Подключение по протоколу WireGuard VPN из Windows 10

Чтобы удаленно подключиться к локальной сети интернет-центра Keenetic, начиная с версии KeeneticOS 3.3 стало возможно использовать туннель WireGuard VPN.

Сначала необходимо выполнить настройку сервера WireGuard в Keenetic, которая показана в инструкции "Настройка WireGuard VPN между двумя роутерами Keenetic", после переходите к настройке VPN-клиента.

NOTE: Важно! Если вы планируете настроить Keenetic в качестве VPN-сервера, начать необходимо с проверки того, что он имеет публичный "белый" IP-адрес, а при использовании сервиса KeenDNS, что он работает в режиме "Прямой доступ". При несоблюдении любого из этих условий подключение к такому серверу из Интернета будет невозможно.

Ниже приведем пример действий для подключения к серверу из операционной системы под управлением ОС Windows, на примере версии Windows 10 1909 (19H2).

Чтобы установить соединение к WireGuard-серверу Keenetic, в компьютере на базе ОС Windows, потребуется скачать и установить программу WireGuard с официального сайта.

1. Послу установки программы и запуска, нажимаем в нижнем левом углу на стрелку вниз напротив "Add Tunnel" - "Add empty tunnel... [Ctrl+N]".

win-wg-01.png

Откроется окно настройки конфигурации подключения к удаленному WireGuard-серверу Keenetic - "Create new tunnel".

win-wg-02.png

NOTE: Важно! Оставляем данное окно открытым, не закрываем его.

2. Скачиваем файл wg-client.conf к себе на компьютер, можно на Рабочий стол. Открываем в текстовом редакторе, например в Notepad++

win-wg-03.png

Откроется готовая конфигурация, в которую необходимо будет ввести настройки подключаемого WireGuard-клиента Windows [Interface] и удаленного WireGuard-сервера Keenetic [Peer].

win-wg-04.png

NOTE: Важно! Оставляем данное окно открытым, не закрываем его.

3. Возвращаемся к открытому окну "Create new tunnel" пункта 1 и копируем из поля "PrivateKey = " - приватный ключ WireGuard-клиента Windows в буфер обмена компьютера.

win-wg-05.png

NOTE: Важно! Оставляем данное окно открытым, не закрываем его.

4. Скопированный в буфер обмена компьютера приватный ключ WireGuard-клиента необходимо добавить в готовую конфигурацию из пункта 2 в строку "PrivateKey = ".

win-wg-06.png

NOTE: Важно! Оставляем данное окно открытым, не закрываем его.

5. Настраиваем удаленное подключение на стороне ранее настроенного WireGuard-сервера.

Подключитесь к веб-конфигуратору роутера и перейдите в меню "Интернет" — "Другие подключения". Нажмите на ранее созданное WireGuard-подключение ("WG-S") и добавьте "Настройки пира". Нажав на "Добавить пир" откроется поле настроек пира, в котором укажите название туннеля "wg-windows-client".

В поле "Публичный ключ" вставляем ключ из пункта номер 1, который необходимо скопировать из поля "Public key" в буфер обмена компьютера.

win-wg-07.png

Окно "Create new tunnel" можно закрыть, нажимаем "Cancel".

NOTE: Важно! Оставляем окно подключения WireGuard открытым, не закрываем его.

Вставляем ключ в поле "Публичный ключ", в поле "Разрешенные подсети" указываем адрес, трафик с которого будет допущен до сервера в формате IP/bitmask — 172.16.82.6/32

В поле "Проверка активности" необходимо указать периодичность попыток проверки доступности удаленной стороны соединения. Обычно достаточно 10-15 секундного интервала между проверками. По умолчанию значение "Проверки активности" в настройках пира Keenetic указано 30 секунд.

Нажмите "Сохранить".

wgwin.png

6. Возвращаемся к настройке конфигурации wg-client.conf

[Interface]
PrivateKey = IFSgdLsL/hRswYdF/5QlLwUnxm2/VLM4vDUV8Gbmb1I=
Address = 172.16.82.6/24

[Peer]
PublicKey = 1YVx+x3C817V9YdhUtpUhzyDLVj5tnK2m//WjFGynm4=
AllowedIPs = 172.16.82.1/32, 192.168.22.0/24
Endpoint = enpwgwrkserver.dynns.com:16631
PersistentKeepalive = 5


Настройка [Interface] клиента:

В поле "PrivateKey" интерфейса клиента уже введем созданный ключ WireGuard-клиента Windows в пункте 4.

В поле "Addresses" интерфейса клиента указываем IP-адрес, в формате IP/bitmask — 172.16.82.6/24 (это внутренний адрес туннеля). Можно использовать другую подсеть, при этом ее следует выбрать из частного диапазона адресов и избежать наложения с другими настроенными на данных устройствах подсетями.

 

Настройка [Peer] сервера:

В поле "PublicKey" вставьте публичный ключ сервера, который можно скопировать в буфер обмена компьютера из настроек WireGuard в веб-интерфейсе роутера:

wg-lin-01.png

В поле "AllowedIPs" указываем разрешенные IP-адреса, в формате IP/bitmask — 172.16.82.1/32 (это внутренний адрес сервера) и 192.168.22.0/24 (адрес локального сегмента роутера Keenetic).

В поле "Endpoint" указываем публичный IP-адрес или доменное имя WireGuard-сервера, и порт прослушивания, на который будет устанавливать связь WireGuard-клиент.

В поле "PersistentKeepalive" указываем периодичность попыток проверки доступности удаленной стороны соединения. Обычно достаточно 10-15-секундного интервала между проверками.

Жмем сочетание клавиш Ctrl+S, либо нажимаем "Файл", "Сохранить".

7. В открытом окне настроек подключения WireGuard из пункта номер 5, нажимаем на "Import tunel(s) from file" и выбираем на Рабочем столе файл "wg-client", жмем "Открыть".

win-wg-09.png

8. После добавления конфигурации "wg-client" в программу подключения WireGuard, в списке "Tunnels" появится новое подключение.

Нажмите "Activate".

win-wg-10.png

Если настройка выполнена правильно, напротив строки "Status" вы увидите зеленый индикатор.

win-wg-11.png

Для проверки доступности сервера можно выполнить отправку ICMP-пакетов до IP-адреса в командной строке Windows.

win-wg-12.png

Проверяем доступность веб-интерфейса сервера (в нашем примере это Keenetic с IP-адресом 192.168.22.1).

win-wg-13.png

Настройка завершена.

Если вам нужно, чтобы подключенные клиенты получали через данное VPN-соединение доступ в Интернет, выполните дополнительную настройку из статьи "Доступ в Интернет через WireGuard-туннель".

Обращаем ваше внимание, что на стороне VPN-клиента в файле конфигурации wg-client.conf в разделе "[Interface]" необходимо указать DNS-сервер в поле "DNS=" (в нашем примере указан адрес DNS-сервера от Google 8.8.8.8) и добавить адресное пространство 0.0.0.0/0 в разделе AllowedIPs = :

[Interface]
PrivateKey = IFSgdLsL/hRswYdF/5QlLwUnxm2/VLM4vDUV8Gbmb1I=
Address = 172.16.82.6/24
DNS = 8.8.8.8
[Peer]
PublicKey = 1YVx+x3C817V9YdhUtpUhzyDLVj5tnK2m//WjFGynm4=
AllowedIPs = 172.16.82.1/32, 192.168.22.0/24, 0.0.0.0/0
Endpoint = enpwgwrkserver.dynns.com:16631
PersistentKeepalive = 5

 

TIP: Примечание: При условии, что в конфигурации один пир и указана разрешенная сеть "все адреса", приложение будет автоматически формировать запрещающее трафик мимо туннеля правило сетевого экрана на компьютере.

Capture23-what-ed.png

В статье "Подключение компьютера с Windows 7 к удаленной сети Keenetic по туннелю WireGuard" представлен альтернативный вариант настройки.

 

Была ли эта статья полезной?

Пользователи, считающие этот материал полезным: 3 из 3

Еще есть вопросы? Отправить запрос

Комментарии

Комментариев: 6
  • Хм, а умеет ли Wireguard сам прописывать маршруты на клиенте для доступа в Интернет через туннель, как, например, L2TP? Если нет, то какие маршруты прописать?

    0
    Действия с комментариями Постоянная ссылка
  • Алексей, если Вам нужен доступ в интернет через Wireguard-туннель Keenetic, то необходимо прописать Allowed IPs - 0.0.0.0/0 на стороне подключаемого пира (клиента).

    Данную схему мы описали в статье - https://help.keenetic.com/hc/ru/articles/360010551419

    1
    Действия с комментариями Постоянная ссылка
  • Большая просьба добавить в инструкцию по настройке клиента Windows информацию о том, как добавить в конфигурацию туннеля Wireguard, ибо для доступа в интернет через туннель это требуется, а в инструкции про это ничего нет...

    0
    Действия с комментариями Постоянная ссылка
  • Address = 172.16.82.6/24 это ошибка наверно? хост же указываете значит /32

    0
    Действия с комментариями Постоянная ссылка
  • Николай, тут мы можем указать только адрес хоста туннеля с маской /32, или можем указать с маской /24, так как данный адрес из сети туннеля 172.16.82.x/24. В статье мы приводим как раз пример с маской /24.

    0
    Действия с комментариями Постоянная ссылка
  • Настроил свой Keenetic Air как написано в статье + клиент на Win10. Брандмауэр отключен, других фаерволов нет. В конце настройки проверил ping до адреса локальной сети роутера, также открыл его веб-конфигуратор через браузер... и всё. Во все остальные ресурсы локальной сети попасть не могу - не пингуются и по другим протоколам (RDP, FTP, SMB) не хочет. Команда route print в адресной строке клиента показала что маршрут в локальную сеть за маршрутизатором через адрес туннеля клиента добавлен. Не знаю, в чем проблема.

    P.S. параллельно на моем кинетике настроен L2TP-сервер, с которым никаких проблем нет - после подключения все ресурсы локальной сети доступны и пингуются. И да, одновременно я их не использую - когда надо включить WireGuard, я отключаю L2TP

     

    UPD: решил проблему - просто удалил маршрут, который добавляется в меню "Маршрутизация" в статье "Настройка WireGuard VPN между двумя роутерами Keenetic". Этот маршрут судя по всему вообще не нужен.

    0
    Действия с комментариями Постоянная ссылка

Войдите в службу, чтобы оставить комментарий.