WireGuard-сервер для доступа к офисной сети: пошаговая инструкция

Схема: что где стоит

Первый вопрос проектирования — где физически живёт сервер WireGuard. Ответ зависит от того, к чему нужен доступ, и принимается раньше всех остальных технических решений схемы.

Сервер внутри офиса — когда цель «из дома видеть офисные ресурсы»: учётную базу, файловые папки, камеры. Это небольшая машина или виртуальная машина на офисном гипервизоре с двумя свойствами: она видит офисную сеть и доступна из интернета по UDP — через проброшенный на роутере порт или белый адрес.

VPS в дата-центре — когда ресурсы, к которым нужен доступ, сами живут в облаке. Держать «вход в офис» на чужой площадке бессмысленно: туннель закончится там, где нет ни одного офисного ресурса.

Позже туннель на VPS можно объединить с офисным контуром в одну сеть, но начинать стоит с того варианта, где лежат ресурсы.

Дальше по тексту — первый вариант, как более частый. Адресация примера: офисная сеть 192.168.10.0/24, туннельная — 10.8.0.0/24, сервер WireGuard имеет адрес 192.168.10.5 в офисе и 10.8.0.1 в туннеле. Если у вас эти подсети заняты — замените на свои по всей инструкции, но не берите диапазон, совпадающий с домашней сетью сотрудника (типовые роутеры используют 192.168.0.0/24 и 192.168.1.0/24 — из-за этого маршруты «домой» перестают работать).

До настройки стоит определиться с двумя вещами. Порт: по умолчанию WireGuard использует UDP 51820 — пробросьте его на роутере или откройте на файрволе заранее. Учётные записи: ключ генерируется на каждое устройство, а не на человека — ноутбук и телефон одного сотрудника это два пира.

Отдельно про проброс порта: наружу открывается ровно один UDP-порт, ведущий на сервер WireGuard. Режим DMZ, отдающий наружу машину целиком, здесь не нужен и вреден: сервер видит офисную сеть, и лишняя открытость ему только мешает. На роутере с белым адресом это одно правило проброса; без белого адреса вопрос решается сервисом выделенного адреса у провайдера.

И последнее перед установкой: убедитесь, что у вас есть доступ к настройкам офисного роутера, — половина работы с WireGuard происходит именно там, в правиле проброса порта.

Конфигурация сервера и первого клиента

Конфигурация сервера живёт в файле /etc/wireguard/wg0.conf. Имя интерфейса после сетевой карты уточните командой ip a — в примере это eth0:

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <содержимое server.key>

# NAT: трафик клиентов в офисную сеть
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

NAT в примере — самый простой способ дать клиентам доступ в офис. Альтернатива без NAT — статические маршруты на роутере офиса: «в 10.8.0.0/24 идти на 192.168.10.5». Она честнее для крупных схем, но требует прав на роутер; для начала NAT достаточно.

Если офисная сеть состоит из нескольких подсетей, NAT на сервере остаётся тем же, а вот в AllowedIPs клиентов добавляются все нужные диапазоны, и на межсетевых экранах между подсетями появляется правило для туннельной 10.8.0.0/24.

Запуск и добавление в автозагрузку:

sudo systemctl enable --now wg-quick@wg0
sudo wg show

Первая проверка сразу после запуска: sudo wg show показывает интерфейс без пиров — на этом этапе это нормальная картина, а ss -uln | grep 51820 подтверждает, что порт слушается.

Если на сервере включён файрвол (ufw, nftables), добавьте к нему разрешение входящего UDP 51820 и проверьте политику пересылки — с политикой «запретить forward по умолчанию» клиенты увидят только сам сервер, но не офисную сеть.

Конфиг первого клиента — ноутбука сотрудника Иванова. У WireGuard официальные приложения для всех систем, формат конфигурации одинаков:

[Interface]
PrivateKey = <содержимое client-ivanov.key>
Address = 10.8.0.10/32

[Peer]
PublicKey = <содержимое server.pub>
Endpoint = vpn.company.ru:51820
AllowedIPs = 10.8.0.0/24, 192.168.10.0/24
PersistentKeepalive = 25

PersistentKeepalive = 25 нужен клиентам за домашними роутерами: без периодических пакетов NAT-проброс закрывается, и «утром всё работало, вечером отвалилось» — ровно этот случай. Строку Endpoint замените на ваш адрес: домен с A-записью на белый IP или сам IP.

Если офисные ресурсы открываются по именам, а не по адресам, добавьте в [Interface] клиента строку DNS с адресом внутреннего сервера имён — контроллера домена или роутера. Без неё туннель работает, а имена по-прежнему спрашиваются у провайдерского DNS, который про офисные имена не знает.

AllowedIPs-стратегия

Одна строка в конфиге каждого пира определяет и маршрут, и границу доверия — поэтому её стоит осознанно выбрать, а не скопировать. Для сотрудников со «сплитом» (офис через туннель, интернет напрямую) это две подсети из примера выше; для служебных ноутбуков в недоверенных сетях — полный туннель 0.0.0.0/0; для подрядчика — адрес конкретного сервиса.

Как параметр устроен изнутри, какие значения за что отвечают и почему один адрес не должен встречаться дважды — разобрано в статье об AllowedIPs в WireGuard. Готовую строку для любого набора подсетей — включая режим «всё, кроме» — собирает калькулятор AllowedIPs.

Удобное свойство схемы: AllowedIPs меняется без перегенерации ключей. Расширили офис новой подсетью — допишите её сотрудникам и проверьте маршруты; сузили доступ подрядчику — правится одна строка его пира. Ключи остаются теми же, переустановка клиентам не требуется.

Стратегию стоит держать единой для всех сотрудников: смешанные конфигурации «у кого как» — источник трудноуловимых инцидентов. Исключения допустимы, но они фиксируются в том же адресном плане, что и всё остальное.

Адрес подрядчика из сервисного диапазона плана — 10.8.0.100 и дальше — заодно подсказывает правило файрвола: этой подсети разрешён вход только к согласованным сервисам.