> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/run-the-platform/vi/vpn/wireguard-config.md).

# WireGuard

WireGuard là một phần mềm VPN và giao thức đường hầm mã nguồn mở, hiện đại, cung cấp liên lạc nhanh bằng cách sử dụng mật mã tiên tiến nhất. WireGuard đã được tích hợp vào VergeOS để triển khai các đường hầm an toàn với nỗ lực thiết lập tối thiểu. Các đường hầm an toàn này có thể được dùng cho cả truy cập từ xa của người dùng và kết nối site-to-site. Phần sau đây nêu các thành phần cơ bản của quá trình thiết lập; để xem các ví dụ tham khảo chi tiết, hãy xem [**Ví dụ WireGuard**](/run-the-platform/vi/vpn/wireguard-examples.md)

## Các bước cơ bản để cấu hình WireGuard

### Chọn mạng:

WireGuard được gắn vào một mạng VergeOS; đây nên là một mạng có quyền truy cập đến tất cả các mạng mà VPN cần kết nối đến.

### Tạo giao diện WireGuard:

1. **Đi tới mạng đã chọn.**
2. Nhấp vào **WireGuard(VPN)** ở menu bên trái.
3. Nhấp vào **Giao diện mới**.
   * ***Tên*** - một tên thân thiện cho giao diện.
   * ***Mô tả (không bắt buộc)*** - có thể nhập để ghi lại thêm văn bản tự do và thông tin quản trị cho giao diện.
   * ***Địa chỉ IP*** - xác định địa chỉ IP/mạng cho giao diện. Đây phải là một không gian địa chỉ duy nhất, được dành riêng cho VPN và sẽ không xung đột với địa chỉ trên các mạng tham gia trong hệ thống hoặc các peer VPN. Ví dụ: nếu gắn WireGuard vào một mạng nội bộ sử dụng địa chỉ mặc định 192.168.0.1/24 và một peer sử dụng sơ đồ địa chỉ 10.10.100.0/24, có thể dùng sơ đồ địa chỉ 192.168.1.0/24 cho giao diện WireGuard, vì nó sẽ không giao cắt với địa chỉ cục bộ hoặc địa chỉ của peer đang sử dụng.
   * ***Cổng lắng nghe*** - thường có thể để mặc định ở cổng WireGuard tiêu chuẩn là 51820;

{% hint style="success" %}
Cổng lắng nghe có thể được thay đổi sang một cổng UDP khác. **Khi sử dụng cổng không tiêu chuẩn**, hãy chắc chắn tránh mọi xung đột tiềm ẩn; kiểm tra để đảm bảo cổng đã cho không đang được sử dụng. Đồng thời xác minh rằng các peer VPN được cấu hình để kết nối tới đúng cổng.
{% endhint %}

* ***Khóa riêng*** - thường để trống để hệ thống tự tạo cặp khóa, tuy nhiên có thể nhập khóa riêng cụ thể nếu muốn.

{% hint style="info" %}

* WireGuard yêu cầu khóa công khai và khóa riêng được mã hóa base64; khóa riêng được nhập phải là một khóa base64 hoàn chỉnh.
* Khóa công khai luôn do hệ thống tạo dựa trên khóa riêng được hệ thống tự động tạo hoặc do người dùng nhập.
  {% endhint %}

- ***IP điểm cuối (tùy chọn)*** - địa chỉ bên ngoài mà peer sẽ kết nối tới (IP hoặc URL), sẽ được dùng trong các cấu hình peer được tạo tự động. Nếu để trống, hệ thống sẽ cố gắng xác định IP phù hợp.

4. Nhấp vào **Gửi** để lưu Giao diện mới.

### Tạo định nghĩa peer:

Cần tạo một định nghĩa peer cho mỗi thực thể sẽ kết nối với phiên bản WireGuard này. Ví dụ, để tạo một triển khai VPN site-to-site, mỗi phía sẽ có một giao diện WireGuard và cấu hình phía còn lại là peer, sử dụng khóa công khai của phía kia trong bản ghi peer. Để tạo hệ thống truy cập từ xa cho người dùng, một bản ghi peer được tạo cho mỗi người dùng sẽ kết nối, mỗi bản ghi có một khóa công khai khác nhau.

1. Từ Bảng điều khiển Mạng, nhấp **WireGuard (VPN)** ở menu bên trái.
2. Nhấp vào **Peer mới**.
   * **Chọn giao diện phù hợp** từ danh sách thả xuống.
   * ***Tên*** - tên của peer; hãy dùng một tên mô tả, chẳng hạn tên của địa điểm còn lại (đối với site-to-site) hoặc tên của người dùng từ xa.
   * ***Mô tả (tùy chọn)*** - có thể nhập để ghi lại thêm thông tin quản trị.
   * ***Tự động tạo cấu hình Peer*** (tạo một tệp cấu hình để dùng cho người dùng truy cập từ xa) - có thể được chọn để tự động đặt hầu hết các trường và tạo tệp cấu hình để dùng trên hệ thống peer. \*Xem thêm thông tin ở cuối hướng dẫn Tạo định nghĩa peer.
   * ***Điểm cuối*** - IP hoặc tên máy chủ hướng ra ngoài của peer; địa chỉ mà hệ thống này sẽ dùng để truy cập peer.
   * ***Cổng lắng nghe*** - thường có thể để ở mặc định WireGuard là 51820, hoặc thay đổi sang một cổng UDP khác.

{% hint style="success" %}
Cổng lắng nghe có thể được thay đổi sang một cổng UDP khác. **Khi sử dụng cổng không tiêu chuẩn**, hãy chắc chắn tránh mọi xung đột tiềm ẩn; kiểm tra để đảm bảo cổng đã cho không đang được sử dụng. Cấu hình giao diện (hướng dẫn ở trên) phải dùng cổng khớp nhau.
{% endhint %}

* ***IP của peer*** - địa chỉ IP định tuyến lưu lượng tới đây; thông thường đây là địa chỉ nội bộ được gán cho giao diện cục bộ trên peer này.
* ***Khóa công khai*** - khóa công khai 64base từ peer.

{% hint style="success" %}
Nếu peer là một hệ thống VergeOS khác, có thể sao chép khóa này từ bảng điều khiển trên hệ thống đó bằng biểu tượng sao chép.
{% endhint %}

* ***Khóa dùng chung trước (tùy chọn)*** - có thể nhập để cung cấp thêm một lớp bảo mật. Điều này cho phép dùng mã hóa đối xứng ngoài cặp mã hóa khóa công khai-khóa riêng bắt buộc. Nếu nhập khóa dùng chung trước ở đây, thì cùng khóa đó phải được nhập trong cấu hình ở peer tương ứng.
* ***IP được phép*** - một hoặc nhiều đoạn địa chỉ IP, ở định dạng CIDR (ví dụ 192.168.0.1/24; 10.135.12.65/27;10.10.125.9/29); đây là các địa chỉ nguồn sẽ được cho phép đi vào từ peer này và là nơi lưu lượng sẽ được định tuyến đến cho peer này.
* ***Cấu hình Tường lửa*** - lựa chọn này xác định tự động cấu hình các quy tắc tường lửa:
  * **Site-to-Site** - tạo các quy tắc tường lửa cho một peer site
  * **Người dùng từ xa** - tạo các quy tắc tường lửa cho một peer người dùng từ xa
  * **Không tạo quy tắc** - không tự động tạo bất kỳ quy tắc tường lửa nào; việc cấu hình tường lửa cần thiết phải được xử lý thủ công.
* ***Giữ kết nối*** - theo mặc định được đặt là 0, nghĩa là giữ kết nối bị tắt. Tính năng roaming của WireGuard thường đảm bảo chuyển tiếp NAT đáng tin cậy mà không cần NAT giữ phiên mở trong thời gian dài; tuy nhiên, trong các kịch bản mà việc giữ mở một phiên NAT hoặc tường lửa trạng thái là bắt buộc vô thời hạn, có thể nhập một giá trị để tự động gửi các keepalive liên tục, được xác thực, mỗi x giây.

#### Tự động tạo cấu hình peer

Khi dùng tùy chọn này, một tệp cấu hình sẽ được tạo và các trường sau sẽ được hệ thống tự động phát hiện và điền vào: - Cổng - IP peer - Khóa công khai - Khóa dùng chung trước - Các IP được phép - Ngoài ra, giá trị Keepalive sẽ tự động được đặt là 25.

3. Nhấp vào **Gửi** để lưu bản ghi Peer mới.

### Áp dụng quy tắc:

Các quy tắc mạng do hệ thống tạo ra (ví dụ: NAT, tường lửa, tuyến đường) sẽ không được tự động áp dụng. Nhấp ***Áp dụng quy tắc*** ở menu bên trái để kích hoạt các quy tắc này.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/run-the-platform/vi/vpn/wireguard-config.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.