AmneziaWG

Когда команда работает удаленно, встает вопрос: как дать людям доступ к внутренним админкам, базам и стендам, не выставляя их в открытый интернет. Классический ответ - свой VPN: устройство подключается к серверу зашифрованным туннелем и попадает во внутреннюю сеть, как будто сидит в офисе.

AmneziaWG - это WireGuard, у которого убрали узнаваемые признаки трафика. Криптография и скорость остаются теми же, меняется только то, как туннель выглядит для сетевого оборудования. Благодаря этому соединение держится в сетях, где стандартный WireGuard замедляется или обрывается.

wg-easy - веб-панель, через которую этим пользуются. Клиента (ноутбук сотрудника, телефон, роутер филиала) вы заводите в браузере, получаете готовый файл-конфиг или QR-код и отдаете человеку. Выключить доступ - один тумблер, править файлы на сервере не нужно.

С версии 15.2 панель умеет AmneziaWG сама - раньше ради этого приходилось брать сторонние сборки. Мы ставим официальный образ апстрима, лицензия AGPL-3.0.

Если вы ставили AmneziaWG по нашей августовской статье - это не обновление контейнера, а другая основа. Тогда мы разбирали стороннюю сборку, автор которой закрыл репозиторий, а образ не пересобирался с августа 2024 года. Теперь берем официальный wg-easy, где поддержка AmneziaWG встроена.

Перенос настроек. Старые конфиги клиентов переезжают не копированием файлов: в прежней панели нажмите «Backup», скачайте файл с клиентами и загрузите его в мастере первого запуска нового контейнера. Переменные окружения не переносятся - почти все настройки переехали в админ-панель.

У обычного WireGuard форма пакетов постоянная: фиксированные заголовки и предсказуемые размеры сообщений рукопожатия. Сетевое оборудование опознает такой поток и может его резать. AmneziaWG эту форму меняет.

Панель генерирует параметры сама при первом старте, и выглядят они так: Jc - сколько мусорных пакетов отправить перед рукопожатием, Jmin и Jmax - их размер, S1 и S2 - насколько удлинить служебные пакеты, H1-H4 - свои идентификаторы вместо стандартных. Крипто-ядро при этом не трогается вовсе.

Чего в этой версии еще нет. Поля S3, S4 и I1-I5 в панели есть, но сами не заполняются - мы проверили, что задать их вручную можно и они доезжают до клиента. Параметры версии 3.1 (шифрование заголовков, случайные хвосты) в релизе 15.4.0 отсутствуют; апстрим обещает их в следующей мажорной версии.

Апстрим требований к железу не публикует. Мы запустили продукт на тарифе CPU2-RAM4-DISK50 и замерили сами - запас оказался многократным.

Память и диск тут не узкое место совсем. Считать по-настоящему будет процессор - шифрованием и обфускацией, - но и он в наших замерах уперся не раньше, чем канал сервера.

Ставили руками на чистой машине, чтобы замерить каждый шаг. Весь путь от пустого сервера до рабочего входа по защищенному соединению занял около четырех минут.

1. Поставить Docker

   Официальный репозиторий, стандартная установка - 54 секунды.

2. Поставить движок обфускации

   Модуль ядра из репозитория Amnezia. Сборка под текущее ядро заняла 107 секунд, заголовки в образе Ubuntu уже были.

   sudo add-apt-repository -y ppa:amnezia/ppa
   sudo apt-get install -y amneziawg
   sudo modprobe amneziawg

3. Запустить панель и прокси

   Два образа скачались за 23 секунды, стек поднялся за 20. Панель наружу не публикуем вовсе - она доступна только через Caddy, который и выпускает сертификат (у нас это заняло 9 секунд).

4. Проверить, что обфускация включилась

   Это главная проверка, и продукт отвечает на нее сам.

   sudo docker exec wg-easy sh -c 'wget -qO- http://127.0.0.1/api/information'
   # в ответе должно быть "isAwg":true

Цифры сняты на нашем стенде, тариф CPU2-RAM4-DISK50, два ядра.

Как читать цифру скорости. Оба конца туннеля в нашем замере считали шифрование на одном процессоре, так что это сравнение двух движков между собой, а не обещание скорости вашему сотруднику. Практический вывод от этого не меняется: оба варианта выдают больше, чем пропускает канал сервера, то есть упретесь вы в сеть, а не в обфускацию.

Один клиент стоит около 170 байт в конфигурации и полсекунды на создание. Данные тут не растут со временем - это шлюз, а не файловое хранилище, так что место планировать не нужно.

Клиент - это одно устройство. Заводите по отдельному на ноутбук, телефон и роутер: так доступ можно выключить точечно, не трогая остальных.

На создание уходит одно окно: имя и, если нужно, дата, после которой доступ перестанет работать. Дальше человеку отдают либо файл, либо QR-код - телефон наводят камеру и получают готовое подключение.

У каждого клиента есть своя карточка: срок действия, свои DNS, свои разрешенные адреса и даже свои параметры обфускации. Это удобно, когда у одного сотрудника сеть ведет себя не так, как у остальных.

Есть и одноразовая ссылка: человек открывает ее один раз, забирает конфигурацию, дальше ссылка не работает. Удобнее, чем пересылать файл с ключом в мессенджере.

Обычный WireGuard-клиент не подключится. Конфигурация содержит параметры обфускации, которые он не понимает - нужно приложение, понимающее AmneziaWG. Для телефонов и компьютеров такие есть, для роутеров - пакеты под OpenWrt.

Адрес IPv6 в панели виден, даже когда IPv6 выключен. Это известное поведение апстрима, а не ошибка: адрес показывается, но не используется.

Панель наружу не торчит: снаружи открыты только порт туннеля и защищенный веб-порт, а сам интерфейс живет за обратным прокси с сертификатом. Вход - по имени пользователя и паролю, при желании включается второй фактор; есть и вход через внешнего провайдера.

Резервная копия - это один том: в нем база с клиентами и файл конфигурации сервера, вместе около 100 КБ. Скопировали том - перенесли весь VPN вместе с ключами.

Обновление - смена версии образа и перезапуск. Мы закрепляем конкретную версию, а не «последнюю»: так вы получаете то, что мы проверили, а не то, что вышло вчера. Перезагрузку машины продукт переживает сам - проверили живым перезапуском.

Если сеть у всех стабильная. Обфускация стоит лишних настроек и требует особого клиента. Нет проблемы - берите wg-easy без нее, это тот же продукт без флага.

Если вам нужны правила на уровне приложений. Здесь вы даете устройству доступ в сеть, а не отдельному человеку - к отдельному сервису. Проверки состояния устройства и ролевых политик тут нет.

Если команда меньше пяти человек. У коммерческих аналогов есть бесплатные тарифы на такой размер, и они обойдутся дешевле отдельного сервера. Экономика разворачивается в вашу сторону примерно с десяти подключений - и дальше наша цена не растет вовсе, сколько бы людей вы ни добавили.

Если нужна маскировка под обычный веб-трафик. AmneziaWG работает поверх UDP. Там, где UDP вырезан целиком, помогут решения другого класса, а не этот.