Cara Konfigurasi Wireguard di OpenBSD

Sebelum Anda menginstal Wireguard, ada baiknya Anda mengetahui apa itu WireGuard, berikut berandanya. WireGuard adalah protokol terowongan VPN baru yang jauh lebih mudah diatur daripada OpenVPN atau IPsec dan juga lebih stabil dan berkinerja baik. Sebenarnya cukup sederhana, yang juga berarti memiliki lebih sedikit fitur daripada yang biasa Anda gunakan, misalnya OpenVPN. Meskipun Anda selalu dapat mengatur WireGuard di OpenBSD. Meskipun Anda dapat menggunakan implementasi userspace WireGuard yang ditulis dalam Go (dikenal sebagai wireguard-go), WireGuard juga ditambahkan ke OpenBSD.

Hal yang perlu diperhatikan saat menggunakan WireGuard adalah WireGuard mirip dengan SSH/OpenSSH dalam hal kunci. Sama seperti SSH, Anda memiliki kunci pribadi dan publik, dan Anda merahasiakan kunci pribadi tersebut dan menambahkan kunci publik semua klien yang ingin Anda izinkan untuk mengakses server Anda.

Cara kerjanya hampir sama dengan SSH, Anda melakukan hal serupa di WireGuard, yaitu merahasiakan kunci pribadi dan menambahkan setiap titik akhir terowongan sebagai rekan dengan kunci publiknya. Saat menambahkan rekan, Anda juga menentukan alamat IP yang Anda harapkan untuk didengar (atau dikirim ke) rekan tersebut dan begitulah cara WireGuard memastikan bahwa lalu lintas dari/ke rekan tertentu hanya diterima dari IP yang diberi wewenang untuk menggunakan kunci tersebut. Gambaran umum yang lebih baik dapat ditemukan di halaman gambaran umum konseptual ini, tetapi apa yang saya tulis di atas adalah intinya.

1. Konfigurasi WireGuard

Cara kerja Wireguard adalah Anda membuat kunci publik dan kunci privat. Setiap perangkat klien mendapatkan kunci privatnya sendiri, dan Anda membagikan kunci publik tersebut dengan klien. Wireguard memiliki alat untuk melakukan itu. Di sisi firewall OpenBSD:

# mkdir /etc/wireguard
# chmod 700 /etc/wireguard
# wg genkey > /etc/wireguard/private.key
# chmod 600 /etc/wireguard/private.key
# wg pubkey < private.key > public.key

Selanjutnya, Anda perlu membuat kunci privat dan publik pada setiap klien Anda. Kemudian, atur /etc/wireguard/wg0.conf untuk memuat kunci privat firewall dan juga kunci publik klien. Saya memutuskan untuk melakukan ini pada jaringan yang sama sekali berbeda . Saya menetapkan alamat IP individual untuk setiap perangkat. Ini sedikit lebih merepotkan dalam hal manajemen, tetapi memudahkan untuk menghapus sesuatu jika saya kehilangan perangkat. /etc/wireguard/wg0.conf terlihat seperti ini:

[Interface]
PrivateKey = the private key from /etc/wireguard/private.key
ListenPort = 51820
[Peer]
# My first peer - a laptop
PublicKey = the public key from the laptop
AllowedIPs = 172.16.0.2
[Peer]
# My second peer - an Android device running Wireguard from F-Droid
PublicKey = the public key from the device
AllowedIPs = 172.16.0.3

Tentu saja, pada setiap perangkat klien, Anda harus melakukan hal yang sebaliknya. Pertama, tentukan kunci pribadi yang dibuat pada perangkat, dan masukkan kunci publik firewall sebagai rekan. Selanjutnya, Anda memerlukan /etc/hostname.wg0 untuk mengaktifkan jaringan WireGuard.

inet 172.16.0.1 255.255.255.0 NONE
up
!/usr/local/bin/wg setconf wg0 /etc/wireguard/wg0.conf

Sebelum melangkah lebih jauh, kita perlu membuka blokir antarmuka Wireguard di /etc/pf.conf.

Create zone master

(after the lan_if macro)
vpn_if="wg0"
vpn_port="51820"
(at the end after the NAT rules)
#---------------------------------#
# WireGuard
#---------------------------------#
pass in on $vpn_if
pass in inet proto udp from any to any port $vpn_port
pass out on egress inet from ($vpn_if:network) nat-to ($ext_if:0)
From there, you can restart pf and reload the new rules and sh /etc/netstart wg0.

WireGuard adalah proyek oleh Jason Donenfeld (tautan Twitter). Proyek ini dirancang dengan tujuan kemudahan penggunaan, kesederhanaan, dan kriptografi modern. Sebagai penyeimbang OpenVPN dan IPsec. Spesifikasi ini dimaksudkan agar mudah diimplementasikan dalam beberapa baris kode, memungkinkan auditabilitas untuk kerentanan keamanan dan klaim memiliki "permukaan serangan minimal". Berlawanan dengan solusi umum, proyek ini hanya meneruskan lalu lintas melalui UDP.

WireGuard mudah digunakan tetapi menjadikannya antarmuka jaringan default menambah beberapa kerumitan. Ini biasanya lebih sederhana untuk protokol seperti OpenVPN karena daemon OpenVPN dapat secara otomatis melakukan keajaiban untuk menulis ulang rute (dan tidak melakukannya dengan baik) dan tidak akan mencegah akses non-VPN hingga VPN terhubung.