WireGuard: что это, как скачать и настроить

WireGuard называют самым простым современным протоколом защищённого подключения: маленький код, высокая скорость и приложения почти для всех систем. Но «скачать WireGuard» — это только полшага. Само приложение не даёт подключение: ему нужен сервер и файл конфигурации. Разберём, как всё устроено и как настроить на компьютере, телефоне и роутере.

Что такое WireGuard

WireGuard — это протокол и одноимённое открытое программное обеспечение. Устройства в нём аутентифицируются не паролями, а парами ключей: у каждого участника есть закрытый и открытый ключ, и они обмениваются открытыми. Такая модель проще и компактнее, чем у многих старых протоколов. Поэтому WireGuard быстро подключается и экономно расходует батарею.

Что важно знать заранее:

у WireGuard узнаваемый «почерк» трафика: если провайдер анализирует соединения, такое подключение может распознаваться и работать нестабильно. Сравнение протоколов есть в статье Протоколы подключения простыми словами;
клиент сам по себе ничего не делает: нужен сервер с WireGuard и конфигурация (файл .conf или QR-код);
одна конфигурация обычно привязана к одному устройству.

Где скачать WireGuard

Все ссылки есть на официальной странице установки: wireguard.com/install.

Windows: установщик на download.wireguard.com/windows-client.
Android: Google Play (приложение WireGuard) или APK на download.wireguard.com/android-client.
iPhone и iPad: App Store, приложение WireGuard.
macOS: Mac App Store, приложение WireGuard.
Linux: пакет из репозитория дистрибутива, например sudo apt install wireguard для Ubuntu.
Роутеры: например, OpenWrt (opkg install wireguard) и другие прошивки; готовые варианты зависят от модели.

Другие сайты и «сборки» с тем же названием использовать не стоит: клиент получает права на управление сетью.

Как получить конфигурацию

Чтобы подключиться, нужна конфигурация. Обычно её даёт владелец сервера (в том числе вы сами, если арендовали VPS). Файл выглядит так:

раздел [Interface] — ваш закрытый ключ и адрес внутри туннеля;
раздел [Peer] — открытый ключ сервера, его адрес с портом (Endpoint) и список адресов AllowedIPs, которые идут через туннель.

Файл содержит закрытый ключ, поэтому не отправляйте его в открытые чаты и не публикуйте. Подробное описание запуска собственного сервера есть в быстром старте на сайте проекта.

Настройка на ПК (Windows, macOS)

Установите приложение WireGuard из официального источника.
Нажмите добавление туннеля и выберите импорт из файла .conf (в Windows это пункт «Импортировать туннель(и) из файла»; на macOS название может отличаться).
Выберите файл конфигурации. Туннель появится в списке.
Нажмите «Активировать». В статусе должно появиться время последнего рукопожатия и счётчики переданных данных.

Настройка на телефоне (Android и iPhone)

Установите WireGuard из Google Play или App Store.
Нажмите «+» (добавить туннель) и выберите один из вариантов: сканировать QR-код, импортировать из файла или создать вручную.
Дайте приложению разрешение на создание защищённого подключения.
Включите переключатель рядом с туннелем.

Если конфигурацию вам прислали файлом, QR-код можно сгенерировать на компьютере и отсканировать им телефон.

Настройка на роутере (Keenetic и другие)

Если нужно, чтобы весь домашний интернет шёл через сервер, WireGuard настраивают на роутере. У Keenetic поддержка есть в операционной системе, но название раздела и необходимость установить компонент зависят от версии прошивки. Обычно путь такой: откройте веб-интерфейс роутера, найдите раздел с подключениями или защищёнными интерфейсами, добавьте WireGuard-подключение, импортируйте файл .conf или внесите данные из него вручную, затем включите подключение и выберите, какие устройства будут им пользоваться. Точные шаги для вашей модели лучше сверить в документации Keenetic. На роутерах с OpenWrt используется пакет wireguard и настройка в интерфейсе или конфигурационных файлах.

Как проверить, что всё работает

После включения туннеля откройте в приложении статус: если рукопожатие свежее, а счётчики принятых и отправленных данных растут, соединение установлено. Затем откройте любой сайт и сервис, который вы проверяли до включения. Чтобы убедиться, что трафик идёт через сервер, можно открыть страницу, показывающую ваш внешний IP-адрес: он должен совпадать с адресом сервера, а не провайдера. Если адрес не изменился, проверьте список AllowedIPs: для передачи всего трафика через туннель обычно указывают 0.0.0.0/0 (и ::/0 для IPv6), но уточните это у владельца сервера, так как конфигурация может быть другой.

Безопасность конфигурации

Конфигурационный файл по сути заменяет пароль. Храните его так же аккуратно: не оставляйте в общих папках и мессенджерах с историей, не выкладывайте скриншоты с QR-кодом. Если файл попал не в те руки, попросите владельца сервера выпустить новую пару ключей и удалите старый туннель. Когда телефон или компьютер продаёте или отдаёте, сначала удалите туннели из приложения.

Типичные ошибки

Туннель включён, но рукопожатия нет. Проверьте адрес и порт сервера (Endpoint), что сервер включён и что его порт UDP открыт в брандмауэре хостинга.
Рукопожатие есть, интернета нет. Часто дело в AllowedIPs или в настройке пересылки трафика на сервере.
Не открываются сайты по именам. Проверьте строку DNS в конфигурации.
Работает на Wi-Fi, но не работает на мобильном интернете (или наоборот). Некоторые сети ограничивают UDP или распознают WireGuard. В таком случае стоит попробовать другой протокол.
Один конфиг на двух устройствах. Два устройства с одним ключом будут мешать друг другу, создавайте отдельную конфигурацию на каждое.
Скачали не с официального сайта. Берите клиент только со страницы wireguard.com.

Проще через подписку MEDOED

Если сервер, ключи и файлы конфигурации вам не нужны, есть вариант проще. В Telegram-боте MEDOED вы получаете ссылку-подписку и добавляете её в приложение Happ, V2RayTun или INCY; настройка описана в статьях V2RayTun и Happ: что это. Приложение сразу подтягивает список серверов, ничего вручную вводить не нужно. Первый день бесплатно.

Частые вопросы

WireGuard бесплатный? Да, приложения и протокол открытые. Сервер, к которому вы подключаетесь, нужно либо арендовать, либо получить доступ у того, кто его держит.

Чем WireGuard отличается от классического протокола с открытым кодом, который появился раньше? WireGuard проще, быстрее и легче для батареи. Зато у старого протокола больше вариантов настройки, например работа через TCP.

Можно ли пользоваться WireGuard без своего сервера? Клиенту нужна готовая конфигурация от какого-либо сервера. Сам по себе он ничего не подключает.

Что делать, если провайдер ограничивает WireGuard? Посмотрите в сторону протоколов с изменённым «почерком», например AmneziaWG; о нём рассказано в статье Протоколы подключения простыми словами.

Можно ли установить WireGuard на телевизор? Это зависит от системы телевизора. На Android TV обычно проще поставить клиент из магазина приложений, если он там доступен.