настройка wireguard server ubuntu

Большинство инструкций заканчиваются на wg-quick up wg0. Но реальные риски начинаются после успешного подключения.

Бесплатные VPN — это бизнес на ваших данных

Многие «бесплатные» сервисы в AppStore или Google Play — особенно те, что зарегистрированы в РФ — обязаны по закону хранить логи. Федеральный закон №149-ФЗ и требования ФСБ делают невозможным true no-logs в пределах России. Даже если приложение заявляет обратное, оно должно передавать данные по запросу. Пример: в 2023 году один популярный российский «анонимайзер» был замечен в передаче полных журналов подключений операторам связи.

Fake-утечки: когда тест показывает «всё чисто», а на деле — нет

Сайты вроде ipleak.net проверяют WebRTC и DNS-утечки в браузере. Но они не видят, что происходит в других приложениях. Например, торрент-клиент qBittorrent может игнорировать системные настройки DNS и использовать свои — напрямую к провайдеру. То же касается некоторых мессенджеров и игр.

Kill switch — не всегда работает

На мобильных устройствах или при перезагрузке роутера соединение может разорваться, а kill switch не сработает. Особенно это актуально для самописных решений без мониторинга состояния интерфейса. WireGuard сам по себе не включает эту функцию — её нужно реализовывать через iptables или systemd-юниты.

Юрисдикция 14 Eyes — и почему это важно

Даже если вы арендуете VPS в Германии или Нидерландах, провайдер может быть связан с соглашениями Five/14 Eyes. Например, DigitalOcean (США) обязан хранить определённые данные. Выбирайте хостинг в Швейцарии, Исландии или Сингапуре — страны вне этих альянсов.

Отсутствие независимых аудитов

Многие коммерческие VPN заявляют «no logs», но не проходят регулярные аудиты. Mullvad, ProtonVPN и IVPN — исключения. Они публикуют отчёты от Cure53 и Quarkslab. Самостоятельная настройка WireGuard лишена этой проблемы — вы контролируете всё сами.

Когда стоит ставить свой сервер, а когда — брать коммерческий

Сервис	Юрисдикция	Логирование	Протокол	Цена	Реальная скорость
Самостоятельная настройка WireGuard (VPS)	Выбираете сами	Нет (если не ведёте сами)	WireGuard	от 300 ₽/мес	97.1%
Mullvad	Швеция	No-logs (аудиты)	WireGuard/OpenVPN	~650 ₽/мес	96.2%
ProtonVPN (Free)	Швейцария	No-logs	OpenVPN/IKEv2	Бесплатно	53.8%
Hide.me	Малайзия	Частичные логи	WireGuard/OpenVPN	~500 ₽/мес	92.4%
Российский «бесплатный» VPN из AppStore	Россия	Полные (по закону)	Проприетарный	Бесплатно	12.5%

Вывод из таблицы: если вы готовы потратить час на настройку и платить ~300–500 ₽/мес за VPS (например, Hetzner, Contabo или TimeWeb), вы получите почти максимальную скорость и полный контроль. Коммерческие сервисы удобны для новичков, но дороже и иногда медленнее из-за перегрузки серверов.

Пошаговая настройка WireGuard Server на Ubuntu 22.04+

Открой мир без границ🌍

Предполагается, что у вас уже есть VPS с Ubuntu 22.04+, публичным IPv4 и доступом по SSH.

Шаг 1. Обновление системы и установка WireGuard

sudo apt update && sudo apt upgrade -y
sudo apt install wireguard resolvconf -y

Пакет resolvconf нужен для корректной работы DNS внутри туннеля.

Шаг 2. Генерация ключей сервера

cd /etc/wireguard
umask 077
wg genkey | tee privatekey | wg pubkey > publickey

Никогда не передавайте privatekey третьим лицам. Он должен остаться только на сервере.

Шаг 3. Создание конфигурации сервера (wg0.conf)

[Interface]
Address = 10.200.200.1/24
ListenPort = 51820
PrivateKey = <ваш_приватный_ключ_сервера>
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
SaveConfig = false

Address — внутренний IP сервера в туннеле.
eth0 замените на имя вашего основного сетевого интерфейса (ip a покажет его).
SaveConfig = false предотвращает автоматическую запись новых peer'ов в файл — это важно для безопасности.

Шаг 4. Включение IP forwarding

Отредактируйте /etc/sysctl.conf:

net.ipv4.ip_forward=1

Примените изменения:

🔐Защити свои данные

sudo sysctl -p

Шаг 5. Запуск и автозагрузка

sudo systemctl enable wg-quick@wg0
sudo systemctl start wg-quick@wg0

Проверьте статус:

sudo wg show

Вы должны увидеть интерфейс wg0 без peer'ов (пока).

Настройка клиента: не просто скопировать конфиг

Каждый клиент требует своей пары ключей. На клиентской машине (Ubuntu, Windows, Android):

wg genkey | tee client1-privatekey | wg pubkey > client1-publickey

Затем добавьте peer на сервере:

🔐Защити свои данные

sudo wg set wg0 peer <публичный_ключ_клиента> allowed-ips 10.200.200.2/32

Конфиг клиента (wg0-client.conf):

[Interface]
PrivateKey = <приватный_ключ_клиента>
Address = 10.200.200.2/24
DNS = 1.1.1.1, 8.8.8.8

[Peer]
PublicKey = <публичный_ключ_сервера>
Endpoint = <ваш_публичный_IP>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0 — весь трафик идёт через VPN.
PersistentKeepalive = 25 — обходит NAT и фаерволы, отправляя keepalive каждые 25 сек.

Важно: если вы используете Windows, скачайте официальное приложение WireGuard из Microsoft Store. Не используйте сторонние «обёртки» — они могут внедрять трекеры.

Защита от утечек: DNS, WebRTC, IPv6

DNS

Убедитесь, что в клиентском конфиге указан DNS = .... Без этого система будет использовать DNS провайдера. Проверьте на dnsleaktest.com.

WebRTC

В браузерах Firefox и Chrome WebRTC может раскрыть ваш реальный IP. Отключите его:
- Firefox: about:config → media.peerconnection.enabled = false
- Chrome: установите расширение uBlock Origin и включите «Prevent WebRTC from leaking local IP»

IPv6

Если у вас нет IPv6 на сервере, отключите его на клиенте:

sudo sysctl -w net.ipv6.conf.all.disable_ipv6=1

Или блокируйте через iptables:

ip6tables -P OUTPUT DROP

Сценарии использования в реальной жизни

Торренты на общем Wi-Fi

Вы в кафе «Кофемания» с публичным Wi-Fi от «Ростелеком». Без VPN ваш IP виден всем раздающим. С WireGuard — только IP вашего VPS. Но помните: если вы используете российский VPS, правообладатели могут запросить данные у хостинга.

Обход блокировок

Telegram и YouTube периодически недоступны в некоторых регионах РФ. WireGuard позволяет подключиться к серверу за границей и получить доступ. Однако техническая возможность ≠ правовая легитимность. Мы не призываем нарушать законы, но объясняем, как работает технология.

Корпоративная защита для фрилансера

Вы работаете с конфиденциальными данными клиентов. Подключение через WireGuard к своему облаку гарантирует, что ни провайдер, ни кафе, ни сосед по сети не увидят ваш трафик.

Защита от DPI

Глубокая инспекция пакетов (DPI) в России используется для блокировки трафика. WireGuard маскирует трафик под обычный UDP, что затрудняет его идентификацию. Для ещё большей стойкости можно использовать obfs4 или Shadowsocks поверх WireGuard — но это уже продвинутый уровень.

Split tunneling: когда не весь трафик нужно прятать

Иногда выгодно направлять через VPN только определённые приложения или домены. Например, банковские приложения работают быстрее напрямую, а торренты — через туннель.

На Linux это делается через маршрутизацию по таблицам:

ip rule add from 10.200.200.2 table 128
ip route add default dev wg0 table 128
ip route add <локальная_сеть> dev eth0 table 128

Или используйте nftables для более гибкой политики.

Диагностика: как убедиться, что всё работает

Проверка IP: ipleak.net — должен показывать IP вашего VPS.
DNS-утечка: browserleaks.com/dns — все DNS-серверы должны быть теми, что вы указали.
WebRTC: тот же browserleaks.com покажет, раскрыт ли локальный IP.
Трафик: sudo tcpdump -i wg0 — вы должны видеть зашифрованные UDP-пакеты.

Если что-то не так — проверьте:
- Правильность AllowedIPs,
- Работает ли iptables MASQUERADE,
- Не блокирует ли фаервол порт 51820/UDP.

VPN замедляет интернет на сколько реально?

WireGuard добавляет 3–8 мс к пингу и сохраняет 95–98% от исходной скорости. OpenVPN — 10–30 мс и 70–90%. Бесплатные VPN — часто ниже 30% из-за перегрузки и рекламы.

Меня найдёт спецслужба при использовании VPN?

Если вы используете российский VPS или коммерческий VPN с логами — да, по запросу. Если сервер в Швейцарии и вы сами его настроили без логов — только если вы совершите ошибку (например, залогинитесь в аккаунт с реальным номером).

WireGuard или OpenVPN — что безопаснее?

С точки зрения криптографии — оба безопасны. Но WireGuard проще, быстрее и менее подвержен ошибкам конфигурации. OpenVPN гибче (поддержка TCP, TLS-аутентификация), но сложнее настраивать правильно.

Можно ли использовать WireGuard на роутере Keenetic или Asus?

Да, но только если прошивка поддерживает WireGuard (например, через Entware на Keenetic или Merlin на Asus). В противном случае используйте OpenVPN или внешний Raspberry Pi как шлюз.

Что делать, если сервер отвалился, а kill switch не сработал?

Настройте строгие правила iptables: по умолчанию DROP весь OUTPUT, кроме трафика через wg0. Так при отключении туннеля весь интернет пропадёт — и вы сразу заметите проблему.

Нужно ли обновлять WireGuard вручную?

Если вы установили через apt из официального репозитория Ubuntu, обновления приходят автоматически. Но лучше следить за релизами на GitHub — иногда выходят критические патчи раньше, чем попадут в дистрибутив.