Wirguard Bestpractice

Schlüsselgenerierung

#Öffentliche Adresse des Servers (Beispielwert, bitte anpassen)

• SERVERIP=203.0.113.10

#Server Privater Schlüssel

• S_PRIVKEY=$(wg genkey)

#Server Öffentlicher Schlüssel

• S_PUBKEY=$(echo $S_PRIVKEY | wg pubkey)

#Client Privater Schlüssel

• C_PRIVKEY=$(wg genkey)

#Client Öffentlicher Schlüssel

• C_PUBKEY=$(echo $C_PRIVKEY | wg pubkey)

#Pre Shared Key

• PSK=$(wg genpsk)

Server

Es wird an allen Interfaces auf 51821 gelauscht. Die Konfiguration kommt nach /etc/wireguard/wg0.conf (Rechte 600).

• umask 077
• cat > /etc/wireguard/wg0.conf <<HERE

[Interface]
#Virtuelle Adresse
Address = 10.255.44.254/24
ListenPort = 51821
#Privater Schlüssel des Servers
PrivateKey = $S_PRIVKEY
MTU = 1400
PostUp =
PostDown =

[Peer]
#Öffentlicher Schlüssel des Clients
PublicKey = $C_PUBKEY
#Gemeinsamer Schlüssel
PresharedKey = $PSK
#Tunnel-Adresse des Clients, muss mit Address im Client übereinstimmen
AllowedIPs = 10.255.44.3/32

HERE

Dienst starten und beim Booten aktivieren

• systemctl enable --now wg-quick@wg0

Client

Die Konfiguration kommt auf dem Client nach /etc/wireguard/wg0.conf (Rechte 600). Die Variablen werden auf dem Server ausgegeben und die fertige Datei zum Client kopiert.

• cat<<HERE

[Interface]
Address = 10.255.44.3/24
#Privater Schlüssel des Clients
PrivateKey = $C_PRIVKEY
MTU = 1400

[Peer]
#Öffentlicher Schlüssel des Servers
PublicKey = $S_PUBKEY
#Gemeinsamer Schlüssel
PresharedKey = $PSK
Endpoint = $SERVERIP:51821
PersistentKeepalive = 15
#Welche Ziele durch den Tunnel gehen (hier das Tunnelnetz)
AllowedIPs = 10.255.44.0/24

HERE

Manuelles starten und stoppen

• sudo wg-quick up wg0
• sudo wg-quick down wg0