Генерация ключей WireGuard (wg genkey / pubkey): Настройка криптографии

Обновлено: 10.09.2026 · Официальная документация ↗

Криптография WireGuard и принципы маршрутизации (Cryptokey Routing)

В отличие от IPsec (где используются сложные фазы IKE) или OpenVPN (TLS-сертификаты), WireGuard базируется на современной, быстрой и минималистичной криптографии (протокол Noise, эллиптическая кривая Curve25519, шифр ChaCha20-Poly1305). Основа аутентификации — это концепция Cryptokey Routing (маршрутизация по криптоключам). Каждый узел сети идентифицируется коротким статическим Публичным ключом (Public Key). Для установления туннеля узлы должны обменяться этими публичными ключами. Бизнес-риски неверной настройки: компрометация приватных ключей приведет к полному доступу злоумышленника в корпоративную сеть без необходимости подбора паролей.

Типы ключей в WireGuard

Тип ключа	Команда генерации	Назначение и хранение
`PrivateKey` (Приватный)	`wg genkey`	Хранится СТРОГО локально в конфигурации (раздел [Interface]). Никогда не передается по сети.
`PublicKey` (Публичный)	`wg pubkey`	Математически выводится из приватного. Передается удаленному узлу (раздел [Peer]).
`PresharedKey` (Опционально)	`wg genpsk`	Дополнительный симметричный ключ (PSK) для защиты от постквантовых атак (записывается в [Peer]).

Генерация и настройка ключей WireGuard (CLI)

Сценарий 1: Базовая генерация пары ключей на Linux

Утилиты командной строки (wg-tools) позволяют сгенерировать ключи за секунду. Права на файл приватного ключа должны быть ограничены (chmod 600).

 Генерация закрытого ключа и сохранение в файл
wg genkey > /etc/wireguard/privatekey
 chmod 600 /etc/wireguard/privatekey

 Вывод открытого ключа на основе закрытого
cat /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

 Однострочник для вывода ключей в консоль (без сохранения в файлы):
wg genkey | tee /dev/tty | wg pubkey

Сценарий 2: Применение ключей в конфигурации wg0.conf

После генерации ключи распределяются между Сервером и Клиентом. Сервер должен знать PublicKey клиента, а Клиент — PublicKey сервера.

 # Настройка на стороне Клиента
[Interface]
PrivateKey = <Приватный_ключ_Клиента>
Address = 10.0.0.2/32

[Peer]
PublicKey = <Публичный_ключ_Сервера>
Endpoint = 203.0.113.1:51820
AllowedIPs = 0.0.0.0/0

Сценарий 3: Постквантовая защита (PresharedKey)

Curve25519 считается надежной сейчас, но в будущем квантовые компьютеры смогут взломать асимметричную криптографию (алгоритм Шора). Использование симметричного PSK ключа нивелирует этот риск.

 Генерация PSK
wg genpsk > /etc/wireguard/presharedkey

 Добавить строку в раздел [Peer] на ОБОИХ узлах:
PresharedKey = <Содержимое_файла_presharedkey>

Типовые ошибки администраторов

Путаница с секциями: Вставка PublicKey в секцию `[Interface]` вместо `[Peer]` — самая частая ошибка новичков, приводящая к нерабочему интерфейсу.
Передача приватных ключей по email: Приватный ключ клиента должен генерироваться на самом клиенте (или передаваться разово через защищенный канал, например, QR-код в TLS-сессии). Отправка `.conf` файлов с приватными ключами через Telegram или почту дискредитирует безопасность туннеля.

Внедряете WireGuard для сотен удаленщиков?
Ручная генерация ключей не масштабируется. Специалисты ITSTM помогут автоматизировать управление ключами (PKI-подобный подход) с использованием решений вроде wg-easy или Netmaker, интегрировав авторизацию с вашим корпоративным Active Directory / LDAP.

💡 Практика специалистов: Практика ITSTM: При отладке подключений WireGuard (Cryptokey Routing) важно помнить о директиве 'AllowedIPs' в секции [Peer]. Она не только выступает в роли ACL, но и прописывает маршруты в таблицу маршрутизации ОС. Если пакет приходит от пира, чей IP не входит в 'AllowedIPs', он будет отброшен, даже если ключи совпали.

Частые вопросы (FAQ)

Можно ли сгенерировать ключи WireGuard на Windows?

Да. Официальный клиент WireGuard для Windows имеет встроенный генератор. При нажатии 'Добавить пустой туннель' (Ctrl+N), клиент автоматически создаст пару ключей и вставит их в графическом интерфейсе.

Что будет, если я потеряю файл privatekey?

Восстановить его математически невозможно. Вам придется сгенерировать новую пару ключей, после чего обновить конфигурацию на вашем устройстве (Interface) и передать новый PublicKey администратору сервера (в секцию Peer).

WireGuard не работает. В логах тишина. В чем проблема?

WireGuard разработан так, чтобы быть 'невидимым' (stealth). Если ключи не совпадают или пакет не проходит проверку подлинности, WG просто отбрасывает пакет (Drop) без отправки ICMP ответов или логов об ошибке аутентификации. Проверяйте совпадение Public Key на обеих сторонах.

Нужно ли перезапускать интерфейс после смены ключей?

Да. Если вы редактируете wg0.conf напрямую, выполните команду 'wg-quick down wg0' и затем 'wg-quick up wg0'. Для добавления пира 'на лету' (без перезапуска) используйте команду 'wg set'.