Server Installation/Wireguard

Software für VPN Verbindungen (Virtual Private Network) - https://www.wireguard.com

Installation (Debian)

Wird bei Opennet automatisiert über die Opennet ansible Rolle 'wireguard-server' installiert.

Betrieb (Debian)

Wireguard Interface:

wg-quick up wg0
wg show wg0
wg showconf wg0
systemctl status wg-quick@wg0.service
wg-quick down wg0

Wireguard Client hinzufügen:

wg set wg0 peer <new_client_public_key> allowed-ips <new_client_vpn_IP>/32

Anfrage nach PreShared-Key bearbeiten

Nach Erhalt eines öffentlichen Schlüssels von einem Client, wird ein PreShared-Key erstellt eine IP-Adresse vergeben und die Konfiguration angelegt.

wg genpsk > /etc/wireguard/peers/${AP}/${AP}.aps.psk

Konfiguration eines Wireguard Clients (Debian)

Bis es über die Onifirmware funktioniert, hier der manuelle Weg, um Wireguard auf einem Linuxclient einzurichten.

wg Key generieren

mkdir /home/<user>/.wireguard/ chmod -R 700 /home/<user>/.wireguard wg genkey > wg-private.key; wg pubkey < wg-private.key > wg-public.key

wg Konfiguration anlegen

vi /home/<user>/.wireguard/wireguard.conf

 [Interface]
   PrivateKey = < der frisch erzeugte eigene private Schlüssel >
   Address = 10.1.12.<x>/32
 [Peer]
   PublicKey = < öffentlicher Schlüssel des Servers >
   PresharedKey = < gemeinsamer Schlüssel >
   Endpoint = 192.168.10.19:51820
   AllowedIPs = 10.1.12.1/32
   PersistentKeepalive = 25

wg Konfiguration einspielen

sudo nmcli connection import type wireguard file /home/<user>/.wireguard/wireguard.conf

Konfiguration eines Wireguard Clients (Opennet Firmware 0.5.5-0.5.9 und 0.6.1)

Installation der notwendigen Pakete

opkg-oni install kmod-wireguard wireguard-tools luci-proto-wireguard

Schlüsselerstellung

umask go= AP="$(uci get on-core.settings.on_id)" wg genkey | tee ${AP}.aps.key | wg pubkey > ${AP}.aps.pub VPN_KEY="$(cat ${AP}.aps.key)"

Der privat Schlüssel sollte anschließend auf einem externen Speichermedium gesichert werden. Den öffentlichen Schlüssel brauen die Admins des Opennet Wireguard Servers um eine Konfiguration zu erstellen und die IP4 Adresse zu vergeben. Dazu schicke den öffentlichen Schlüssel <AP-Nummer>.aps.pub per e-Mail an admin@opennet-initiative.de mit dem Betreff: "Anfrage eines PreShared-Key für Wireguard"

Netzwerk Schnittstelle anlegen

 VPN_IF="on_wg0"
 uci add_list firewall.@zone[1].network="${VPN_IF}"
 uci commit firewall
 service firewall restart

 uci set network.${VPN_IF}="interface"
 uci set network.${VPN_IF}.proto="wireguard"
 uci set network.${VPN_IF}.private_key="${VPN_KEY}"
 uci commit network
 service network restart