Razlike

Slijede razlike između dviju inačica stranice.

--- racfor_wiki:android:wireguard_protokol [2020/01/09 23:24]
lkudra završeno poglavlje o praktičnom dijelu
+++ racfor_wiki:android:wireguard_protokol [2024/12/05 12:24] (trenutno)
@@ Redak 1: / Redak 1: @@
 ====== Wireguard protokol ======
-Uredi
-Uredi
 ===== Sažetak =====
@@ Redak 15: / Redak 12: @@
 Keywords: **VPN**; **Wireguard**
-Uredi
-Uredi
 ===== Uvod u VPN =====
@@ Redak 25: / Redak 19: @@
 {{:racfor_wiki:android:3a5c726ec6de88022ced3c6d2e7fd936.png}}
-Uredi
-Uredi
 ===== Postojeći VPN protokoli =====
@@ Redak 77: / Redak 68: @@
   * koristi UDP port 500 za početnu razmjenu ključeva, UDP port 1701 za početnu L2TP konfiguraciju i UDP port 4500 za prolazak kroz NAT. Zbog korištenja fiksnih port-ova lakše ga je blokirati od protokola koji ne koriste fiksne port-ove.
-Uredi
-Uredi
 ===== Wireguard =====
@@ Redak 172: / Redak 160: @@
 S obzirom da se Wireguard protokol još uvijek naglo razvija i ima mali broj korisnika nije prošao niti približan broj revizija i sigurnosnih provjera kao primjerice OpenVPN koji je dokazano siguran protokol. Na Wireguard-ovoj web stranici stoji upozorenje svim korisnicima da je ovaj projekt još uvijek u razvoju i da nema stabilnu verziju ([[https://www.wireguard.com/#work-in-progress|https://www.wireguard.com/#work-in-progress]]).
-Osim što je protokol trenutno "nedovršen" nema nekih većih zabrinutosti oko **sigurnosti**, ali način na koji Wireguard funkcionira nije efikasan za zaštitu **privatnosti**.
+Osim što je protokol trenutno "nedovršen" nema nekih većih zabrinutosti oko **sigurnosti**, ali način na koji Wireguard funkcionira nije pogodan za zaštitu **privatnosti**.
 === Problemi sa zaštitom privatnosti ===
@@ Redak 187: / Redak 174: @@
       * Ako napadač snimi sav promet prema poslužitelju i od poslužitelja te zatim provali u poslužitelj i sazna Wireguard-ov privatni ključ moći će povezati snimljeni promet sa specifičnim korisnicima.
-Uredi
-Uredi
 ===== Postavljanje Wireguard-a na udaljenom poslužitelju =====
@@ Redak 208: / Redak 192: @@
 === Instalacija Wireguard-a ===
-Najprije je potrebno instalirati Wireguard s obzirom da još uvijek ne dolazi s kernel-om. U ovom slučaju korišten je Ubuntu 18.04 i proces instalacije je sljedeći:<code># add-apt-repository ppa:wireguard/wireguard
+Najprije je potrebno instalirati Wireguard s obzirom da još uvijek ne dolazi s kernel-om. U ovom slučaju korišten je Ubuntu 18.04 i proces instalacije je sljedeći:
-# apt-get update''
- '' # apt-get install wireguard-dkms wireguard-tools linux-headers-$(uname -r)
+<code>
+# add-apt-repository ppa:wireguard/wireguard
+# apt-get update
+# apt-get install wireguard-dkms wireguard-tools linux-headers-$(uname -r)
 </code>
 === Generiranje ključeva poslužitelja ===
-<wp-block-preformatted>
+<code>
 # wg genkey | tee privatekey | wg pubkey> publickey
-</wp-block-preformatted>
+</code>
 === Konfiguracija poslužitelja ===
-Potrebno je stvoriti datoteku ''/etc/wireguard/wg0.conf''  na poslužitelju sa sljedećim sadržajem:
+Potrebno je stvoriti datoteku ''/etc/wireguard/wg0.conf'' na poslužitelju sa sljedećim sadržajem:<code>
+[Interface]
+Address = 10.200.200.1/24
+SaveConfig = true
+PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE; iptables -A FORWARD -o %i -j ACCEPT
+PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; iptables -D FORWARD -o %i -j ACCEPT
+ListenPort = 51820
+PrivateKey = <server private key>
-<wp-block-preformatted>
+[Peer]
-**[**Interface**]**
+PublicKey = <client public key>
-Address **=**  **10.200.200.1** /24
+AllowedIPs = 10.200.200.2/24
-SaveConfig **=**  **true**
+Endpoint = <client_public_ip>:<port>
-PostUp = iptables -A FORWARD -i **%i**  -j ACCEPT; iptables -t nat -A POSTROUTING -o **eth0**  -j MASQUERADE; iptables -A FORWARD -o **%i**  -j ACCEPT
+</code>
-PostDown = iptables -D FORWARD -i **%i**  -j ACCEPT; iptables -t nat -D POSTROUTING -o **eth0**  -j MASQUERADE; iptables -D FORWARD -o **%i**  -j ACCEPT
-ListenPort **=**  **51820**
-PrivateKey **=**  **<server private key>**
-**[**Peer**]**
-PublicKey **=**  **<client public key>**
-AllowedIPs **=**  **10.200.200.2** /24
-Endpoint = **<client_public_ip>:<port>**
-</wp-block-preformatted>
 Objašnjenje konfiguracije:
-**Address = 10.200.200.1/24:**  IP adresa i adresni prostor Wireguard-a u VPN-u.
+**Address = 10.200.200.1/24:** IP adresa i adresni prostor Wireguard-a u VPN-u.
-**SaveConfig = true:**  spremi konfiguraciju da ostane trajna i nakon prekida veze.
+**SaveConfig = true:** spremi konfiguraciju da ostane trajna i nakon prekida veze.
-**ListenPort = 51820:**  UDP port na kojem VPN čeka nadolazeći promet, može biti i neki drugi broj.
+**ListenPort = 51820:** UDP port na kojem VPN čeka nadolazeći promet, može biti i neki drugi broj.
-**PrivateKey = <server private key>:**  ovo je sadržaj prethodno stvorene datoteke na poslužitelju ''privatekey''
+**PrivateKey = <server private key>:** ovo je sadržaj prethodno stvorene datoteke na poslužitelju ''privatekey''
-**PublicKey = <client public key>:**  ovo je sadržaj datoteke publickey datoteke na klijentu
+**PublicKey = <client public key>:** ovo je sadržaj datoteke publickey datoteke na klijentu
-**AllowedIPs = 10.200.200.2/24****:**  IP adrese kojima je dozvoljeno slanje i primanje prometa kroz VPN
+**AllowedIPs = 10.200.200.2/24****:** IP adrese kojima je dozvoljeno slanje i primanje prometa kroz VPN
-**Endpoint = <client_public_ip>:<port>: **ova postavka je ažurirana svaki put kad se //peer//  spoji na poslužitelj s druge ip adrese i opcionalna je, ali meni spajanje nije radilo ako sam izostavio tu liniju.
+**Endpoint = <client_public_ip>:<port>: **ova postavka je ažurirana svaki put kad se //peer// spoji na poslužitelj s druge ip adrese i opcionalna je, ali meni spajanje nije radilo ako sam izostavio tu liniju.
+<code>
-<wp-block-preformatted>
+PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE; iptables -A FORWARD -o %i -j ACCEPT
-PostUp = iptables -A FORWARD -i **%i**  -j ACCEPT; iptables -t nat -A POSTROUTING -o **eth0**  -j MASQUERADE; iptables -A FORWARD -o **%i**  -j ACCEPT
+PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; iptables -D FORWARD -o %i -j ACCEPT
-PostDown = iptables -D FORWARD -i **%i**  -j ACCEPT; iptables -t nat -D POSTROUTING -o **eth0**  -j MASQUERADE; iptables -D FORWARD -o **%i**  -j ACCEPT
+</code>
-</wp-block-preformatted>
-**PostUp **opisuje koja se pravila izvode kada se VPN veza uspostavlja: Prvo i treće pravilo omogućuju dolazni odnosno odlazni promet na Wireguard sučelju (''%i''). Drugo pravilo omogućuje da VPN promet prođe kroz nat na mrežnom sučelju ''eth0''  što je sučelje preko kojeg je poslužitelj spojen na internet.
-**PostDown**  opisuje koja se pravila izvode kada se VPN veza prekida. Pravila su jednaka kao i u **PostUp**  samo što se ovdje brišu (zastavica -D) umjesto da se dodaju (zastavica -A).
+**PostUp **opisuje koja se pravila izvode kada se VPN veza uspostavlja: Prvo i treće pravilo omogućuju dolazni odnosno odlazni promet na Wireguard sučelju (''%i''). Drugo pravilo omogućuje da VPN promet prođe kroz nat na mrežnom sučelju ''eth0'' što je sučelje preko kojeg je poslužitelj spojen na internet.
+**PostDown** opisuje koja se pravila izvode kada se VPN veza prekida. Pravila su jednaka kao i u **PostUp** samo što se ovdje brišu (zastavica -D) umjesto da se dodaju (zastavica -A).
 === Omogućavanje Wireguard mrežnog sučelja na poslužitelju ===
 Najprije se postave ispravne dozvole na konfiguracijskim datotekama.
-<wp-block-preformatted>
+<code>
 # chown -v root:root /etc/wireguard/wg0.conf
 # chmod -v 600 /etc/wireguard/wg0.conf
-</wp-block-preformatted>
+</code>
 Nakon toga se podigne Wireguard sučelje:
-<wp-block-preformatted>
+<code>
 # systemctl enable wg-quick@wg0.service
-</wp-block-preformatted>
+</code>
-Zatim je potrebno postaviti //IP forwarding//  na poslužitelju kako bi promet mogao prolaziti kroz tunel.
+Zatim je potrebno postaviti //IP forwarding// na poslužitelju kako bi promet mogao prolaziti kroz tunel.
+<code>
-<wp-block-preformatted>
 # sed -i 's/#net.ipv4.ip_forward=1/net.ipv4.ip_forward=1/g' /etc/sysctl.conf
-</wp-block-preformatted>
+</code>
 Kako se ne bi moralo ponovno pokrenuti poslužitelja mogu se izvršiti ove dvije naredbe.
-<wp-block-preformatted>
+<code>
 # sysctl -p
 # echo 1> /proc/sys/net/ipv4/ip_forward
-</wp-block-preformatted>
+</code>
 === Postavljanje firewall-a na poslužitelju ===
 Praćenje VPN konekcije:
-<wp-block-preformatted>
+<code>
-# iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
+# iptables -A INPUT -m conntrack –ctstate RELATED,ESTABLISHED -j ACCEPT
-# iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
+# iptables -A FORWARD -m conntrack –ctstate RELATED,ESTABLISHED -j ACCEPT
-</wp-block-preformatted>
+</code>
 Prihvati promet na UDP port-u kojeg koristi Wireguard:
-<wp-block-preformatted>
+<code>
-# iptables -A INPUT -p udp -m udp --dport 51820 -m conntrack --ctstate NEW -j ACCEPT
+# iptables -A INPUT -p udp -m udp –dport 51820 -m conntrack –ctstate NEW -j ACCEPT
-</wp-block-preformatted>
+</code>
 Dozvoli rekurzivni TCP i UDP DNS promet:
-<wp-block-preformatted>
+<code>
-# iptables -A INPUT -s 10.200.200.0/24 -p tcp -m tcp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
+# iptables -A INPUT -s 10.200.200.0/24 -p tcp -m tcp –dport 53 -m conntrack –ctstate NEW -j ACCEPT
-# iptables -A INPUT -s 10.200.200.0/24 -p udp -m udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT
+# iptables -A INPUT -s 10.200.200.0/24 -p udp -m udp –dport 53 -m conntrack –ctstate NEW -j ACCEPT
-</wp-block-preformatted>
+</code>
 Dopusti prijenos podataka koji su u VPN tunelu (možda nije potrebno jer već postoji u Wireguard konfiguraciji, ali meni nije radilo bez ovoga):
-<wp-block-preformatted>
+<code>
-# iptables -A FORWARD -i wg0 -o wg0 -m conntrack --ctstate NEW -j ACCEPT
+# iptables -A FORWARD -i wg0 -o wg0 -m conntrack –ctstate NEW -j ACCEPT
-</wp-block-preformatted>
+</code>
 Postavi nat (možda nije potrebno jer već postoji u Wireguard konfiguraciji, ali meni nije radilo bez ovoga):
-<wp-block-preformatted>
+<code>
 # iptables -t nat -A POSTROUTING -s 10.200.200.0/24 -o eth0 -j MASQUERADE
-</wp-block-preformatted>
+</code>
 Spremi pravila da ostanu i nakon ponovnog pokretanja računala:
-<wp-block-preformatted>
+<code>
 # apt-get install iptables-persistent
 # systemctl enable netfilter-persistent
 # netfilter-persistent save
-</wp-block-preformatted>
+</code>
 === DNS postavke ===
-Dobra je praksa osigurati da DNS promet bude siguran. Korištenjem ove konfiguracije štitimo naš poslužitelj od curenja DNS podataka, lažnih //proxy//  konfiguracija i raznik //Man-In-The-Middle//  napada.
+Dobra je praksa osigurati da DNS promet bude siguran. Korištenjem ove konfiguracije štitimo naš poslužitelj od curenja DNS podataka, lažnih //proxy// konfiguracija i raznik //Man-In-The-Middle// napada.
 Najprije moramo instalirati //unbound//:
+<code>
-<wp-block-preformatted>
 # apt-get install unbound unbound-host
+</code>
-</wp-block-preformatted>
 Zatim preuzmemo listu korijenskih DNS poslužitelja:
-<wp-block-preformatted>
+<code>
 # curl -o /var/lib/unbound/root.hints https://www.internic.net/domain/named.cache
+</code>
-</wp-block-preformatted>
+Nakon toga moramo napisati konfiguraciju ''/etc/unbound/unbound.conf'' sa sljedećim sadržajem (konfiguracija je komentirana pa nije potrebno dodatno pojašnjenje pojedinih pravila):
+<code>
-Nakon toga moramo napisati konfiguraciju ''/etc/unbound/unbound.conf''  sa sljedećim sadržajem (konfiguracija je komentirana pa nije potrebno dodatno pojašnjenje pojedinih pravila):
-<wp-block-preformatted>
 server:
@@ Redak 397: / Redak 379: @@
   prefetch: yes
   prefetch-key: yes
+</code>
-</wp-block-preformatted>
 Na kraju je samo još potrebno postaviti dozvole i pokrenuti //unbound//:
+<code>
-<wp-block-preformatted>
 # chown -R unbound:unbound /var/lib/unbound
 # systemctl enable unbound
+</code>
-</wp-block-preformatted>
 ==== Postavke na osobnom računalu (klijentu) ====
@@ Redak 415: / Redak 396: @@
 === Generiranje ključeva klijenta ===
-<wp-block-preformatted>
+<code>
 # wg genkey | tee privatekey | wg pubkey> publickey
-</wp-block-preformatted>
+</code>
-=== Konfiguracija klijenta ===
-Potrebno je stvoriti datoteku ''/etc/wireguard/wg0.conf''  sa sljedećim sadržajem:
+=== Konfiguracija klijenta ===
-<wp-block-preformatted>
+Potrebno je stvoriti datoteku ''/etc/wireguard/wg0.conf'' sa sljedećim sadržajem:<code>
 [Interface]
-Address = **10.200.200.2** /24
+Address = 10.200.200.2/24
-PrivateKey = **<client private key>**
+PrivateKey = <client private key>
-DNS = **10.200.200.1**
+DNS = 10.200.200.1
 [Peer]
-PublicKey = **<server public key>**
+PublicKey = <server public key>
-Endpoint = **<server ip>:51820**
+Endpoint = <server_public_ip>:51820
-AllowedIPs = **0.0.0.0/0**
+AllowedIPs = 0.0.0.0/0
-PersistentKeepalive = **21**
+PersistentKeepalive = 21
-</wp-block-preformatted>
+</code>
 Objašnjenje konfiguracije:
-**Address = 10.200.200.2/24:**  IP adresa i adresni prostor Wireguard klijenta u VPN-u.
+**Address = 10.200.200.2/24:** IP adresa i adresni prostor Wireguard klijenta u VPN-u.
-**PrivateKey = <client private key>:**  sadržaj prethodno stvorene datoteke privatekey na klijentu.
+**PrivateKey = <client private key>:** sadržaj prethodno stvorene datoteke privatekey na klijentu.
-**DNS = 10.200.200.1:**  adresa DNS poslužitelja.
+**DNS = 10.200.200.1:** adresa DNS poslužitelja.
-**PublicKey = <server public key>:  **sadržaj datoteke publickey na poslužitelju.
+**PublicKey = <server public key>: **sadržaj datoteke publickey na poslužitelju.
-**Endpoint = <server ip>:51820:**  javna ip adresa servera i port na kojem sluša VPN promet.
+**Endpoint = <server_public_ip>:51820:** javna ip adresa servera i port na kojem sluša VPN promet.
-**AllowedIPs = 0.0.0.0/0:**  ovo je //wildcard//  kojim se dozvoljava da se na poslužitelj spoji s bilo koje IP adrese.
+**AllowedIPs = 0.0.0.0/0:** ovo je //wildcard// kojim se dozvoljava da se na poslužitelj spoji s bilo koje IP adrese.
-**PersistentKeepalive = 21:**  pošalji autentificirani prazni paket //peer//-u svakih 21 sekundu da se spriječe potencijalni problemi s firewall-om ili NAT-om.
+**PersistentKeepalive = 21:** pošalji autentificirani prazni paket //peer//-u svakih 21 sekundu da se spriječe potencijalni problemi s firewall-om ili NAT-om.
 === Spajanje na VPN ===
 Kako bi se spojili na VPN potrebno je aktivirati mrežno sučelje ''wg0''. To se može učiniti sljedećom naredbom:
+<code>
-<wp-block-preformatted>
 $ sudo wg-quick up wg0
-</wp-block-preformatted>
+</code>
 Nakon izvođenja ove naredbe trebali bi biti spojeni na VPN. Status možete provjeriti ovako:
-<wp-block-preformatted>
+<code>
 $ sudo wg
-</wp-block-preformatted>
 Dobije se ispis:
-<wp-block-preformatted>
 interface: wg0
   public key: <public client key>
   private key: (hidden)
-  listening port: 45858
+  listening port: 32801
   fwmark: 0xca6c
@@ Redak 477: / Redak 453: @@
   endpoint: <public_server_ip>:51820
   allowed ips: 0.0.0.0/0
-  latest handshake: 4 seconds ago
+  latest handshake: 2 seconds ago
-  transfer: 9.00 KiB received, 7.94 KiB sent
+  transfer: 2.04 MiB received, 4.51 MiB sent
   persistent keepalive: every 21 seconds
+</code>
-</wp-block-preformatted>
 VPN se može ugasiti naredbom:
-<wp-block-preformatted>
+<code>
 $ sudo wg-quick down wg0
-</wp-block-preformatted>
+</code>
-Za provjeru je li VPN upaljen može se koristiti alate //traceroute//  koji ispisuje put kojim zahtjev putuje koji mora biti drugačiji s VPN-om i bez njega.
+Za provjeru je li VPN upaljen može se koristiti alate //traceroute// koji ispisuje put kojim zahtjev putuje koji mora biti drugačiji s VPN-om i bez njega.
 VPN isključen:
-<wp-block-preformatted>
+<code>
 $ traceroute google.com
-</wp-block-preformatted>
+</code>
-<wp-block-preformatted>
+<code>
 traceroute to google.com (216.58.207.174), 30 hops max, 60 byte packets
   _gateway (192.168.0.1)  4.062 ms  6.276 ms  6.132 ms
@@ Redak 514: / Redak 490: @@
   * 209.85.252.235 (209.85.252.235)  83.468 ms 209.85.252.233 (209.85.252.233)  87.459 ms
   muc11s04-in-f14.1e100.net (216.58.207.174)  82.050 ms  66.597 ms *
-</wp-block-preformatted>
+</code>
 VPN uključen:
-<wp-block-preformatted>
+<code>
 $ traceroute google.com
-</wp-block-preformatted>
+</code>
-<wp-block-preformatted>
+<code>
 traceroute to google.com (172.217.22.46), 30 hops max, 60 byte packets
   10.200.200.1 (10.200.200.1)  29.185 ms  33.921 ms  33.878 ms
@@ Redak 530: / Redak 507: @@
   108.170.251.129 (108.170.251.129)  32.933 ms 66.249.95.29 (66.249.95.29)  31.776 ms 66.249.95.31 (66.249.95.31)  35.813 ms
   fra15s16-in-f14.1e100.net (172.217.22.46)  35.739 ms  35.733 ms 66.249.95.31 (66.249.95.31)  35.890 ms
-</wp-block-preformatted>
+</code>
 Vidimo da je s uključenim VPN-om prvi skok na adresu 10.200.200.1 što je adresa našeg poslužitelja u VPN-u.
-Uredi
-Uredi
 ===== Literatura =====
-Ovo je literatura.
+[1] [[https://www.wireguard.com/papers/wireguard.pdf|https://www.wireguard.com/papers/wireguard.pdf]]
+[2] [[https://www.wireguard.com/|https://www.wireguard.com/]]
+[3] [[https://en.wikipedia.org/wiki/Virtual_private_network|https://en.wikipedia.org/wiki/Virtual_private_network]]
+[4] [[https://en.wikipedia.org/wiki/IPsec|https://en.wikipedia.org/wiki/IPsec]]
+[5] [[https://restoreprivacy.com/wireguard/|https://restoreprivacy.com/wireguard/]]
+[6] [[https://www.ivpn.net/knowledgebase/254/Using-WireGuard-for-Privacy-Protection.html|https://www.ivpn.net/knowledgebase/254/Using-WireGuard-for-Privacy-Protection.html]]
+[7] [[https://restoreprivacy.com/openvpn-ipsec-wireguard-l2tp-ikev2-protocols/|https://restoreprivacy.com/openvpn-ipsec-wireguard-l2tp-ikev2-protocols/]]
+[8] [[https://en.wikipedia.org/wiki/WireGuard|https://en.wikipedia.org/wiki/WireGuard]]
-Uredi
+[9] [[https://wiki.archlinux.org/index.php/WireGuard|https://wiki.archlinux.org/index.php/WireGuard]]
-Uredi
+[10] [[https://www.ckn.io/blog/2017/11/14/wireguard-vpn-typical-setup/?fbclid=IwAR1ippkULJcKA11jdAkc9pWU3jPbMB1PD8-E7e7pqsfrDrwK5LHoDJBkFdw|https://www.ckn.io/blog/2017/11/14/wireguard-vpn-typical-setup/?fbclid=IwAR1ippkULJcKA11jdAkc9pWU3jPbMB1PD8-E7e7pqsfrDrwK5LHoDJBkFdw]]

racfor_wiki/android/wireguard_protokol.1578612242.txt.gz · Zadnja izmjena: 2024/12/05 12:23 (vanjsko uređivanje)