Wireguard - Thiết lập VPN truy cập từ xa

Hướng dẫn đầy đủ để thiết lập VPN truy cập từ xa WireGuard trong VergeOS, bao gồm tạo giao diện, quy tắc PAT, cấu hình SNAT và thiết lập peer client.

Dưới đây là hướng dẫn cách thiết lập một VPN truy cập từ xa bằng các khả năng Wireguard tích hợp sẵn của VergeOS. Thông tin thêm có thể được tìm thấy trong phần Trợ giúp của Giao diện người dùng VergeOS.

Tạo cấu hình Wireguard trên Mạng nội bộ của bạn

Bạn có thể sử dụng một Mạng nội bộ hiện có hoặc tạo một Mạng nội bộ mới.

1. Trong UI của Verge OS, điều hướng đến Networks -> Internals và xem hoặc nhấp đúp vào Mạng nội bộ mà bạn muốn sử dụng.
2. Trong menu bên trái, nhấp vào Wireguard (VPN).
3. Nhấp vào Thêm giao diện mới.
4. Nhập các thông tin sau:

   • Nhập một Tên duy nhất cho giao diện này.
   • Nhập một Mô tả (tùy chọn).
   • Chọn Đã bật.
   • Nhập Địa chỉ IP để dùng cho Mạng nội bộ Wireguard này. Cấu hình này phải là tách biệt với sơ đồ IP của mạng nội bộ hiện có của bạn. Ví dụ, nếu Mạng nội bộ của bạn đang sử dụng 192.168.0.1/24, bạn phải chọn một sơ đồ IP duy nhất khác như 192.168.255.1/24.
   • Nhập Cổng lắng nghe được dùng khi kết nối với VPN (Mặc định: 51820). Đây là cổng bạn sẽ dùng trên mạng ngoài của mình để gửi lưu lượng VPN vào Mạng nội bộ.
   • Nhập một Khóa riêng hoặc để trống để tự động tạo khóa.
   • Nhập một IP điểm cuối hoặc để trống, và hệ thống sẽ cố gắng tự phát hiện IP. Chúng tôi rất khuyến nghị bạn nhập IP thủ công để đảm bảo cấu hình chính xác. IP này là IP ngoài của môi trường bạn, thường giống với IP của UI. Bạn có thể tìm IP ngoài của mình bằng cách vào Networks -> Externals và xem mạng ngoài của bạn. Trong phần Network Router, đó phải là địa chỉ IP như bên dưới:
5. Nhấp Gửi để thêm giao diện mới.
6. Sau khi thêm giao diện, hệ thống sẽ đưa bạn đến bảng điều khiển nơi bạn sẽ thấy giao diện mới của mình.
7. Nhấp Áp dụng quy tắc trên thanh menu bên trái để áp dụng các quy tắc tường lửa. Các quy tắc được tạo tự động sẽ chấp nhận lưu lượng UDP đi vào trên cổng 51820 đến cả IP Router và IP DMZ của Mạng nội bộ.

Quy tắc PAT của mạng ngoài

Để mạng nội bộ được kết nối, chúng ta cần một PAT (Port Address Translation) để dịch cổng (mặc định 51820) sang mạng nội bộ.

2023-09-06_11_56_18-training___rules.png

Thêm quy tắc PAT bên ngoài

1. Từ Mạng ngoài Bảng điều khiển, nhấp Quy tắc trong menu bên trái.
2. Nhấp Mới trong menu bên trái.
3. Nhập một Tên điều đó sẽ hữu ích cho việc quản trị trong tương lai.
4. Tùy chọn, một Mô tả có thể được nhập để ghi lại thêm thông tin quản trị.
5. Trong Hành động trong danh sách thả xuống, chọn Dịch.
6. Trong Giao thức trong danh sách thả xuống, chọn UDP.
7. Trong Hướng trong danh sách thả xuống, chọn Vào.

Nguồn:

1. Trong Loại trong danh sách thả xuống, chọn Bất kỳ/Không. Tùy chọn, bạn có thể khóa nguồn lưu lượng VPN tại đây nếu cần.

Đích:

1. Trong Loại trong danh sách thả xuống, chọn IP bộ định tuyến của tôi. Nếu bạn đang ở trong một thuê bao, hãy đổi thành Địa chỉ IP của tôi và chọn IP của UI của tenant. Điều này nên giống với IP điểm cuối đã dùng ở trên. Nếu dùng IP khác với IP của UI, hãy tạo một SNAT quy tắc trên Bên ngoài mạng của nhà cung cấp.
2. Trong Cổng đích/Phạm vi trong trường, nhập Cổng (Cổng mặc định: 51820).

Mục tiêu:

1. Trong Loại trong danh sách thả xuống, chọn IP DMZ của mạng khác.
2. Trong Mạng đích trong danh sách thả xuống, chọn Mạng đích.
3. Để trống Cổng đích/Phạm vi trường.
4. Nhấp Gửi và Áp dụng quy tắc trong menu bên trái để áp dụng quy tắc mới.

Quy tắc SNAT (nếu không dùng IP của UI)

Nếu bạn đang thêm Wireguard và không sử dụng địa chỉ IP của UI, chúng tôi khuyến nghị tạo một SNAT quy tắc trên Bên ngoài mạng của nhà cung cấp.

1. Từ Mạng ngoài Bảng điều khiển, nhấp Quy tắc trong menu bên trái.
2. Nhấp Mới trong menu bên trái.
3. Nhập một Tên điều đó sẽ hữu ích cho việc quản trị trong tương lai.
4. Tùy chọn, nhập một Mô tả để có thêm thông tin.
5. Trong Hành động trong danh sách thả xuống, chọn Dịch.
6. Trong Giao thức trong danh sách thả xuống, chọn UDP.
7. Trong Hướng trong danh sách thả xuống, chọn Đi ra.

Nguồn:

1. Trong Loại trong danh sách thả xuống, chọn IP DMZ của mạng khác.
2. Trong Mạng trong danh sách thả xuống, chọn Mạng nội bộ mà Wireguard đang nằm trên đó.
3. Để trống Cổng nguồn/Phạm vi trường.

Đích:

1. Trong Loại trong danh sách thả xuống, chọn Bất kỳ / Không.
2. Để trống Cổng đích/Phạm vi trường.

Mục tiêu:

1. Trong Loại trong danh sách thả xuống, chọn Địa chỉ IP của tôi.
2. Trong Địa chỉ IP trong danh sách thả xuống, chọn địa chỉ IP mà bạn muốn sử dụng.
3. Nhấp Gửi và Áp dụng quy tắc để bật quy tắc SNAT.

Quy tắc SNAT này buộc mọi lưu lượng đi ra từ IP DMZ của mạng nội bộ phải sử dụng IP đúng. Theo mặc định, lưu lượng sẽ đi ra qua IP của UI, gây ra sự cố flapping.

Thêm một peer người dùng từ xa

Bạn sẽ thiết lập một Peer cho mỗi người dùng kết nối vào VPN.

1. Từ màn hình giao diện Wireguard, nhấp Thêm peer mới.
2. Gán một Tên cho peer, chẳng hạn như tên của người dùng từ xa.
3. Tùy chọn, nhập một Mô tả.
4. Kiểm tra Tự động tạo cấu hình peer ô chọn.
5. Nhập Endpoint cho Peer (địa chỉ IP hướng ra ngoài, hostname hoặc URL).
6. Đối với IP được phép, nhập IP /32 cho peer này.
7. Trong Cấu hình tường lửa trong danh sách thả xuống, chọn Người dùng từ xa.
8. Nhấp Gửi để lưu mục peer.

Tải xuống tệp cấu hình:

1. Nhấp vào Tải xuống cấu hình trên bản ghi peer và tải tệp xuống.

   

   download-link.png

   

   configuration-file.png

Cài đặt phần mềm WireGuard trên máy khách:

Phần mềm khách WireGuard có thể tải xuống từ: https://wireguard.com/install.

1. Cài đặt WireGuard trên máy khách.
2. Nhấp Thêm đường hầm.
3. Điều hướng đến và chọn tệp cấu hình đã tạo.
4. Nhấp vào Kích hoạt nút để mở đường hầm.

---

Thông tin tài liệu

• Cập nhật lần cuối: 2024-08-29
• Phiên bản vergeOS: 4.11