Помощник по настройке WireGuard и OpenVPN

Подготовка к развёртыванию WireGuard-сервера

Сначала соберём исходные данные. После ваших ответов я пришлю пошаговый план. Ниже вопросы и заранее короткая оценка протокола: от неё зависит, что именно мы будем ставить.

Этап 1. Вопросы

Проще всего выполнить на сервере один блок команд и прислать мне весь вывод целиком. Он ответит на половину вопросов сразу.

# Подключитесь к серверу по SSH и выполните блок целиком (скопировать → вставить)
echo "=== Пользователь и права ===";  whoami; id; sudo -n true 2>/dev/null && echo "sudo: есть без пароля" || echo "sudo: нужен пароль или нет прав"
echo "=== Версия ОС ===";             lsb_release -ds; uname -r
echo "=== Сетевые интерфейсы ===";    ip -brief address
echo "=== Маршрут по умолчанию ===";  ip route show default; ip -6 route show default
echo "=== Внешний IP (как его видит интернет) ==="; curl -4 -s ifconfig.me; echo; curl -6 -s --max-time 5 ifconfig.me || echo "IPv6: нет"
echo "=== Firewall ufw ===";          sudo ufw status verbose 2>/dev/null || echo "ufw не установлен"
echo "=== Правила iptables ===";      sudo iptables -S 2>/dev/null | head -30
echo "=== Правила nftables ===";      sudo nft list ruleset 2>/dev/null | head -30
echo "=== Слушающие порты ===";       sudo ss -tulpn
echo "=== Настройки SSH ===";         sudo grep -Ei '^\s*(Port|PermitRootLogin|PasswordAuthentication|PubkeyAuthentication)' /etc/ssh/sshd_config /etc/ssh/sshd_config.d/*.conf 2>/dev/null
echo "=== IP forwarding ===";         sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding

Если какая-то команда выдаст ошибку, ничего страшного: пришлите вывод как есть.

Также ответьте на вопросы, которые не видны из консоли:

1. Локация сервера. В какой стране дата-центр VPS (Россия, Нидерланды, Германия, Казахстан…)? Это самый важный вопрос, объяснение ниже.
2. Root-доступ. Вы входите как root или как обычный пользователь с sudo? Пароль root выдан в панели Timeweb?
3. Вход по SSH. Сейчас вы входите по паролю или по SSH-ключу? Если по ключу, то с какого устройства он создан?
4. Облачный firewall Timeweb. У Timeweb есть отдельный сетевой фильтр в панели («Сети» → «Firewall»). Он включён для этого сервера? Если да, пришлите скриншот или перечислите правила.
5. IP. Совпадает ли IP из панели Timeweb с тем, что покажет curl ifconfig.me в выводе выше? Если совпадает, сервер не за NAT.
6. Рабочие ресурсы. Что это: сайты и сервисы, открытые в интернет (почта, CRM, Jira)? Или они доступны только из офисной сети или по белому списку IP? Во втором случае понадобится, чтобы IT-отдел добавил IP вашего VPS в белый список. Не противоречит ли использование личного VPN политике компании?
7. Какой трафик пускать через туннель:
   • весь (full tunnel): максимальная защита в кафе и отелях, рекомендую;
   • только часть (split tunnel): отдельные сайты и подсети идут через VPN, остальное напрямую.
8. Рабочий ноутбук Windows. Он личный или корпоративный? Есть ли у вас права администратора на установку программ?
9. Куда вы ездите. В каких странах будете пользоваться VPN? В ОАЭ, Турции, Китае, Иране и России VPN-протоколы блокируются по-разному.
10. Будут ли другие пользователи. Только вы (3 устройства) или позже добавятся семья и коллеги? От этого зависит схема раздачи адресов.
11. DNS. Есть ли предпочтения: Cloudflare 1.1.1.1, Quad9, Google? Или поднять собственный DNS-резолвер на сервере (надёжнее от утечек, чуть сложнее)?

Этап 2. Подходит ли WireGuard под вашу задачу

Два важных момента для вашего случая:

1. Локация сервера. Если VPS стоит в российском дата-центре Timeweb, сайты, заблокированные в РФ, через него открываться не будут: сервер сам находится за теми же блокировками. Для обхода блокировок нужен VPS за рубежом. У Timeweb Cloud есть локации в Нидерландах, Германии, Казахстане. Сменить локацию обычно проще, чем кажется: VPS создаётся заново за пару минут, а настраивать мы всё равно будем с нуля. Также проверьте условия использования (ToS) хостинга: у российских провайдеров бывают ограничения на VPN-сервисы.

2. Блокировка самого протокола. С 2023–2024 годов «чистый» WireGuard массово блокируется по сигнатуре при подключении из России, а также в ряде других стран. Если вы ездите по РФ или в страны с активной фильтрацией, обычный WireGuard может просто не подключаться.

Мои рекомендации в зависимости от ваших ответов:

• Сервер за рубежом, поездки в страны без жёсткой фильтрации (Европа, Азия, Кавказ). Берём обычный WireGuard, как вы и планировали. Это самый простой и быстрый вариант.
• Подключаться нужно из России или похожих юрисдикций. Рекомендую AmneziaWG. Это форк WireGuard с обфускацией: та же скорость, почти тот же конфиг, но пакеты не распознаются DPI. Клиент AmneziaVPN есть под Windows, Android и macOS, QR-коды тоже поддерживаются. Настройка отличается от обычного WireGuard буквально несколькими строками.
• Отели, где открыт только TCP 443, или жёсткая цензура. Вторым, резервным протоколом можно добавить VLESS + Reality (Xray). Он маскируется под обычный HTTPS-трафик, но сложнее в настройке. Предлагаю вернуться к нему отдельным этапом, если понадобится.

Я могу построить план так, чтобы WireGuard и AmneziaWG работали на одном сервере параллельно, на разных портах. Тогда в спокойных сетях вы пользуетесь быстрым WireGuard, а при блокировке переключаетесь на AmneziaWG.

Жду вывод команд и ответы на вопросы 1–11. После этого пришлю пошаговый план: установка, ключи, конфиги с комментариями к каждой строке, NAT и firewall, клиентские конфиги с QR-кодами, проверки после каждого этапа и hardening.