DebianでWireGuardサーバーを建てる

# apt install wireguard-tools iptables iptables-persistent qrencode

# vi /etc/sysctl.d/10-ipforward.conf

+=====[10-ipforward.conf]=====+
net.ipv4.ip_forward=1
+=============================+

# sysctl -p

# vi /etc/iptables/rules.v4

+=====[rules.v4]=====+
*filter
# デフォルトのポリシーを設定
# 受信と転送は破棄、送信は許可
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
# 確立している通信の戻りを許可
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# ローカルループバックを許可
-A INPUT -i lo -j ACCEPT
# 不正なループバックを破棄
-A INPUT -d 127.0.0.0/8 ! -i lo -j DROP
# WireGuard待ち受けポート宛への通信を許可
-A INPUT -p udp -m udp --dport 55555 -j ACCEPT
# 管理用PCからの全てのアクセスを許可
-A INPUT -s 192.168.100.1/32 -j ACCEPT
# 192.168.0.0/16からのICMPを許可
-A INPUT -s 192.168.0.0/16 -p icmp -j ACCEPT
# 192.168.100.0/24からのSSHの新規接続を許可
-A INPUT -s 192.168.100.0/24 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
COMMIT
+====================+

# netfilter-persistent reload

~~~ 消したいとき ~~~
# netfilter-persistent flush

# mkdir /etc/wireguard/server_key
# cd /etc/wireguard/server_key

~~~ 秘密鍵の作成 ~~~
# wg genkey | tee server.key
AAAAAAAAAAAAAAA=

~~~ 公開鍵の作成 ~~~
# cat server.key | wg pubkey | tee server.pub
XXXXXXXXXXXXXXX=

# mkdir /etc/wireguard/client_key
# cd /etc/wireguard/client_key

~~~ 秘密鍵の作成 ~~~
# wg genkey | tee client_01.key
BBBBBBBBBBBBBBB=

~~~ 公開鍵の作成 ~~~
# cat client_01.key | wg pubkey | tee client_01.pub
YYYYYYYYYYYYYYY=

~~~ 事前共有鍵の作成 ~~~
# wg genpsk | tee client_01_PSK.key
PPPPPPPPPPPPPPPP=

[Interface]
PrivateKey = サーバーの秘密鍵
Address = サーバーのWireGuard側IPアドレス CIDR表記だがマスクを省略しても構わない(その場合/32扱い)
ListenPort = 待ち受けポート番号
# コメント行

PostUp = インターフェース起動時に実行するコマンド; だいたい追加のファイアウォールルールなどを書く; セミコロン区切りで複数可
PostDown = インターフェース終了時に実行するコマンド; だいたい追加したルールを消すのに使う

[Peer]
PublicKey = クライアントの公開鍵
PresharedKey = 事前共有鍵 必須ではない サーバーとクライアントで同じキーを記述
AllowedIPs = クライアントの割り当てIP CIDR表記

[Peer]
# クライアントが複数存在する場合は同様にしてPeerセクションを増やしていく
PublicKey = クライアントの公開鍵
AllowedIPs = クライアントの割り当てIP CIDR表記

...

# vi /etc/wireguard/wg0.conf

+=====[wg0.conf]=====+
[Interface]
PrivateKey = AAAAAAAAAAAAAAA=
Address = 192.168.200.100
ListenPort = 55555

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o $(ip -4 route show default | awk '{print $5}') -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o $(ip -4 route show default | awk '{print $5}') -j MASQUERADE

[Peer]
# クライアント1
PublicKey = YYYYYYYYYYYYYYY=
PresharedKey = PPPPPPPPPPPPPPPP=
AllowedIPs = 192.168.200.1/32

[Peer]
# クライアント2
PublicKey = ZZZZZZZZZZZZZZZ=
AllowedIPs = 192.168.200.2/32
+====================+

iptables -A FORWARD -i %i -j ACCEPT
%iは自身のインターフェース名(wg0)に置き換えられる。
wg0インターフェースから入ってきたパケットを他インターフェースへ転送すること許可する。

iptables -A FORWARD -o %i -j ACCEPT
他インターフェースから入ってきたパケットをwg0インターフェースへ転送すること許可する。

iptables -t nat -A POSTROUTING -o $(ip -4 route show default | awk '{print $5}') -j MASQUERADE
$(ip -4 route show default | awk '{print $5}')はデフォルトルートが設定されているインターフェース(ens192)に置き換えられる。
パケットの送信元IPアドレスをサーバー(ens192)のIPに書き換える(NAPT)。

# systemctl enable wg-quick@wg0
# systemctl start wg-quick@wg0

~~~ ピアの接続状況の表示 ~~~
# wg show

# wg-quick up wg0
# wg-quick down wg0

[Interface]
PrivateKey = クライアントの秘密鍵
Address = クライアントのWireGuard側IPアドレス CIDR表記だがマスクを省略しても構わない
DNS = DNSサーバーの指定 必須ではないが書いておいたほうが良い

[Peer]
PublicKey = サーバーの公開鍵
PresharedKey = 事前共有鍵 必須ではない サーバーとクライアントで同じキーを記述
Endpoint = サーバーのIPアドレス ドメイン表記も可
AllowedIPs = ここに合致したトラフィックをWireGuard側に流す
PersistentKeepalive = キープアライブ設定 必須ではないが推奨

+=====[client_01.conf]=====+
[Interface]
PrivateKey = BBBBBBBBBBBBBBB=
Address = 192.168.200.1
DNS = 1.1.1.1

[Peer]
PublicKey = XXXXXXXXXXXXXXX=
PresharedKey = PPPPPPPPPPPPPPPP=
Endpoint = server.domain.name:55555
AllowedIPs = 0.0.0.0/1,128.0.0.0/1
PersistentKeepalive = 25
+==========================+

~~~ コンソールに表示する場合 ~~~
# qrencode -t ansiutf8 -r client_01.conf

~~~ 画像ファイルに出力する場合 ~~~
# qrencode -o filename.png -r client_01.conf

AllowedIPs = 0.0.0.0/1, 128.0.0.0/3, 160.0.0.0/5, 168.0.0.0/6, 172.0.0.0/12, 172.17.0.0/16, 172.18.0.0/15, 172.20.0.0/14, 172.24.0.0/13, 172.32.0.0/11, 172.64.0.0/10, 172.128.0.0/9, 173.0.0.0/8, 174.0.0.0/7, 176.0.0.0/4, 192.0.0.0/9, 192.128.0.0/11, 192.160.0.0/13, 192.169.0.0/16, 192.170.0.0/15, 192.172.0.0/14, 192.176.0.0/12, 192.192.0.0/10, 193.0.0.0/8, 194.0.0.0/7, 196.0.0.0/6, 200.0.0.0/5, 208.0.0.0/4, 224.0.0.0/3