> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/knowledge-base/vi/networking/wireguard--setup-remote-access-vpn.md).

# WireGuard - Thiết lập VPN truy cập từ xa

Dưới đây là hướng dẫn cách thiết lập một VPN truy cập từ xa bằng các khả năng Wireguard tích hợp sẵn của VergeOS. Thông tin thêm có thể được tìm thấy trong phần Trợ giúp của Giao diện người dùng VergeOS.

## Tạo cấu hình Wireguard trên Mạng nội bộ của bạn

{% hint style="info" %}
**Bạn có thể sử dụng một Mạng nội bộ hiện có hoặc tạo một Mạng nội bộ mới.**
{% endhint %}

1. Trong UI của Verge OS, điều hướng đến **Networks -> Internals** và xem hoặc **nhấp đúp** vào Mạng nội bộ mà bạn muốn sử dụng.
2. Trong menu bên trái, nhấp vào **Wireguard (VPN)**.
3. Nhấp vào **Thêm giao diện mới**. ![wireguardvpn-img1.png](/files/59066241e899e3745f73b65c716f68b19532a2cf)
4. Nhập các thông tin sau:
   * Nhập một **Tên** duy nhất cho giao diện này.
   * Nhập một **Mô tả** (tùy chọn).
   * Chọn **Đã bật**.
   * Nhập **Địa chỉ IP** để dùng cho Mạng nội bộ Wireguard này. Cấu hình này **phải là** tách biệt với sơ đồ IP của mạng nội bộ hiện có của bạn. Ví dụ, nếu Mạng nội bộ của bạn đang sử dụng 192.168.0.1/24, bạn phải chọn một sơ đồ IP duy nhất khác như 192.168.255.1/24.
   * Nhập **Cổng lắng nghe** được dùng khi kết nối với VPN (**Mặc định: 51820**). Đây là cổng bạn sẽ dùng trên mạng ngoài của mình để gửi lưu lượng VPN vào Mạng nội bộ.
   * Nhập một **Khóa riêng** hoặc để trống để tự động tạo khóa.
   * Nhập một **IP điểm cuối** hoặc để trống, và hệ thống sẽ cố gắng tự phát hiện IP. Chúng tôi **rất khuyến nghị** bạn nhập IP thủ công để đảm bảo cấu hình chính xác. IP này là IP ngoài của môi trường bạn, thường giống với IP của UI. Bạn có thể tìm IP ngoài của mình bằng cách vào **Networks -> Externals** và xem mạng ngoài của bạn. Trong phần Network Router, đó phải là địa chỉ IP như bên dưới: ![wireguardvpn-img3-fixed.png](/files/45d67d59cd85050c786940aa51f30f2c92c6e988)
5. Nhấp **Gửi** để thêm giao diện mới.
6. Sau khi thêm giao diện, hệ thống sẽ đưa bạn đến bảng điều khiển nơi bạn sẽ thấy giao diện mới của mình.\
   ![wireguardvpn-img2.png](/files/cd14e60483bd9a039551846daa277bd3ac28db2b)
7. Nhấp **Áp dụng quy tắc** trên thanh menu bên trái để áp dụng các quy tắc tường lửa. Các quy tắc được tạo tự động sẽ chấp nhận lưu lượng UDP đi vào trên cổng 51820 đến cả IP Router và IP DMZ của **Mạng nội bộ**. ![wireguardvpn-img-intrules.png](/files/ca9b7dc7e613d44d4a2dee766f287d5859c70f96)

## Quy tắc PAT của mạng ngoài

Để mạng nội bộ được kết nối, chúng ta cần một **PAT** (Port Address Translation) để dịch cổng (**mặc định 51820**) sang **mạng nội bộ**.

![2023-09-06\_11\_56\_18-training\_\_\_rules.png](/files/cea62294cc4e8ce1f5ee91d47beb2627d91be065)

### Thêm quy tắc PAT bên ngoài

1. Từ **Mạng ngoài** Bảng điều khiển, nhấp **Quy tắc** trong menu bên trái.
2. Nhấp **Mới** trong menu bên trái.
3. Nhập một ***Tên*** điều đó sẽ hữu ích cho việc quản trị trong tương lai.
4. **Tùy chọn**, một ***Mô tả*** có thể được nhập để ghi lại thêm thông tin quản trị.
5. Trong ***Hành động*** trong danh sách thả xuống, chọn **Dịch**.
6. Trong ***Giao thức*** trong danh sách thả xuống, chọn **UDP**.
7. Trong ***Hướng*** trong danh sách thả xuống, chọn **Vào**.

**Nguồn:**

8. Trong ***Loại*** trong danh sách thả xuống, chọn **Bất kỳ/Không**. **Tùy chọn**, bạn có thể khóa nguồn lưu lượng VPN tại đây nếu cần.

**Đích:**

9. Trong ***Loại*** trong danh sách thả xuống, chọn **IP bộ định tuyến của tôi**. Nếu bạn đang ở trong một **thuê bao**, hãy đổi thành **Địa chỉ IP của tôi** và chọn IP của **UI của tenant**. Điều này nên giống với **IP điểm cuối** đã dùng ở trên. Nếu dùng IP khác với IP của UI, hãy tạo một **SNAT** quy tắc trên **Bên ngoài** mạng của nhà cung cấp.
10. Trong ***Cổng đích/Phạm vi*** trong trường, nhập **Cổng** (Cổng mặc định: 51820).

**Mục tiêu:**

11. Trong ***Loại*** trong danh sách thả xuống, chọn **IP DMZ của mạng khác**.
12. Trong ***Mạng đích*** trong danh sách thả xuống, chọn **Mạng đích**.
13. Để trống ***Cổng đích/Phạm vi*** trường.
14. Nhấp **Gửi** và **Áp dụng quy tắc** trong menu bên trái để áp dụng quy tắc mới.

## Quy tắc SNAT (nếu không dùng IP của UI)

Nếu bạn đang thêm **Wireguard** và không sử dụng địa chỉ IP của **UI**, chúng tôi khuyến nghị tạo một **SNAT** quy tắc trên **Bên ngoài** mạng của nhà cung cấp.

1. Từ **Mạng ngoài** Bảng điều khiển, nhấp **Quy tắc** trong menu bên trái.
2. Nhấp **Mới** trong menu bên trái.
3. Nhập một ***Tên*** điều đó sẽ hữu ích cho việc quản trị trong tương lai.
4. **Tùy chọn**, nhập một ***Mô tả*** để có thêm thông tin.
5. Trong ***Hành động*** trong danh sách thả xuống, chọn **Dịch**.
6. Trong ***Giao thức*** trong danh sách thả xuống, chọn **UDP**.
7. Trong ***Hướng*** trong danh sách thả xuống, chọn **Đi ra**.

**Nguồn:**

8. Trong ***Loại*** trong danh sách thả xuống, chọn **IP DMZ của mạng khác**.
9. Trong ***Mạng*** trong danh sách thả xuống, chọn Mạng nội bộ mà Wireguard đang nằm trên đó.
10. Để trống ***Cổng nguồn/Phạm vi*** trường.

**Đích:**

11. Trong ***Loại*** trong danh sách thả xuống, chọn **Bất kỳ / Không**.
12. Để trống ***Cổng đích/Phạm vi*** trường.

**Mục tiêu:**

13. Trong ***Loại*** trong danh sách thả xuống, chọn **Địa chỉ IP của tôi**.
14. Trong ***Địa chỉ IP*** trong danh sách thả xuống, chọn **địa chỉ IP** mà bạn muốn sử dụng.
15. Nhấp **Gửi** và **Áp dụng quy tắc** để bật quy tắc SNAT.

{% hint style="info" %}
**Quy tắc SNAT này buộc mọi lưu lượng đi ra từ IP DMZ của mạng nội bộ phải sử dụng IP đúng. Theo mặc định, lưu lượng sẽ đi ra qua IP của UI, gây ra sự cố flapping.**
{% endhint %}

## Thêm một peer người dùng từ xa

{% hint style="info" %}
**Bạn sẽ thiết lập một Peer cho mỗi người dùng kết nối vào VPN.**
{% endhint %}

1. Từ màn hình giao diện Wireguard, nhấp **Thêm peer mới**. ![wireguardvpn-img4.png](/files/a61c44fae4e5c4d4d14548bb9c1fdee7223e9b89)
2. Gán một **Tên** cho peer, chẳng hạn như tên của người dùng từ xa.
3. Tùy chọn, nhập một **Mô tả**.
4. Kiểm tra **Tự động tạo cấu hình peer** ô chọn.
5. Nhập **Endpoint** cho Peer (địa chỉ IP hướng ra ngoài, hostname hoặc URL).
6. Đối với **IP được phép**, nhập IP /32 cho peer này.
7. Trong **Cấu hình tường lửa** trong danh sách thả xuống, chọn **Người dùng từ xa**.
8. Nhấp **Gửi** để lưu mục peer. ![wireguardvpn-img6.png](/files/085f9f8bafedf592619bab410ee545b696de34a1)

### Tải xuống tệp cấu hình:

9. Nhấp vào **Tải xuống cấu hình** trên bản ghi peer và tải tệp xuống.

   ![download-link.png](/files/0410141ff117044585eb705e0f811c039d84fed5) ![configuration-file.png](/files/33eca2a326bdd079a1ed488671fce73a627cd224)

### Cài đặt phần mềm WireGuard trên máy khách:

Phần mềm khách WireGuard có thể tải xuống từ: <https://wireguard.com/install>.

1. Cài đặt WireGuard trên máy khách.
2. Nhấp **Thêm đường hầm**.
3. Điều hướng đến và chọn tệp cấu hình đã tạo.
4. Nhấp vào **Kích hoạt** nút để mở đường hầm. ![tunnel-active.png](/files/f011a89d6aa50bc25791bfb924b5f5fe47ae203d)

***

{% hint style="info" %}
**Thông tin tài liệu**

* Cập nhật lần cuối: 2024-08-29
* Phiên bản vergeOS: 4.11
  {% endhint %}


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/knowledge-base/vi/networking/wireguard--setup-remote-access-vpn.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.