Wireguard » Historique » Version 9
Matthieu Herrb, 14/04/2019 21:41
| 1 | 1 | Matthieu Herrb | h1. Wireguard |
|---|---|---|---|
| 2 | 1 | Matthieu Herrb | |
| 3 | 1 | Matthieu Herrb | h2. test VPN tetaneutral sur h9 |
| 4 | 1 | Matthieu Herrb | |
| 5 | 9 | Matthieu Herrb | h3. Configuration |
| 6 | 1 | Matthieu Herrb | <pre> |
| 7 | 1 | Matthieu Herrb | # modprobe wireguard |
| 8 | 1 | Matthieu Herrb | # umask 077 |
| 9 | 1 | Matthieu Herrb | # wg genkey > /etc/wireguard/private |
| 10 | 1 | Matthieu Herrb | # wg pubkey < /etc/wireguard/private > /etc/wireguard/public |
| 11 | 1 | Matthieu Herrb | # ip link add dev wg0 type wireguard |
| 12 | 1 | Matthieu Herrb | # ip a add dev wg0 10.99.0.1/32 |
| 13 | 1 | Matthieu Herrb | # ip -6 a add dev wg0 fe80::31/128 |
| 14 | 6 | Matthieu Herrb | # wg set wg0 private-key ./private listen-port 55769 |
| 15 | 1 | Matthieu Herrb | # ip link set wg0 up |
| 16 | 1 | Matthieu Herrb | </pre> |
| 17 | 1 | Matthieu Herrb | |
| 18 | 1 | Matthieu Herrb | Pour chaque client, sur h9: |
| 19 | 1 | Matthieu Herrb | |
| 20 | 1 | Matthieu Herrb | <pre> |
| 21 | 1 | Matthieu Herrb | # wg set wg0 peer <clé publique du client> allowed-ips 185.119.170.3/32,2a03:7220:8087:300::/56 |
| 22 | 1 | Matthieu Herrb | # ip r add 185.119.170.3/32 dev wg0 |
| 23 | 1 | Matthieu Herrb | # ip -6 r add 2a03:7220:8087:300::/56 dev wg0 |
| 24 | 2 | Matthieu Herrb | </pre> |
| 25 | 1 | Matthieu Herrb | |
| 26 | 1 | Matthieu Herrb | Config openwrt dans @/etc/config/network@ |
| 27 | 1 | Matthieu Herrb | <pre> |
| 28 | 1 | Matthieu Herrb | config interface 'vpn0' |
| 29 | 1 | Matthieu Herrb | option proto 'wireguard' |
| 30 | 5 | Matthieu Herrb | option private_key '<clé privée>' |
| 31 | 1 | Matthieu Herrb | list addresses '185.119.170.3/32' |
| 32 | 1 | Matthieu Herrb | list addresses '2a03:7220:8087:300::1/56' |
| 33 | 1 | Matthieu Herrb | |
| 34 | 1 | Matthieu Herrb | config wireguard_vpn0 |
| 35 | 5 | Matthieu Herrb | option public_key 'DsIeOCRs/5uYdi8rLiBzRNmN4zUzKCQRqY3Sbl8NS0A=' # La clé publique de h9 |
| 36 | 1 | Matthieu Herrb | option route_allowed_ips '1' |
| 37 | 1 | Matthieu Herrb | option endpoint_host '91.224.148.143' |
| 38 | 1 | Matthieu Herrb | option endpoint_port '55769' |
| 39 | 1 | Matthieu Herrb | option persistent_keepalive '25' |
| 40 | 1 | Matthieu Herrb | list allowed_ips '0.0.0.0/0' |
| 41 | 1 | Matthieu Herrb | list allowed_ips '::/0' |
| 42 | 4 | Matthieu Herrb | </pre> |
| 43 | 2 | Matthieu Herrb | |
| 44 | 3 | Matthieu Herrb | Sur h7: router les IP via h9: |
| 45 | 3 | Matthieu Herrb | <pre> |
| 46 | 3 | Matthieu Herrb | ip r add 185.119.170.3/32 via 91.224.148.143 dev eth3.3131 |
| 47 | 3 | Matthieu Herrb | ip -6 r add 2a03:7220:8087:300::/56 via fe80::80:8f dev eth3.3131 |
| 48 | 9 | Matthieu Herrb | </pre> |
| 49 | 9 | Matthieu Herrb | |
| 50 | 9 | Matthieu Herrb | h3. Status |
| 51 | 9 | Matthieu Herrb | |
| 52 | 9 | Matthieu Herrb | <pre> |
| 53 | 9 | Matthieu Herrb | root@h9:~# wg show |
| 54 | 9 | Matthieu Herrb | interface: wg0 |
| 55 | 9 | Matthieu Herrb | public key: DsIeOCRs/5uYdi8rLiBzRNmN4zUzKCQRqY3Sbl8NS0A= |
| 56 | 9 | Matthieu Herrb | private key: (hidden) |
| 57 | 9 | Matthieu Herrb | listening port: 55769 |
| 58 | 9 | Matthieu Herrb | |
| 59 | 9 | Matthieu Herrb | peer: y4ydCem0bUQpryyiTxS2eMPtoHLD5iOGqth1f9xkfww= |
| 60 | 9 | Matthieu Herrb | endpoint: 176.158.4.203:57103 |
| 61 | 9 | Matthieu Herrb | allowed ips: 185.119.170.3/32, 2a03:7220:8087:300::/56 |
| 62 | 9 | Matthieu Herrb | latest handshake: 1 minute, 27 seconds ago |
| 63 | 9 | Matthieu Herrb | transfer: 1.08 MiB received, 1.92 MiB sent |
| 64 | 9 | Matthieu Herrb | |
| 65 | 9 | Matthieu Herrb | peer: hUT6WhmUw6yRpwLX3R9Rh/8x1lZDk9JeX56We7zVvWc= |
| 66 | 9 | Matthieu Herrb | endpoint: 176.158.4.203:57658 |
| 67 | 9 | Matthieu Herrb | allowed ips: 185.119.170.2/32, 2a03:7220:8087:200::/56 |
| 68 | 9 | Matthieu Herrb | latest handshake: 1 minute, 38 seconds ago |
| 69 | 9 | Matthieu Herrb | transfer: 107.09 KiB received, 208.19 KiB sent |
| 70 | 3 | Matthieu Herrb | </pre> |
| 71 | 7 | Matthieu Herrb | |
| 72 | 7 | Matthieu Herrb | h3. Déploiement |
| 73 | 7 | Matthieu Herrb | |
| 74 | 8 | Matthieu Herrb | Remarque: clé privée des clients à garder privée... |
| 75 | 8 | Matthieu Herrb | |
| 76 | 8 | Matthieu Herrb | Deux modes possibles : |
| 77 | 8 | Matthieu Herrb | |
| 78 | 8 | Matthieu Herrb | # sur un PC de l'adhérent·e |
| 79 | 8 | Matthieu Herrb | |
| 80 | 8 | Matthieu Herrb | * iel installe wireguard |
| 81 | 8 | Matthieu Herrb | * iel génère la clé privé et envoie à ttnn la clé publique |
| 82 | 8 | Matthieu Herrb | * ttnn envoie la config à l'adhérent·e |
| 83 | 8 | Matthieu Herrb | * Avantages : |
| 84 | 8 | Matthieu Herrb | |
| 85 | 8 | Matthieu Herrb | * performance |
| 86 | 8 | Matthieu Herrb | * utilisable en mobilité |
| 87 | 8 | Matthieu Herrb | * Inconvénients : |
| 88 | 8 | Matthieu Herrb | |
| 89 | 8 | Matthieu Herrb | * difficulté assistance installation initiale / dépannage |
| 90 | 8 | Matthieu Herrb | # Sur un routeur fourni par l'association |
| 91 | 8 | Matthieu Herrb | |
| 92 | 8 | Matthieu Herrb | * routeur un peu costaud (ZBT ou Archer C7) |
| 93 | 8 | Matthieu Herrb | * on génère un firmware avec la config en dur |
| 94 | 8 | Matthieu Herrb | * on fournit le routeur à l'adhérent·e (comme pour un accès radio) |
| 95 | 8 | Matthieu Herrb | * Avantages : |
| 96 | 8 | Matthieu Herrb | |
| 97 | 8 | Matthieu Herrb | * simplicité pour l'adhérent·e |
| 98 | 8 | Matthieu Herrb | * assistance |
| 99 | 8 | Matthieu Herrb | * Inconvénients : |
| 100 | 8 | Matthieu Herrb | |
| 101 | 8 | Matthieu Herrb | * performances (à confirmer) |
| 102 | 8 | Matthieu Herrb | * moins mobile |
| 103 | 8 | Matthieu Herrb |