Wireguard - wg-quick

[FrankM]

Es gibt auch einen wesentlich einfachere Möglichkeit einen Wireguard Tunnel zu starten. z.B. auf einem Notebook sehr praktisch, wenn man mal in einem fremden WLan unterwegs ist.

Ich setze voraus, das der Wireguard-Server läuft! Meine Beispiele beruhen auf Debian Buster 10.3

In /etc/wireguard liegen folgende Dateien.

root@debian:/etc/wireguard# ls -l
insgesamt 16
-rw-r--r-- 1 root root  45 Apr  3 15:18 private.key
-rw-r--r-- 1 root root  45 Apr  5 15:04 psk.key
-rw-r--r-- 1 root root  45 Apr  3 15:19 public.key
-rw-r--r-- 1 root root 365 Apr  5 15:11 wg0.conf

Keys erzeugen:

private.key erzeugen

root@rp64_nextcloud:/etc/wireguard# wg genkey > private.key
Warning: writing to world accessible file.
Consider setting the umask to 077 and trying again.

public.key erzeugen

root@rp64_nextcloud:/etc/wireguard# wg pubkey > public.key < private.key

psk.key erzeugen

root@rp64_nextcloud:/etc/wireguard# wg genpsk > psk.key

psk.key

Der psk.key muss auf dem Server und auf dem Client gleich sein. Dieser psk.key dient der zusätzlichen Sicherheit. Im Whitpaper steht dazu folgendes:

In order to mitigate any futureadvances in quantum computing, WireGuard also supports a mode in which any pair of peers mightadditionallypre-share a single 256-bit symmetric encryption key between themselves, in order to add an additional layer ofsymmetric encryption.

Ok, wieder vergessen. Wir müssen nur wissen, das die beide gleich sein müssen.

wg0.conf

Fehlt noch die Config.

[Interface]
Address = 10.10.1.2
PrivateKey = <private Key>
ListenPort = 51820
DNS = 10.10.1.1

[Peer]
Endpoint = <Server IP>:51820
PublicKey = <public Key> vom Server!!
PresharedKey = <preshared Key> Client und Server gleich!
AllowedIPs = 0.0.0.0/0, ::/0

Das [Interface] definiert die Schnittstelle. Hier setzen wir ein IP Adresse und den Port. Dazu gebe ich noch an, wo der DNS-Server liegt. Auf meinem Wireguard Server läuft da extra einer, dient der Sicherheit die wirkliche IP-Adresse nicht zu leaken.

Das [Peer] definiert jetzt den Teilnehmer, hier unseren Wireguard Server. Wir sagen Wireguard wo er den Server findet und zum Schluß noch bei AllowedIPs was er machen soll. In diesem Beispiel tunnelt er sämtlichen Traffic zum Wireguard Server.

wg-quick

Damit kann man jetzt schnell die Schnittstelle wg0 starten.

Start

wg-quick up wg0

Stop

wg-quick down wg0

Beispiel

root@thinkpad:/etc/wireguard# wg-quick up wg0
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip -4 address add 10.10.1.11/24 dev wg0
[#] ip -6 address add 2a01:xxxxxxxxxxxxx::11/72 dev wg0
[#] ip link set mtu 1420 up dev wg0
[#] resolvconf -a tun.wg0 -m 0 -x
[#] wg set wg0 fwmark 51820
[#] ip -6 route add ::/0 dev wg0 table 51820
[#] ip -6 rule add not fwmark 51820 table 51820
[#] ip -6 rule add table main suppress_prefixlength 0
[#] nft -f /dev/fd/63
[#] ip -4 route add 0.0.0.0/0 dev wg0 table 51820
[#] ip -4 rule add not fwmark 51820 table 51820
[#] ip -4 rule add table main suppress_prefixlength 0
[#] sysctl -q net.ipv4.conf.all.src_valid_mark=1
[#] nft -f /dev/fd/63

root@thinkpad:/etc/wireguard# wg-quick down wg0
[#] ip -4 rule delete table 51820
[#] ip -4 rule delete table main suppress_prefixlength 0
[#] ip -6 rule delete table 51820
[#] ip -6 rule delete table main suppress_prefixlength 0
[#] ip link delete dev wg0
[#] resolvconf -d tun.wg0 -f
[#] nft -f /dev/fd/63
root@thinkpad:/etc/wireguard# 

Hier sieht man erst den Start und dann den Stop der Schnittstelle wg0. Mir fehlte auf einem Rechner noch das Paket resolvconf. Das kann man mit

apt install resolvconf

schnell mal installieren. Das braucht man, sonst kommt eine Fehlermeldung.

Test der Verbindung

Und dann kann man schauen ob die Verbindung steht.

root@thinkpad:/etc/wireguard# wg
interface: wg0
  public key: <public Key>
  private key: (hidden)
  listening port: 51820
  fwmark: 0xca6c

peer: <public Key> vom Server
  preshared key: (hidden)
  endpoint: <Server IP>:51820
  allowed ips: 0.0.0.0/0, ::/0
  latest handshake: 4 seconds ago
  transfer: 1.37 KiB received, 2.36 KiB sent

Wichtig ist der latest handshake, daran kann man sehen ob der Tunnel steht. Und bei allem was man macht ändern sich natürlich die Transfer Daten.