Зачем компании нужен собственный VPN-сервер

При переходе сотрудников на удаленную работу открывать прямой доступ к корпоративным базам данных, CRM-системам и RDP-серверам через публичный интернет смертельно опасно. Злоумышленники непрерывно сканируют открытые порты. Развертывание защищенного VPN-туннеля решает эту проблему:

• Все коммуникации между ноутбуком сотрудника и офисом надежно шифруются современным протоколом ChaCha20-Poly1305.
• Внутренние ресурсы компании остаются полностью невидимыми для внешней сети.
• WireGuard работает быстрее и потребляет значительно меньше ресурсов процессора по сравнению с тяжеловесным OpenVPN.

Пошаговое развертывание WireGuard на Ubuntu

Настройка выполняется на чистом виртуальном сервере (VPS) с установленной ОС Ubuntu 22.04 или 24.04 LTS.

1. Шаг 1. Установка пакетов WireGuard:

   sudo apt update
   sudo apt install wireguard iptables qrencode -y

2. Шаг 2. Включение пересылки пакетов (IP Forwarding):

   Разрешите ядру Linux перенаправлять сетевой трафик между клиентами и интернетом:

   echo "net.ipv4.ip_forward = 1" | sudo tee -a /etc/sysctl.conf
   sudo sysctl -p

3. Шаг 3. Генерация ключей сервера:

   cd /etc/wireguard
   umask 077
   wg genkey | tee server_private.key | wg pubkey > server_public.key

4. Шаг 4. Создание файла конфигурации сервера wg0.conf:

   Узнайте имя вашего внешнего сетевого адаптера через ip route show default | awk '{print $5}' (например, eth0 или ens3) и создайте конфиг:

   sudo nano /etc/wireguard/wg0.conf

   Вставьте следующую конфигурацию (подставив ваш приватный ключ из server_private.key):

   [Interface]
   Address = 10.8.0.1/24
   ListenPort = 51820
   PrivateKey = ВСТАВЬТЕ_СОДЕРЖИМОЕ_server_private.key
   PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

5. Шаг 5. Запуск службы и добавление в автозагрузку:

   sudo systemctl enable wg-quick@wg0
   sudo systemctl start wg-quick@wg0
   sudo ufw allow 51820/udp

6. Шаг 6. Создание конфигурации для клиента:

   Сгенерируйте клиентские ключи и добавьте публичный ключ клиента в секцию [Peer] на сервере:

   # Добавление клиента на сервере:
   sudo wg set wg0 peer ПУБЛИЧНЫЙ_КЛЮЧ_КЛИЕНТА allowed-ips 10.8.0.2/32