WireGuard
Leitfaden zur Konfiguration von WireGuard VPN in VergeOS, einschließlich Erstellung von Schnittstellen, Peer-Definitionen, automatisch generierten Konfigurationen und Firewall-Regel-Setup für Site-to-Site und Remote-Zugriff.
WireGuard ist eine moderne, quelloffene VPN-Software und ein Tunnelprotokoll, das schnelle Kommunikation unter Verwendung modernster Kryptografie bietet. WireGuard wurde in VergeOS integriert, um sichere Tunnel mit minimalem Einrichtungsaufwand zu implementieren. Diese sicheren Tunnel können sowohl für den Fernzugriff von Benutzern als auch für Site-to-Site-Konnektivität verwendet werden. Im Folgenden werden die grundlegenden Bestandteile der Einrichtung beschrieben; ausführliche Referenzbeispiele finden Sie unter WireGuard-Beispiele
Grundlegende Schritte zur Konfiguration von WireGuard
Netzwerk auswählen:
WireGuard ist an ein VergeOS-Netzwerk gebunden; dies sollte ein Netzwerk sein, das Zugriff auf alle Netzwerke hat, die das VPN erreichen soll.
WireGuard-Schnittstelle erstellen:
Navigieren Sie zum ausgewählten Netzwerk.
Klicken Sie WireGuard (VPN) im linken Menü.
Klicken Sie Neue Schnittstelle.
Namen - ein aussagekräftiger Name für die Schnittstelle.
Beschreibung (optional) - kann eingegeben werden, um zusätzlichen freien Text sowie administrative Informationen für die Schnittstelle zu erfassen.
IP-Adresse - definiert die IP-/Netzwerkadresse für die Schnittstelle. Dies sollte ein eindeutiger Adressraum sein, der speziell für das VPN reserviert wurde und nicht mit der Adressierung auf teilnehmenden Netzwerken im System oder auf VPN-Peers kollidiert. Beispiel: Wenn WireGuard an ein internes Netzwerk angeschlossen wird, das die Standardadressierung 192.168.0.1/24 verwendet, und ein Peer ein Adressschema von 10.10.100.0/24 nutzt, könnte für die WireGuard-Schnittstelle ein Adressschema von 192.168.1.0/24 verwendet werden, da es sich nicht mit der verwendeten lokalen oder Peer-Adressierung überschneidet.
Listen-Port - kann in der Regel auf dem standardmäßigen WireGuard-Port 51820 belassen werden;
Der Listen-Port kann auf einen anderen UDP-Port geändert werden. Bei Verwendung eines nicht standardmäßigen Ports, achten Sie darauf, mögliche Konflikte zu vermeiden; prüfen Sie, dass der angegebene Port nicht verwendet wird. Vergewissern Sie sich außerdem, dass die VPN-Peers so konfiguriert sind, dass sie sich mit dem passenden Port verbinden.
privaten Schlüssel - bleibt normalerweise leer, damit das Schlüsselpaar automatisch generiert werden kann; bei Bedarf kann jedoch ein bestimmter privater Schlüssel eingegeben werden.
Endpunkt-IP (optional) - die externe Adresse, mit der sich ein Peer verbindet (IP oder URL), für die Verwendung in automatisch generierten Peer-Konfigurationen. Wenn das Feld leer gelassen wird, versucht das System, die passende IP zu ermitteln.
Klicken Sie Senden um die neue Schnittstelle zu speichern.
Peer-Definition(en) erstellen:
Für jede Entität, die sich mit dieser WireGuard-Instanz verbindet, muss eine Peer-Definition erstellt werden. Um beispielsweise eine Site-to-Site-VPN-Implementierung zu erstellen, hätte jede Seite eine WireGuard-Schnittstelle und würde die jeweils andere als Peer konfigurieren, wobei der öffentliche Schlüssel der anderen Seite im Peer-Datensatz verwendet wird. Um ein Fernzugriffssystem für Benutzer zu erstellen, wird für jeden verbindenden Benutzer ein Peer-Datensatz erstellt, jeweils mit einem anderen öffentlichen Schlüssel.
Klicken Sie im Netzwerk-Dashboard auf WireGuard (VPN) im linken Menü.
Klicken Sie Neuer Peer.
Die passende Schnittstelle auswählen aus der Dropdown-Liste aus.
Namen - der Name für den Peer; verwenden Sie einen beschreibenden Namen, z. B. den Namen des anderen Standorts (bei Site-to-Site) oder den Namen des entfernten Benutzers.
Beschreibung (optional) - kann eingegeben werden, um zusätzliche administrative Informationen zu erfassen.
Kontrollkästchen „Peer-Konfiguration automatisch generieren“ (erstellt eine Konfigurationsdatei für Fernzugriffsbenutzer) - kann ausgewählt werden, um die meisten Felder automatisch zu setzen und eine Konfigurationsdatei zur Verwendung auf dem Peer-System zu erstellen. *Weitere Informationen am Ende der Anweisungen zum Erstellen der Peer-Definition.
Endpunkt - die externe IP oder der Hostname des Peers; die Adresse, von der aus dieses System auf den Peer zugreifen würde.
Listen-Port - kann auf dem standardmäßigen WireGuard-Standardwert von 51820 belassen oder auf einen anderen UDP-Port geändert werden.
Der Listen-Port kann auf einen anderen UDP-Port geändert werden. Bei Verwendung eines nicht standardmäßigen Ports, achten Sie darauf, mögliche Konflikte zu vermeiden; prüfen Sie, dass der angegebene Port nicht verwendet wird. Die Schnittstellenkonfiguration (Anweisungen oben) muss einen passenden Port verwenden.
Peer-IP - die IP-Adresse, über die der Datenverkehr hierher geleitet wird; typischerweise ist dies die interne Adresse, die der lokalen Schnittstelle auf diesem Peer zugewiesen ist.
öffentlichen Schlüssel - der Base64-öffentliche Schlüssel des Peers.
Wenn der Peer ein anderes VergeOS-System ist, kann dieser Schlüssel über das Kopiersymbol vom Dashboard dieses Systems kopiert werden.
Vorab geteilter Schlüssel (optional) - kann eingegeben werden, um eine zusätzliche Sicherheitsebene bereitzustellen. Dies ermöglicht die Verwendung symmetrischer Verschlüsselung zusätzlich zur erforderlichen Verschlüsselung mit öffentlichem und privatem Schlüsselpaar. Wenn hier ein vorab geteilter Schlüssel eingegeben wird, muss derselbe Schlüssel in der Konfiguration des zugehörigen Peers eingegeben werden.
Erlaubte IPs - ein oder mehrere IP-Adressbereiche im CIDR-Format (z. B. 192.168.0.1/24; 10.135.12.65/27; 10.10.125.9/29); dies sind Quelladressen, deren eingehende Verbindungen von diesem Peer erlaubt werden und zu denen der Datenverkehr für diesen Peer weitergeleitet wird.
Firewall konfigurieren - die Auswahl bestimmt die automatische Konfiguration der Firewall-Regeln:
Site-to-Site - erstellt Firewall-Regeln für einen Standort-Peer
Remotebenutzer - erstellt Firewall-Regeln für einen Peer eines entfernten Benutzers
Keine Regeln erstellen - generiert keine Firewall-Regeln automatisch; die erforderliche Firewall-Konfiguration muss manuell vorgenommen werden.
Keepalive - standardmäßig ist dies auf 0 gesetzt, was bedeutet, dass Keepalives deaktiviert sind. Die Roaming-Eigenschaft von WireGuard sorgt typischerweise für zuverlässiges NAT-Traversal, ohne dass NAT Sessions lange offen halten muss; in Szenarien, in denen es jedoch zwingend erforderlich ist, eine NAT-Session oder eine zustandsbehaftete Firewall unbegrenzt offen zu halten, kann ein Wert eingegeben werden, um automatisch alle x Sekunden dauerhafte, authentifizierte Keepalives zu senden.
Peer-Konfiguration automatisch generieren
Bei Verwendung dieser Option wird eine Konfigurationsdatei erzeugt und die folgenden Felder werden vom System automatisch erkannt und ausgefüllt: - Port - Peer-IP - Öffentlicher Schlüssel - Vorab geteilter Schlüssel - Erlaubte IPs - Zusätzlich wird der Keepalive-Wert automatisch auf 25 gesetzt.
Klicken Sie Senden um den neuen Peer-Datensatz zu speichern.
Regeln anwenden:
Vom System generierte Netzwerkregeln (z. B. NAT, Firewall, Routen) werden nicht automatisch angewendet. Klicken Sie Regeln anwenden im linken Menü, um diese Regeln wirksam zu machen.
Zuletzt aktualisiert
War das hilfreich?