WireGuard VPN адреса: настройка сервера и клиентов, подсети и маршрутизация

Что такое WireGuard и почему важна адресация

WireGuard — это современный VPN-протокол с открытым исходным кодом, который выделяется простотой, высокой производительностью и современной криптографией. В отличие от OpenVPN или IPsec, его кодовая база составляет менее 4 тысяч строк, что упрощает аудит и снижает риск уязвимостей. Протокол использует алгоритмы ChaCha20, Curve25519 и BLAKE2, обеспечивающие надежное шифрование.

Ключевая особенность WireGuard — концепция криптографической маршрутизации: каждый участник сети («пир») идентифицируется публичным ключом, а не IP-адресом. Это означает, что адресация внутри VPN-туннеля играет важную роль для маршрутизации трафика, но не для аутентификации. Правильно настроенные IP-адреса и параметр AllowedIPs определяют, какие пакеты будут направляться через туннель, а какие — в обход.

Понимание адресации необходимо для:

• избежания конфликтов с локальной сетью;
• корректной маршрутизации между клиентами и сервером;
• организации доступа к локальным ресурсам при включенном VPN;
• настройки site-to-site соединений между офисами.

В этой статье мы подробно разберем, как выбрать подсеть, назначить адреса серверу и клиентам, настроить AllowedIPs и решить типичные проблемы.

Выбор подсети для WireGuard: частные диапазоны и конфликты

Для WireGuard-туннеля рекомендуется выделять отдельную подсеть, которая не пересекается с локальными сетями, к которым подключаются клиенты. Чаще всего используются частные диапазоны, определенные в RFC 1918: 10.0.0.0/8, 172.16.0.0/12 и 192.168.0.0/16. Однако, если ваша домашняя или офисная сеть уже использует, например, 192.168.1.0/24, то для туннеля лучше выбрать другой диапазон, например, 10.10.10.0/24 или 172.16.10.0/24.

Почему это важно? Если адреса туннеля совпадут с адресами локальной сети, возникнут конфликты маршрутизации: пакеты, предназначенные для локального устройства, могут уйти в туннель, и наоборот. Это приведет к потере связи с принтером, NAS или другими устройствами.

При планировании адресации учитывайте:

• размер подсети (например, /24 позволяет подключить до 254 клиентов, /30 — только 2);
• необходимость резервирования адресов для будущего расширения;
• возможность использования IPv6, если требуется.

Пример: для домашнего VPN с несколькими клиентами подойдет подсеть 10.10.10.0/24, где сервер получит адрес 10.10.10.1, а клиенты — 10.10.10.2, 10.10.10.3 и так далее. Для site-to-site соединения между двумя офисами можно использовать /30 подсеть, например, 10.0.0.0/30, чтобы соединить два роутера.

Настройка IP-адреса сервера WireGuard

Сервер WireGuard — это устройство, которое принимает входящие подключения от клиентов и маршрутизирует трафик. Ему необходимо назначить статический IP-адрес внутри выбранной подсети. Этот адрес будет использоваться клиентами как шлюз для доступа к другим ресурсам через туннель.

В конфигурационном файле сервера (например, /etc/wireguard/wg0.conf) параметр Address задает IP-адрес и маску подсети. Например, Address = 10.10.10.1/24 означает, что сервер имеет адрес 10.10.10.1 в подсети /24. Важно, чтобы маска соответствовала выбранной подсети: если вы используете /24, то все клиенты должны быть из диапазона 10.10.10.0/24.

При настройке сервера также указывается порт прослушивания (ListenPort), по умолчанию 51820/UDP. Этот порт должен быть открыт в брандмауэре и проброшен на роутере, если сервер находится за NAT.

Пример конфигурации сервера:

[Interface]
PrivateKey = <приватный ключ сервера>
Address = 10.10.10.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Здесь PostUp и PostDown обеспечивают NAT для исходящего трафика клиентов, что позволяет им выходить в интернет через сервер.

Назначение адресов клиентам WireGuard

Каждый клиент WireGuard должен иметь уникальный IP-адрес в той же подсети, что и сервер. Адрес указывается в конфигурационном файле клиента в параметре Address. Например, для клиента peer1: Address = 10.10.10.2/32. Маска /32 означает, что клиент видит только свой собственный адрес, а маршрутизация к остальной сети осуществляется через сервер.

При создании клиентов важно:

• не использовать один и тот же адрес для разных клиентов;
• резервировать адреса для будущих подключений;
• учитывать, что сервер также является клиентом в своей собственной сети (его адрес 10.10.10.1).

В конфигурации сервера для каждого клиента добавляется блок [Peer], где указывается публичный ключ клиента и его AllowedIPs. Например:

[Peer]
PublicKey = <публичный ключ клиента>
AllowedIPs = 10.10.10.2/32

Этот параметр сообщает серверу, что пакеты, предназначенные для адреса 10.10.10.2, должны быть отправлены этому клиенту. Если клиенту нужно разрешить доступ ко всей подсети (например, 10.10.10.0/24), можно указать AllowedIPs = 10.10.10.0/24, но это обычно не требуется для простых сценариев.

Для мобильных клиентов, которые могут менять IP-адрес, важно установить PersistentKeepalive = 20 (или другое значение) в конфигурации клиента, чтобы поддерживать NAT-соединение активным.

Параметр AllowedIPs: управление маршрутизацией трафика

AllowedIPs — один из самых важных параметров в конфигурации WireGuard. Он определяет, какие IP-адреса (или подсети) должны маршрутизироваться через туннель. На стороне клиента AllowedIPs указывает, какие адреса отправлять через VPN-интерфейс, а какие — напрямую через обычное интернет-соединение.

Значение 0.0.0.0/0 означает, что весь трафик (весь IPv4) будет направлен через туннель. Это типично для сценариев, когда нужно скрыть весь трафик или получить доступ к интернету через VPN-сервер. Однако это также означает, что локальные ресурсы (например, домашний принтер) станут недоступны, если их адреса не будут исключены из AllowedIPs.

Для доступа к локальной сети при включенном VPN можно использовать исключения. Например, если локальная сеть использует 192.168.1.0/24, а VPN-подсеть — 10.10.10.0/24, то в AllowedIPs клиента можно указать:

AllowedIPs = 0.0.0.0/0, 192.168.1.0/24

Но это не сработает, так как 0.0.0.0/0 уже включает все адреса. Вместо этого нужно перечислить все публичные диапазоны, кроме локальных, что сложно. Более простой способ — использовать список исключений, как показано в некоторых руководствах, но это громоздко.

Практический подход: если вам нужен доступ к локальной сети, лучше не использовать 0.0.0.0/0, а указать только VPN-подсеть и, при необходимости, подсети удаленных офисов. Например, AllowedIPs = 10.10.10.0/24, 192.168.2.0/24. Тогда трафик к локальной сети (192.168.1.0/24) будет идти напрямую, а к VPN-ресурсам — через туннель.

На стороне сервера AllowedIPs для каждого пира обычно указывает адрес клиента (например, 10.10.10.2/32), но если клиент должен иметь доступ к другим подсетям за сервером, можно указать их. Например, если за сервером есть локальная сеть 192.168.1.0/24, то в конфигурации сервера для клиента можно указать AllowedIPs = 10.10.10.2/32, 192.168.1.0/24.

Настройка WireGuard на MikroTik: особенности адресации

MikroTik — популярный производитель сетевого оборудования, и начиная с RouterOS 7 появилась нативная поддержка WireGuard. Настройка адресации на MikroTik имеет свои особенности.

При создании интерфейса WireGuard в WinBox или через CLI необходимо указать MTU (рекомендуется 1420) и порт прослушивания. Приватный ключ генерируется автоматически, но его можно задать вручную. После создания интерфейса ему нужно назначить IP-адрес из выбранной подсети, например, 10.10.10.1/30 для site-to-site соединения.

Для добавления пира (клиента) в MikroTik необходимо указать публичный ключ клиента, AllowedIPs и, при необходимости, endpoint. Например, для мобильного клиента:

/interface wireguard peers add interface=wg-vpn public-key="<ключ>" allowed-address=10.10.10.2/32 endpoint-address=0.0.0.0

Важно: если клиент находится за NAT, на MikroTik нужно настроить PersistentKeepalive, чтобы соединение не разрывалось. Это делается в параметрах пира.

Также на MikroTik необходимо настроить маршрутизацию: добавить маршрут к подсети клиента через интерфейс WireGuard. Например, если клиент имеет адрес 10.10.10.2/32, нужно добавить маршрут:

/ip route add dst-address=10.10.10.2/32 gateway=wg-vpn

Для site-to-site соединения между двумя офисами на каждом роутере настраивается пир с адресами из общей подсети (например, 10.0.0.1/30 и 10.0.0.2/30) и маршруты к локальным сетям друг друга.

Использование docker-compose и веб-интерфейсов для управления адресами

Для упрощения развертывания WireGuard часто используют готовые решения, такие как wg-easy, которые предоставляют веб-интерфейс для управления клиентами и адресами. Это удобно, когда нужно быстро настроить VPN без ручного редактирования конфигурационных файлов.

В docker-compose файле для wg-easy можно задать параметры адресации через переменные окружения:

• WG_DEFAULT_ADDRESS — диапазон адресов, выдаваемых клиентам (например, 10.8.0.0/24);
• WG_DEFAULT_DNS — DNS-сервер для клиентов (например, 8.8.8.8);
• WG_ALLOWED_IPS — разрешенные IP-адреса для клиентов (по умолчанию 0.0.0.0/0);
• WG_PORT — UDP-порт для WireGuard (по умолчанию 51820).

Пример фрагмента docker-compose.yml:

services:
  wg-easy:
    image: ghcr.io/wg-easy/wg-easy
    environment:
      WG_HOST: 'your-server-ip'
      PASSWORD_HASH: '$2a$12$...'
      WG_DEFAULT_ADDRESS: '10.8.0.0/24'
      WG_DEFAULT_DNS: '8.8.8.8'
      WG_ALLOWED_IPS: '0.0.0.0/0'
    volumes:
      - ./wireguard:/etc/wireguard
    ports:
      - 51820:51820/udp
      - 51821:51821/tcp
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv6.conf.all.disable_ipv6=0
    restart: unless-stopped

Веб-интерфейс wg-easy позволяет добавлять клиентов, генерировать QR-коды и конфигурационные файлы. При этом адресация назначается автоматически на основе WG_DEFAULT_ADDRESS. Это удобно, но ограничивает гибкость: например, сложно настроить site-to-site соединение или использовать нестандартные подсети.

Если вам нужен полный контроль, лучше использовать ручную настройку, как описано в предыдущих разделах.

Типичные проблемы с адресацией и их решение

При настройке WireGuard часто возникают проблемы, связанные с адресацией. Рассмотрим наиболее распространенные.

1. Конфликт подсетей. Если VPN-подсеть совпадает с локальной сетью клиента, возникает конфликт маршрутов. Решение — выбрать другую подсеть для VPN, например, использовать 10.10.10.0/24, если локальная сеть использует 192.168.1.0/24.

2. Недоступность локальных ресурсов при AllowedIPs = 0.0.0.0/0. Весь трафик идет через туннель, и локальные устройства становятся недоступны. Решение — настроить AllowedIPs с исключениями или использовать только VPN-подсеть.

3. Клиент не может подключиться, если не указан endpoint. Для клиентов за NAT необходимо указать публичный IP-адрес и порт сервера в параметре Endpoint. Например, Endpoint = your-server-ip:51820.

4. Соединение разрывается при смене IP-адреса клиента. WireGuard автоматически обновляет endpoint, но для NAT требуется PersistentKeepalive. Установите значение 20-25 секунд.

5. Нет доступа к интернету через VPN. Убедитесь, что на сервере включена пересылка пакетов (net.ipv4.ip_forward=1) и настроен NAT (MASQUERADE). Также проверьте, что в AllowedIPs клиента указано 0.0.0.0/0.

6. Ошибка при добавлении пира на MikroTik. Проверьте, что публичный ключ введен без пробелов и в правильном формате. Также убедитесь, что версия RouterOS 7 или выше.

Проверка и диагностика адресации WireGuard

После настройки WireGuard важно проверить, что адресация работает корректно. Основные инструменты диагностики:

• Команда wg show на сервере показывает список пиров, их последнюю активность и переданные байты. Если пир не активен, возможно, проблема с адресацией или ключами.
• Пинг до адреса сервера (например, 10.10.10.1) с клиента подтверждает, что туннель установлен.
• Проверка маршрутов на клиенте: ip route (Linux) или route print (Windows) покажет, какие подсети идут через WireGuard-интерфейс.
• Проверка NAT на сервере: убедитесь, что iptables правила активны, и что исходящий трафик клиентов маскируется.

Пример проверки на сервере:

sudo wg show

Вывод должен содержать интерфейс wg0, его адрес и список пиров с их AllowedIPs.

Если клиент не может получить доступ к интернету, проверьте:

• настройки DNS (в конфигурации клиента должен быть указан DNS-сервер, например, 8.8.8.8);
• правила брандмауэра на сервере (порт 51820/UDP должен быть открыт);
• включена ли пересылка IPv4 на сервере.

Также полезно использовать утилиту tcpdump на сервере для анализа трафика, но это требует дополнительных знаний.

Ограничения WireGuard и когда стоит выбрать другой протокол

Несмотря на преимущества, WireGuard имеет ограничения, которые важно учитывать при выборе протокола.

• Блокировка в некоторых сетях. Из-за простоты протокола WireGuard может быть заблокирован с помощью DPI (глубокой инспекции пакетов). В некоторых странах или корпоративных сетях UDP-трафик может быть ограничен. В таких случаях могут помочь L2TP/IPsec или OpenVPN, работающие поверх TCP.
• Отсутствие встроенной поддержки PKI. WireGuard использует простые ключи, что удобно для небольших сетей, но для крупных организаций с иерархией сертификатов может потребоваться OpenVPN.
• Требования к версии RouterOS. На MikroTik WireGuard поддерживается только в RouterOS 7 и выше. Если у вас старая версия, придется обновляться или использовать другой протокол.
• Производительность на слабых устройствах. Хотя WireGuard эффективен, на очень слабых процессорах (например, старых MIPS) может наблюдаться снижение скорости, но обычно это все равно лучше, чем OpenVPN.

Если вам нужен обход строгих фильтров, возможно, стоит рассмотреть другие протоколы, такие как Outline (на основе Shadowsocks) или AmneziaVPN, которые маскируют трафик. Однако для большинства сценариев — удаленный доступ, объединение офисов, защита мобильных устройств — WireGuard является оптимальным выбором благодаря скорости и простоте.

Вопросы и ответы