Как настроить WireGuard VPN на VPS: пошаговый гайд 2026

apt update
apt install -y wireguard curl qrencode

dnf install -y epel-release
dnf install -y https://www.elrepo.org/elrepo-release-9.el9.elrepo.noarch.rpm
dnf install -y kmod-wireguard wireguard-tools qrencode
modprobe wireguard

cd /etc/wireguard
umask 077    # новые файлы создаются с правами 600 — приватные ключи сразу защищены
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee client1.key | wg pubkey > client1.pub

cat server.key   # приватный ключ сервера — только в [Interface] на сервере (wg0.conf)
cat server.pub   # публичный ключ сервера — в [Peer] секции конфига клиента
cat client1.key  # приватный ключ клиента — только в [Interface] конфига клиента
cat client1.pub  # публичный ключ клиента — в [Peer] секции wg0.conf на сервере

# Извлекаем имя интерфейса из default-маршрута
IFACE=$(ip route show default | grep -oP 'dev \K\S+' | head -1)
echo "Внешний интерфейс: $IFACE"

# Если вывод пустой — посмотрите вручную и задайте сами:
#   ip -br link        # покажет все интерфейсы (eth0, ens3, enp0s3 и т.д.)
#   IFACE=eth0         # подставьте нужное имя

SERVER_PRIVATE=$(cat /etc/wireguard/server.key)
CLIENT1_PUBLIC=$(cat /etc/wireguard/client1.pub)

if [ -z "$IFACE" ]; then
  echo "ОШИБКА: IFACE пустой — задайте IFACE=eth0 и повторите этот блок"
else
umask 077    # файл конфига сразу создаётся с правами 600 — приватный ключ защищён
cat > /etc/wireguard/wg0.conf << EOF
[Interface]
PrivateKey = $SERVER_PRIVATE
Address = 10.0.0.1/24
ListenPort = 51820

# NAT и форвардинг — каждая команда отдельной строкой для наглядности
PostUp = iptables -I FORWARD -i wg0 -j ACCEPT
PostUp = iptables -I FORWARD -o wg0 -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o $IFACE -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT
PostDown = iptables -D FORWARD -o wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o $IFACE -j MASQUERADE

[Peer]
# Клиент 1
PublicKey = $CLIENT1_PUBLIC
AllowedIPs = 10.0.0.2/32
EOF
chmod 600 /etc/wireguard/wg0.conf
echo "Конфиг создан: /etc/wireguard/wg0.conf"
fi

cat /etc/wireguard/wg0.conf

cat > /etc/sysctl.d/99-wireguard.conf << EOF
net.ipv4.ip_forward = 1
EOF
sysctl --system

sysctl net.ipv4.ip_forward
# Должно вернуть: net.ipv4.ip_forward = 1

ufw status
# Если "inactive" — UFW выключен, переходите к следующему шагу
# Если "active" — открываем порт:
ufw allow 51820/udp

systemctl enable --now wg-quick@wg0

systemctl status wg-quick@wg0
# Должно быть: active (exited) — это нормально для WireGuard
# wg-quick запускает интерфейс и завершается; сам интерфейс живёт в ядре

wg show
# Покажет: интерфейс wg0, публичный ключ сервера, порт 51820, список пиров

CLIENT1_PRIVATE=$(cat /etc/wireguard/client1.key)
SERVER_PUBLIC=$(cat /etc/wireguard/server.pub)
# Определяем публичный IP сервера с резервными источниками
SERVER_IP=$(curl -fsS -4 --max-time 5 https://api.ipify.org \
  || curl -fsS -4 --max-time 5 https://ifconfig.me/ip \
  || curl -fsS -4 --max-time 5 https://ipinfo.io/ip)
echo "Публичный IP сервера: $SERVER_IP"

if [ -z "$SERVER_IP" ]; then
  echo "ОШИБКА: не удалось определить IP — задайте вручную: SERVER_IP=1.2.3.4"
else
umask 077    # конфиг клиента создаётся с правами 600 — приватный ключ защищён
cat > /etc/wireguard/wg-client1.conf << EOF
[Interface]
PrivateKey = $CLIENT1_PRIVATE
Address = 10.0.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = $SERVER_PUBLIC
Endpoint = $SERVER_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF
chmod 600 /etc/wireguard/wg-client1.conf
echo "Конфиг клиента создан: /etc/wireguard/wg-client1.conf"
fi

qrencode -t ansiutf8 < /etc/wireguard/wg-client1.conf

cp /etc/wireguard/wg-client1.conf /home/USER/
chown USER:USER /home/USER/wg-client1.conf

scp USER@ВАШ_IP_СЕРВЕРА:/home/USER/wg-client1.conf ./wg-client1.conf

apt update
apt install -y wireguard

# Скачиваем конфиг с сервера (если root-SSH закрыт — см. заметку выше про scp через sudo-пользователя)
scp root@ВАШ_IP_СЕРВЕРА:/etc/wireguard/wg-client1.conf /etc/wireguard/wg0.conf
chmod 600 /etc/wireguard/wg0.conf

PostUp = resolvectl dns %i 1.1.1.1; resolvectl domain %i ~.
PostDown = resolvectl revert %i

systemctl enable --now wg-quick@wg0

# Временно остановить / снова запустить:
# systemctl stop wg-quick@wg0
# systemctl start wg-quick@wg0

# Убрать из автозапуска:
# systemctl disable wg-quick@wg0

wg show
# Сразу после запуска: интерфейс wg0, список peer-ов без handshake
# После первого подключения клиента появится:
#   latest handshake: X seconds ago
#   transfer: N KiB received, N KiB sent

curl -s https://ifconfig.me/ip
# Должен вернуть IP вашего VPS, а не домашний IP

ping 10.0.0.1
# Ответы подтверждают, что туннель работает.
# Если ping не идёт, но curl ifconfig.me уже показал IP VPS — значит туннель
# работает, а ICMP просто фильтруется (некритично).

cd /etc/wireguard
umask 077
wg genkey | tee client2.key | wg pubkey > client2.pub

# Добавляем нового пира в конфиг сервера
CLIENT2_PUBLIC=$(cat client2.pub)
echo "
[Peer]
# Клиент 2
PublicKey = $CLIENT2_PUBLIC
AllowedIPs = 10.0.0.3/32" >> /etc/wireguard/wg0.conf

wg-quick strip wg0 | wg syncconf wg0 /dev/stdin
# syncconf перечитывает только секции [Peer] (ключи, AllowedIPs, Endpoint).
# Если меняли [Interface] — Address, DNS, PostUp, PostDown — нужен полный
# перезапуск (прервёт активные сессии на ~2 секунды):
# systemctl restart wg-quick@wg0

CLIENT2_PRIVATE=$(cat /etc/wireguard/client2.key)
SERVER_PUBLIC=$(cat /etc/wireguard/server.pub)
SERVER_IP=$(curl -fsS -4 --max-time 5 https://api.ipify.org \
  || curl -fsS -4 --max-time 5 https://ifconfig.me/ip \
  || curl -fsS -4 --max-time 5 https://ipinfo.io/ip)
echo "Публичный IP сервера: $SERVER_IP"

if [ -z "$SERVER_IP" ]; then
  echo "ОШИБКА: не удалось определить IP — задайте вручную: SERVER_IP=1.2.3.4"
else
umask 077
cat > /etc/wireguard/wg-client2.conf << EOF
[Interface]
PrivateKey = $CLIENT2_PRIVATE
Address = 10.0.0.3/32
DNS = 1.1.1.1

[Peer]
PublicKey = $SERVER_PUBLIC
Endpoint = $SERVER_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF
chmod 600 /etc/wireguard/wg-client2.conf
echo "Конфиг клиента 2 создан: /etc/wireguard/wg-client2.conf"
fi