สร้าง WireGuard VPN Server บน Raspberry Pi

WireGuard server บน Raspberry Pi เป็นหนึ่งในโครงการเครือข่ายเล็ก ๆ ที่ให้ความพึงพอใจมากที่สุด ด้วยราคาบอร์ดพอประมาณ อะแดปเตอร์ไฟ และเวลาหนึ่งเย็น คุณจะได้ประตูส่วนตัวเข้าบ้าน เข้าถึงไฟล์ในเครือข่ายของตัวเองจากร้านกาแฟ ปกป้องโทรศัพท์บน Wi-Fi โรงแรมด้วยการส่งทราฟฟิกกลับบ้านก่อน หรือจัดการอุปกรณ์ที่ไม่มีที่อยู่สาธารณะ โปรโตคอลนี้เบาพอจนบอร์ดรุ่นเก่าก็รับแบนด์วิดท์บ้านปกติได้ดี

คู่มือนี้สร้างเซิร์ฟเวอร์ตั้งแต่ศูนย์ สมมติว่าคุณมี Pi ที่รัน Raspberry Pi OS Lite รุ่นปัจจุบัน ต่อสายแลนเข้าเราเตอร์ และพอคุ้นเทอร์มินัล ที่อยู่ คีย์ และชื่อโฮสต์ทั้งหมดด้านล่างเป็นค่าตัวอย่าง หากยังตัดสินใจระหว่างรันเองกับจ่ายเงินให้บริการ อ่าน VPN ที่โฮสต์เองเทียบกับ VPN เชิงพาณิชย์ ก่อน เพราะสองทางแก้คนละปัญหา

สิ่งที่คุณกำลังสร้าง และสิ่งที่ไม่ได้

ระบุเป้าหมายให้ชัด เพราะมันกำหนดทุกการเลือก

สิ่งที่ได้	สิ่งที่ไม่ได้
เส้นทางเข้ารหัสจากโทรศัพท์หรือโน้ตบุ๊กเข้าเครือข่ายบ้าน	วิธีที่ทำให้ดูเหมือนอยู่ในอีกประเทศหนึ่ง
เข้าถึงอุปกรณ์ในบ้านด้วยที่อยู่ภายใน	ความเป็นนิรนามจากผู้ให้บริการอินเทอร์เน็ตที่บ้าน
การปกป้องบน Wi-Fi ที่ใช้ร่วมกัน เพราะเครือข่ายเห็นแค่อุโมงค์	การป้องกันฟิชชิง รหัสผ่านอ่อน หรือมัลแวร์
ควบคุมคีย์และซอฟต์แวร์ได้เต็มที่	บริการที่คนอื่นดูแลให้

ทางออกมีจุดเดียวคือการเชื่อมต่อที่บ้าน เว็บไซต์ที่คุณเข้าผ่านอุโมงค์จะเห็นที่อยู่ของบ้าน และความเร็วถูกจำกัดด้วยความเร็วอัปโหลดที่บ้าน เพราะทราฟฟิกจากข้างนอกต้องกลับผ่านมัน สำหรับหลายคนนี่ถูกต้องพอดี สำหรับบางคนเป็นเหตุผลที่จะเลือกบริการเชิงพาณิชย์ในการเดินทาง whitepaper ของ WireGuard อธิบายดีไซน์หากอยากเข้าใจว่าทำไมโปรโตคอลจึงกระชับ

ตรวจว่าบ้านของคุณถูกเข้าถึงได้

ความล้มเหลวที่พบบ่อยที่สุดของเซิร์ฟเวอร์ที่บ้านเกิดก่อนติดตั้งซอฟต์แวร์ใด ๆ คือโลกภายนอกเข้าถึงเราเตอร์ไม่ได้ ตรวจเรื่องนี้ก่อน

1. หาที่อยู่ WAN ของเราเตอร์จากหน้าสถานะ
2. เปิดหน้าเว็บใดก็ได้ที่แสดง public IP ของคุณแล้วเทียบ ถ้าตรงกัน คุณมีที่อยู่สาธารณะ ถ้าเราเตอร์แสดงเป็น 100.64.x.x ถึง 100.127.x.x หรือช่วงส่วนตัว แปลว่าผู้ให้บริการแบ่งที่อยู่สาธารณะหนึ่งตัวให้ลูกค้าหลายราย เรียกว่า carrier-grade NAT ช่วงที่สงวนไว้อธิบายอยู่ใน RFC 6598 กรณีนี้ port forward จะไปไม่ถึงคุณ
3. ถ้าที่อยู่เป็นสาธารณะแต่เปลี่ยนทุกไม่กี่วัน ให้ใช้ชื่อ dynamic DNS เราเตอร์หลายรุ่นมีในตัว และมีโปรแกรมเล็ก ๆ สำหรับ Pi คุณจะใส่ชื่อ ไม่ใช่ตัวเลข ใน config ของไคลเอนต์
4. ตรวจว่าเราเตอร์ของคุณอยู่หลังเราเตอร์ตัวอื่นหรือไม่ เช่นกล่องของผู้ให้บริการบวกเราเตอร์ของคุณเอง นั่นคือ double NAT ต้อง forward พอร์ตทั้งสองตัว หรือตั้งตัวแรกเป็นโหมด bridge
5. หากคำศัพท์เหล่านี้ใหม่ อ่าน Public IP address คืออะไร

ผู้ให้บริการหลายรายให้ที่อยู่สาธารณะเมื่อขอ บางครั้งมีค่าธรรมเนียม ถ้าทำไม่ได้ เซิร์ฟเวอร์ที่โฮสต์เองเป็นเครื่องมือที่ผิด และบริการที่มีคนโฮสต์ให้เหมาะกว่า

ติดตั้งและสร้างคีย์

อัปเดตและติดตั้งเครื่องมือ

sudo apt update && sudo apt full-upgrade -y
sudo apt install -y wireguard qrencode

สร้างไดเรกทอรีสำหรับคีย์ด้วยสิทธิ์เข้มงวด และสร้างคู่คีย์ของเซิร์ฟเวอร์

sudo -i
umask 077
cd /etc/wireguard
wg genkey | tee server.key | wg pubkey > server.pub

คีย์ส่วนตัวอยู่บน Pi เท่านั้น ส่วนคีย์สาธารณะใส่ในไคลเอนต์แต่ละตัว อย่าวางคีย์ส่วนตัวในแชต ทิกเก็ต หรือภาพหน้าจอ เลือกช่วงอุโมงค์ส่วนตัวที่ไม่ทับกับเครือข่ายบ้าน ถ้าบ้านใช้ 192.168.1.0/24 ให้เลือกอย่าง 10.44.0.0/24 จากบล็อกส่วนตัวใน RFC 1918 เซิร์ฟเวอร์จะเป็น 10.44.0.1 และไคลเอนต์ได้ .2, .3 ต่อไป

เขียน config ของเซิร์ฟเวอร์

สร้าง /etc/wireguard/wg0.conf

[Interface]
Address = 10.44.0.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY
PostUp = nft add table ip wgnat; nft add chain ip wgnat post '{ type nat hook postrouting priority 100 ; }'; nft add rule ip wgnat post ip saddr 10.44.0.0/24 oifname "eth0" masquerade
PostDown = nft delete table ip wgnat

แทน SERVER_PRIVATE_KEY ด้วยเนื้อหาของ server.key สองบรรทัด hook เพิ่มการแปลที่อยู่เฉพาะขณะอุโมงค์ทำงาน ทำให้ไคลเอนต์ออกอินเทอร์เน็ตและเข้า LAN ผ่าน Pi ได้ โดย Pi จะดูเหมือนคอมพิวเตอร์ธรรมดาเครื่องหนึ่งในเครือข่ายของคุณ ถ้าต้องการให้ไคลเอนต์เข้าถึงเฉพาะตัว Pi เอง ให้ตัดสองบรรทัดนี้ออก

เปิด forwarding ถาวร

echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/90-forward.conf
sysctl --system

จากนั้นรันเป็นบริการ ตามแนวทางในคู่มือจัดการ WireGuard ด้วย systemd

systemctl enable --now wg-quick@wg0
wg show

ตอนนี้ wg show จะแสดงอินเทอร์เฟซและยังไม่มี peer ซึ่งเป็นเรื่องปกติ

ตั้ง forward พอร์ตและเปิดไฟร์วอลล์

ที่เราเตอร์ สร้างกฎ port forward ส่ง UDP 51820 ไปที่ที่อยู่คงที่ของ Pi ใช้ UDP ไม่ใช่ TCP เพราะ WireGuard ไม่ใช้ TCP ความเสี่ยงและนิสัยที่เกี่ยวข้องอธิบายอยู่ใน Port Forwarding ของ VPN อธิบาย ซึ่งควรอ่านผ่าน ๆ ตั้งการจอง DHCP ให้ Pi เพื่อไม่ให้ที่อยู่เปลี่ยน

บน Pi ถ้าคุณรันไฟร์วอลล์ ให้อนุญาตเท่าที่จำเป็น คือ SSH จากเครือข่ายภายใน และ UDP 51820 จากทุกที่ ที่เหลือปิดหมด WireGuard เงียบโดยตั้งใจ มันไม่ตอบแพ็กเก็ตจากผู้ส่งที่ไม่มีคีย์ที่ถูกต้อง การสแกนพอร์ตจึงไม่เผยว่ามีเซิร์ฟเวอร์ทำงานอยู่เหมือนที่บริการ VPN แบบอื่นจำนวนมากเผย

เพิ่ม peer โน้ตบุ๊กและโทรศัพท์

แต่ละอุปกรณ์มีคู่คีย์และที่อยู่อุโมงค์ของตัวเอง บน Pi สร้างคีย์สำหรับโทรศัพท์

cd /etc/wireguard
wg genkey | tee phone.key | wg pubkey > phone.pub

ลงทะเบียน peer บนเซิร์ฟเวอร์โดยต่อท้าย wg0.conf ด้วย

[Peer]
PublicKey = PHONE_PUBLIC_KEY
AllowedIPs = 10.44.0.2/32

ใช้โดยไม่ตัดการเชื่อมต่อเดิม

wg syncconf wg0 <(wg-quick strip wg0)

จากนั้นเขียนไฟล์ไคลเอนต์ phone.conf

[Interface]
PrivateKey = PHONE_PRIVATE_KEY
Address = 10.44.0.2/32
DNS = 10.44.0.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = myhome.example.net:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

บรรทัด AllowedIPs คือการตัดสินใจสำคัญ ถ้าใช้ 0.0.0.0/0 ทราฟฟิกทั้งหมดของโทรศัพท์จะกลับบ้าน เหมาะกับ Wi-Fi สาธารณะ ถ้าใช้ 10.44.0.0/24, 192.168.1.0/24 เฉพาะที่อยู่อุโมงค์และที่อยู่ในบ้านเท่านั้นที่ผ่าน ที่เหลือใช้เน็ตของโทรศัพท์เอง บรรทัด DNS ต้องมี resolver ที่เข้าถึงได้ที่ที่อยู่นั้น เช่น resolver เล็ก ๆ บน Pi ไม่เช่นนั้นให้ชี้ไปที่ที่อยู่ของเราเตอร์ แสดง config เป็น QR code และสแกนในแอป WireGuard ทางการ

qrencode -t ansiutf8 < phone.conf

เมื่อเสร็จ ลบ phone.conf และคีย์ส่วนตัวออกจาก Pi หากไม่ต้องการสำรอง โน้ตบุ๊กทำแบบเดียวกัน แต่นำเข้าไฟล์แทนการสแกน

ทดสอบและแก้ปัญหา

เปิดอุโมงค์จากโทรศัพท์ขณะใช้เน็ตมือถือ ไม่ใช่ Wi-Fi ที่บ้าน เพราะเฉพาะกรณีนั้นที่การทดสอบข้ามอินเทอร์เน็ตจริง แล้วตรวจ

อาการ	สาเหตุที่น่าจะเป็น	สิ่งที่ต้องทำ
ไม่มี handshake ใน wg show	พอร์ตไปไม่ถึง Pi, endpoint ผิด หรือ CGNAT	ตรวจกฎ forward ชื่อ และที่อยู่สาธารณะอีกครั้ง
มี handshake แต่ไม่มีเน็ตผ่านอุโมงค์	forwarding หรือ NAT หายไป	ยืนยัน ip_forward เป็น 1 และตาราง nft มีอยู่
มี handshake แต่เข้าอุปกรณ์ในบ้านไม่ได้	AllowedIPs ไม่มีช่วงของบ้าน หรืออุปกรณ์บล็อกช่วงอุโมงค์	เพิ่มช่วง ตรวจไฟร์วอลล์ของอุปกรณ์
บางเว็บค้าง บางเว็บโหลด	MTU สูงเกินสำหรับสายของคุณ	เพิ่ม MTU = 1380 ที่ไคลเอนต์แล้วทดสอบ
ใช้ได้หลายวันแล้วล้ม	ที่อยู่แบบไดนามิกเปลี่ยน	ตรวจการอัปเดต dynamic DNS
ใช้ได้บนเน็ตมือถือ แต่ล้มที่ร้านกาแฟหนึ่งร้าน	เครือข่ายนั้นจำกัด UDP	ลองเน็ตมือถือหรือเครือข่ายอื่น

ใช้ wg show บน Pi เพื่อดู handshake ล่าสุดและตัวนับข้อมูลต่อ peer ทำให้เห็นทันทีว่าอุปกรณ์ไหนทำงาน บทความ ทดสอบความเร็ว WireGuard อธิบายวิธีวัดอัตราส่งข้อมูลโดยไม่หลอกตัวเอง

เสริมความปลอดภัยและดูแลรักษา

เซิร์ฟเวอร์บนอินเทอร์เน็ตเป็นความรับผิดชอบ แม้จะเล็กก็ตาม

• อัปเดต Pi สม่ำเสมอ อัปเดตทุกเดือน และเปิดอัปเดตความปลอดภัยอัตโนมัติถ้าชอบ
• ใช้คีย์ SSH และปิดการล็อกอินด้วยรหัสผ่าน อย่า forward SSH ออกอินเทอร์เน็ตถ้าไม่จำเป็นจริง ๆ
• ให้แต่ละอุปกรณ์มี peer ของตัวเอง ลบรายการของอุปกรณ์ที่ขายหรือทำหาย แล้วใช้การเปลี่ยนแปลง
• สำรองคีย์ส่วนตัวของเซิร์ฟเวอร์และ config ไว้ที่ออฟไลน์และเข้ารหัส หากไม่มี คุณต้องออกใหม่ให้ไคลเอนต์ทุกตัว
• หมุนคีย์ถ้าสงสัยว่ารั่ว สร้างคู่ใหม่ อัปเดตทั้งสองฝั่ง และลบคู่เก่า
• ดูแลไฟเลี้ยงและที่เก็บข้อมูล การ์ดที่กำลังเสียจะพาเซิร์ฟเวอร์และการเข้าถึงระยะไกลของคุณไปด้วย
• จำไว้ว่าคุณคือผู้ดูแล หากคนอื่นใช้เซิร์ฟเวอร์ของคุณ คุณรับผิดชอบสิ่งที่พวกเขาทำผ่านเน็ตบ้านของคุณ รายชื่อ peer จึงควรสั้นและไว้ใจได้

ข้อผิดพลาดที่พบบ่อย

• ข้ามการตรวจการเข้าถึง แล้วไปไล่แก้ซอฟต์แวร์ทั้งชั่วโมง
• forward TCP แทน UDP
• ใช้คีย์ไคลเอนต์เดียวกับหลายอุปกรณ์ ทำให้แย่งเซสชันเดียวกัน
• เลือกช่วงอุโมงค์ที่ทับกับเครือข่ายบ้านหรือร้านกาแฟ
• วางคีย์ส่วนตัวในข้อความแชต
• คาดว่าเซิร์ฟเวอร์จะซ่อนกิจกรรมจากผู้ให้บริการอินเทอร์เน็ตของตัวเอง
• ลืมว่าความเร็วถูกจำกัดด้วยอัปโหลดของบ้าน

สรุป

การสร้าง WireGuard server บน Raspberry Pi มีห้าขั้น ยืนยันว่าบ้านเข้าถึงได้ สร้างคีย์ เขียน config เซิร์ฟเวอร์เล็ก ๆ ที่มี forwarding และการแปลที่อยู่ ตั้ง forward พอร์ต UDP หนึ่งพอร์ต และเพิ่มแต่ละอุปกรณ์เป็น peer ของตัวเอง ทดสอบจากเน็ตมือถือ อัปเดต Pi เสมอ และปฏิบัติต่อไฟล์คีย์เป็นความลับ ผลคือเส้นทางส่วนตัวกลับเข้าเครือข่ายของคุณที่คุณควบคุมเองทั้งหมด

หากไม่อยากดูแลปลายทางอีกฝั่งเอง หน้าราคา แสดงพาสแบบเติมเงินที่ใช้กับแอป VPNclient ฟรี ตามที่อธิบายใน คู่มือติดตั้งบน Linux