WireGuard: VPN, который понятен

Три идеи, на которых всё стоит

• Пара ключей вместо логинов. Как в SSH: у каждой стороны секретный и публичный ключ. Стороны обмениваются публичными — и это вся «регистрация».
• Все равны: есть только пиры. Формально нет «сервера» и «клиентов» — есть узлы (peers), знающие ключи друг друга. Сервером называют тот, у которого постоянный адрес и открытый порт.
• AllowedIPs решает всё. Одна строка на пира: какие сети ходят через туннель. 192.168.10.0/24 — только офисная сеть (обычный корпоративный вариант); 0.0.0.0/0 — весь трафик.

Минимальная конфигурация с пояснениями

# сервер: /etc/wireguard/wg0.conf (Linux; ключи создаёт wg genkey)
[Interface]
Address = 10.8.0.1/24        # адрес сервера внутри туннеля
ListenPort = 51820            # единственный порт, открытый наружу
PrivateKey = <секретный ключ сервера>

[Peer]                        # по блоку на каждого сотрудника
PublicKey = <публичный ключ ноутбука>
AllowedIPs = 10.8.0.2/32      # его адрес в туннеле

# ноутбук сотрудника (клиент WireGuard есть под все ОС):
[Interface]
Address = 10.8.0.2/32
PrivateKey = <секретный ключ ноутбука>

[Peer]
PublicKey = <публичный ключ сервера>
Endpoint = офис.example.ru:51820
AllowedIPs = 10.8.0.0/24, 192.168.10.0/24  # туннель + сеть офиса
PersistentKeepalive = 25      # держать дырку в NAT живой

Запуск на сервере — wg-quick up wg0 плюс включённый форвардинг; проверка — команда wg показывает пиров и время последнего рукопожатия. На MikroTik всё то же самое мышкой: интерфейс WireGuard, ключи и пиры в соответствующем разделе.

Типовые затыки

• Рукопожатия нет вовсе. Порт закрыт или Endpoint неверен: проверь, что 51820/udp проброшен и доступен снаружи.
• Рукопожатие есть, офисная сеть недоступна. Забыт форвардинг на сервере или офисная подсеть не вписана в AllowedIPs клиента. Разбор маршрутов — через понимание адресов и масок.
• Всё работает, но интернет у клиента пропал. Стоит AllowedIPs = 0.0.0.0/0: весь трафик ушёл в туннель. Для доступа к офису достаточно перечислить конкретные сети.

WireGuard — идеальный кандидат на первый настроенный своими руками VPN: короткий конфиг оставляет мало мест для ошибки, а понимание пиров и маршрутов переносится на любые протоколы. На курсе MikroTik VPN-доступ сотрудника отрабатывается на стенде в составе полной сетевой программы.

Частые вопросы

Куда дальше