzenie jest skonfigurowane**.

![Jednorazowy kod QR urządzenia WireGuard](https://tunnelry.com/img/pl/wireguard-qr.png)

Plik zawiera klucz prywatny urządzenia. **Jest pokazywany raz**: serwer nie trzyma jego kopii. Jeśli zamkniesz okno za
wcześnie albo zgubisz plik, naciśnij **Nowy plik** przy tym profilu: urządzenie dostanie nowy klucz i nowy plik, a stary
plik przestanie działać od razu. Nie wysyłaj pliku zwykłym e-mailem.

## Zmiany, które wymagają nowego pliku

- **Zmiana roli** urządzenia WireGuard daje mu nowy adres, a jego adres jest częścią pliku. Dostajesz więc nowy plik
  (pokazany raz), a stary przestaje działać.
- Plik WireGuard zawiera listę celów, które urządzenie kieruje do VPN. Gdy później dodasz cele do roli, zapora stosuje
  je od razu, ale starszy plik jeszcze ich nie kieruje. Takie urządzenie jest na liście oznaczone **wymaga nowego
  pliku**: naciśnij **Nowy plik** i skonfiguruj je ponownie.
- **Unieważnienie** urządzenia odcina je natychmiast.

## Kto jest połączony

Pulpit pokazuje urządzenia obu rodzajów w **Połączeni teraz**. WireGuard nie ma sesji, więc zamiast czasu połączenia
urządzenie WireGuard pokazuje **ostatni kontakt** z serwerem. Uznaje się je za połączone, jeśli kontaktowało się z
serwerem w ciągu ostatnich trzech minut.

## Wyłączanie OpenVPN

Jeśli chcesz tylko WireGuard, unieważnij profile OpenVPN i wyłącz OpenVPN w **Serwer VPN**. Nic się nie instaluje od
nowa, a role zostają bez zmian.

## Gdy urządzenie WireGuard się nie łączy

- Port nie jest otwarty: przekieruj UDP 51820 (albo Twój port) w routerze i sprawdź zaporę w chmurze.
- Urządzenie ma stary plik: po zmianie roli lub **Nowy plik** działa tylko najnowszy plik.
- Na serwerze `sudo wg show tunnelry1` pokazuje urządzenia, które skontaktowały się z nim, i kiedy.

```bash
sudo systemctl status tunnelry-wireguard
sudo wg show tunnelry1
```

WireGuard obsługuje tu tylko IPv4, tak jak OpenVPN: IPv6 jest wyłączone. Rola z dostępem do internetu kieruje do tunelu
także ruch IPv6 urządzenia, gdzie jest odrzucany, więc nic nie wycieka poza VPN.

Dalej: [odinstalowanie i rozwiązywanie problemów](https://tunnelry.com/pl/docs/uninstall-and-troubleshooting/index.md).