Как быстро поднять корпоративный VPN на WireGuard для удалёнщиков и филиалов

Проблема

В современном мире распределённая работа стала нормой. Сотрудники работают из дома, из командировок, из кофеен, а филиалы компании разбросаны по разным городам и даже странам. Им всем нужен безопасный и надёжный доступ к корпоративным ресурсам: файловым серверам, базам данных, внутренним порталам.

Традиционные решения IPsec и OpenVPN имеют серьёзные недостатки. Они сложны в настройке, требовательны к ресурсам, а их производительность оставляет желать лучшего. OpenVPN, например, работает в пользовательском пространстве, что создаёт дополнительную нагрузку на процессор и увеличивает задержки. IPsec известен своей запутанной конфигурацией и проблемами совместимости между разными реализациями.

Администратору нужно решение, которое:

• разворачивается за 10 -15 минут, а не за полдня;
• даёт высокую пропускную способность и минимальные задержки;
• просто в поддержке и не требует постоянного «допиливания»;
• работает на любом оборудовании от облачного VPS до старого офисного ПК.

Решение

WireGuard это современный VPN-протокол, который решает все перечисленные проблемы. Он встроен прямо в ядро Linux, работает на уровне L3 и использует современную криптографию (ChaCha20, Poly1305, Curve25519). Его кодовая база составляет всего около 4000 строк это делает его не только быстрым, но и безопасным: негде спрятать уязвимости.

Ключевые преимущества WireGuard:

• Простота настройки — конфигурация в формате INI с десятком параметров, а не сотни строк.
• Высокая производительность — работает в ядре, что даёт пропускную способность, близкую к пропускной способности самого канала.
• Кросс-платформенность — клиенты доступны для Windows, macOS, Linux, Android и iOS.
• Автоматическое переподключение — клиент сам восстанавливает соединение после потери связи.
• Бесшумная работа — не создаёт постоянного фонового трафика, «просыпается» только при необходимости.

В этой статье мы развернём корпоративный VPN на WireGuard в двух самых частых сценариях: подключение удалённых сотрудников (road warrior) и объединение филиалов (site-to-site). В качестве сервера будем использовать Ubuntu 22.04/24.04 LTS это может быть как облачный VPS, так и физический сервер в офисе.

Пошаговая инструкция

1. Подготовка сервера

1.1. Обновление системы и установка WireGuard

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard wireguard-tools -y

Для RHEL-подобных систем:

sudo dnf install wireguard-tools -y

1.2. Включение IP-форвардинга

Чтобы сервер мог передавать трафик между VPN-клиентами и корпоративной сетью, необходимо включить пересылку пакетов:

sudo sysctl -w net.ipv4.ip_forward=1
sudo sysctl -w net.ipv6.conf.all.forwarding=1

Для постоянного применения раскомментируйте строки net.ipv4.ip_forward=1 и net.ipv6.conf.all.forwarding=1 в файле /etc/sysctl.conf, затем выполните:

sudo sysctl -p

1.3. Настройка брандмауэра

WireGuard использует один UDP-порт (по умолчанию 51820). Откроем его в брандмауэре.

Для ufw:

bash

sudo ufw allow 51820/udp
sudo ufw enable

Для firewalld:

bash

sudo firewall-cmd --permanent --add-port=51820/udp
sudo firewall-cmd --reload

2. Генерация ключей

WireGuard использует асимметричную криптографию: каждый участник имеет пару ключей — приватный и публичный. Приватный ключ хранится на стороне участника и никогда не передаётся, публичным ключом участники обмениваются.

Создадим директорию для хранения ключей и сгенерируем их для сервера:

cd /etc/wireguard
umask 077
wg genkey | tee server_private.key | wg pubkey > server_public.key

Аналогично для каждого клиента (на сервере, чтобы потом сразу скопировать конфигурацию):

wg genkey | tee client1_private.key | wg pubkey > client1_public.key

Важно: приватные ключи (*_private.key) должны оставаться на своих устройствах и не передаваться по сети.

3. Настройка сервера

Создадим конфигурационный файл /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = <содержимое server_private.key>
Address = 10.0.0.1/24
ListenPort = 51820
SaveConfig = false

# NAT для клиентов (если нужно дать им доступ в интернет через сервер)
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Пояснение параметров:

• Address  IP-адрес сервера внутри VPN (10.0.0.1/24). Клиенты получат адреса из этой же подсети.
• ListenPort  порт, на котором сервер ожидает подключений.
• PostUp/PostDown  команды, выполняемые при поднятии/опускании интерфейса. В данном случае разрешаем пересылку пакетов через интерфейс VPN и настраиваем NAT, чтобы клиенты могли выходить в интернет.

Официальная документация: подробное описание всех параметров конфигурации доступно на сайте WireGuard.

4. Настройка клиента (сценарий «удалённый сотрудник»)

Для каждого удалённого сотрудника создаётся отдельный конфигурационный файл.

4.1. Добавление клиента в конфигурацию сервера

В файл /etc/wireguard/wg0.conf добавляем секцию для клиента:

[Peer]
PublicKey = <публичный ключ клиента>
AllowedIPs = 10.0.0.2/32

Параметр AllowedIPs определяет, какие IP-адреса будут направляться через VPN. Для удалённого сотрудника указываем его VPN-адрес в формате /32.

Важно: для нескольких клиентов нужно указывать разные VPN-адреса: 10.0.0.2/32, 10.0.0.3/32 и так далее.

4.2. Конфигурационный файл для клиента

Создаём файл client1.conf:

[Interface]
PrivateKey = <приватный ключ клиента>
Address = 10.0.0.2/24
DNS = 8.8.8.8

[Peer]
PublicKey = <публичный ключ сервера>
Endpoint = <публичный IP сервера>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

• Address VPN-адрес клиента (должен совпадать с указанным в AllowedIPs на сервере).
• DNS  DNS-сервер, который будет использоваться при активном VPN.
• Endpoint  публичный IP-адрес и порт сервера.
• AllowedIPs = 0.0.0.0/0  весь трафик клиента направляется через VPN. Если нужно, чтобы через VPN шёл только трафик к корпоративной сети, а интернет-трафик напрямую (split tunneling), указываем только нужные подсети, например AllowedIPs = 10.0.0.0/24, 192.168.1.0/24.
• PersistentKeepalive интервал отправки keepalive-пакетов для поддержания соединения, особенно актуален для клиентов за NAT.

4.3. Импорт конфигурации на клиенте

• Windows и macOS: скачать официальное приложение WireGuard с официального сайта , затем импортировать конфигурационный файл через интерфейс.
• Linux: скопировать файл в /etc/wireguard/wg0.conf и запустить sudo wg-quick up wg0.
• Android и iOS: установить приложение WireGuard из магазина приложений и импортировать конфигурацию через QR-код (для этого нужно сгенерировать QR-код с помощью утилиты qrencode).

5. Объединение филиалов (site-to-site VPN)

Этот сценарий используется, когда нужно соединить две и более локальные сети (например, главный офис и филиал) через защищённый туннель.

5.1. Предварительные требования

• В каждом офисе должен быть выделенный шлюз (роутер или сервер), который будет выступать в роли WireGuard-пира.
• Локальные подсети в офисах не должны пересекаться. Например, главный офис  192.168.1.0/24, филиал 192.168.2.0/24.
• На обоих шлюзах должен быть доступен UDP-порт для WireGuard.

5.2. Конфигурация шлюза главного офиса (site A)

Файл /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = <приватный ключ site A>
Address = 10.0.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <публичный ключ site B>
AllowedIPs = 192.168.2.0/24, 10.0.0.2/32
Endpoint = <публичный IP филиала>:51820
PersistentKeepalive = 25

5.3. Конфигурация шлюза филиала (site B)

Файл /etc/wireguard/wg0.conf:

[Interface]
PrivateKey = <приватный ключ site B>
Address = 10.0.0.2/24
ListenPort = 51820

[Peer]
PublicKey = <публичный ключ site A>
AllowedIPs = 192.168.1.0/24, 10.0.0.1/32
Endpoint = <публичный IP главного офиса>:51820
PersistentKeepalive = 25

5.4. Настройка маршрутизации

Чтобы компьютеры в локальных сетях могли «видеть» друг друга, необходимо:

1. На каждом шлюзе добавить статические маршруты, указывающие, что трафик в удалённую подсеть нужно направлять через WireGuard-интерфейс. Это можно сделать через PostUp в конфигурации:

PostUp = ip route add 192.168.2.0/24 dev wg0
PostDown = ip route del 192.168.2.0/24 dev wg0

2. Включить пересылку пакетов на обоих шлюзах (уже сделано на шаге 1.2).
3. Настроить NAT (если компьютеры в локальной сети не имеют прямых маршрутов до друг друга). Если оба офиса используют приватные подсети, достаточно включить IP-форвардинг — NAT не требуется. Однако если компьютеры в подсетях используют шлюз по умолчанию, необходимо добавить правило NAT:

PostUp = iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o wg0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -s 192.168.1.0/24 -o wg0 -j MASQUERADE

4. Убедиться, что брандмауэр на обоих шлюзах разрешает пересылку пакетов между интерфейсами:

sudo iptables -A FORWARD -i wg0 -j ACCEPT
sudo iptables -A FORWARD -o wg0 -j ACCEPT

Эти правила также можно добавить в PostUp/PostDown.

Официальный пример: документация Ubuntu содержит подробный пример настройки site-to-site VPN с WireGuard и пояснениями по маршрутизации.

6. Split tunneling (частичный проброс трафика)

Split tunneling это режим, при котором через VPN направляется только трафик к корпоративной сети, а интернет-трафик идёт напрямую через провайдера. Это снижает нагрузку на сервер и уменьшает задержки для интернет-трафика.

Для настройки split tunneling достаточно изменить параметр AllowedIPs в конфигурации клиента:

AllowedIPs = 10.0.0.0/24, 192.168.1.0/24

Вместо 0.0.0.0/0 указываются только нужные подсети. При этом важно, чтобы на клиенте не было конфликтующих маршрутов.

Рекомендация: для удалённых сотрудников, которым нужен доступ только к внутренним ресурсам, split tunneling оптимальный выбор. Для администраторов, которые управляют серверами через VPN, часто удобнее полный туннель, чтобы исключить утечку трафика.

7. Запуск и управление

Запуск VPN на сервере:

sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0

Проверка статуса:

sudo wg show

Вывод должен показывать интерфейс, приватный ключ, порт, а также список пиров с их публичными ключами, последним временем handshake и количеством переданных байт.

Остановка VPN:

sudo wg-quick down wg0

Перезагрузка конфигурации без остановки соединений:

sudo wg syncconf wg0 <(wg-quick strip wg0)

Устранение распространённых проблем

Итог

WireGuard это современный, быстрый и простой в настройке VPN-протокол, который идеально подходит для корпоративного использования. Мы разобрали два основных сценария: подключение удалённых сотрудников (road warrior) и объединение филиалов (site-to-site). Настройка занимает 10–15 минут, а производительность WireGuard приближается к пропускной способности самого канала.

Wireguard настройка vpn сводится к нескольким шагам: генерация ключей, создание конфигурационных файлов, включение IP-форвардинга и настройка брандмауэра. Split tunneling позволяет гибко управлять тем, какой трафик идёт через VPN, снижая нагрузку на сервер. При возникновении проблем достаточно проверить ключи, порты и таблицы маршрутизации в отличие от OpenVPN, WireGuard не скрывает диагностическую информацию.

Для масштабирования решения на десятки и сотни клиентов рекомендуется использовать централизованные системы управления ключами (например, wg-dynamic или специализированные панели), а также интегрировать аутентификацию с существующим LDAP/Active Directory через скрипты и обёртки вокруг wg set.