Jak zainstalować WireGuard VPN z interfejsem WWW na Ubuntu

Kiedy łączysz się z siecią WiFi w kawiarni lub korzystasz z internetu w dowolnej sieci publicznej, twoje dane przechodzą przez infrastrukturę, której nie kontrolujesz. Każda osoba znajdująca się między tobą a odwiedzanymi stronami internetowymi może potencjalnie przechwycić twój ruch, nawet w sieci domowej twój dostawca internetu może widzieć każdą odwiedzaną przez ciebie stronę.

VPN rozwiązuje ten problem, tworząc zaszyfrowany tunel między Twoim urządzeniem a zaufanym serwerem. Zamiast aby Twój ruch trafiał bezpośrednio do internetu, najpierw przechodzi przez ten bezpieczny tunel do serwera VPN, który następnie przekazuje go do miejsca docelowego, dzięki czemu osoby monitorujące sieć widzą tylko zaszyfrowane dane wysyłane do Twojego serwera VPN, nic więcej.

WireGuard to nowoczesny protokół VPN, który wykonuje to zadanie wyjątkowo dobrze. W przeciwieństwie do starszych technologii VPN, które wymagają setek tysięcy linii kodu, WireGuard osiąga ten sam efekt przy zaledwie około 4 000 liniach, co oznacza mniej błędów, lepszą wydajność i łatwiejsze audyty bezpieczeństwa.

Ale jest jedna rzecz: choć WireGuard sam w sobie jest prosty, zarządzanie wieloma klientami VPN, generowanie plików konfiguracyjnych i śledzenie, kto ma dostęp, może stać się nużące tylko przy użyciu wiersza poleceń, dlatego przydatne jest posiadanie interfejsu internetowego.

W tym przewodniku skonfigurujemy kompletny serwer VPN WireGuard z przyjaznym interfejsem webowym, który pozwala zarządzać wszystkim przez przeglądarkę, na przykład dodawać nowe urządzenia, generować kody QR dla klientów mobilnych oraz monitorować połączenia bez konieczności ręcznego edytowania żadnego pliku konfiguracyjnego.

Co będziesz potrzebować

Zanim zaczniemy, upewnij się, że masz:

• Serwer Linux z publicznym adresem IP (VPS od dostawców takich jak DigitalOcean, Linode, lub AWS działa doskonale).
• Dostęp root lub uprawnienia sudo na tym serwerze.
• Podstawowa znajomość SSH (powinieneś wiedzieć, jak połączyć się z serwerem).

Ten przewodnik zakłada, że używasz Ubuntu 22.04 lub Ubuntu 24.04, ale kroki działają podobnie na Debianie i innych dystrybucjach przy niewielkich modyfikacjach.

Zrozumienie architektury

Zatrzymajmy się na chwilę, aby zrozumieć, co budujemy, zanim zaczniemy wpisywać polecenia.

Konfiguracja WireGuard składa się z peerów – urządzeń, które mogą komunikować się ze sobą poprzez szyfrowane tunele.

W naszym przypadku będziemy mieć:

• Serwer: Twój komputer z systemem Linux z publicznym adresem IP, który działa jako centralny węzeł, do którego podłączają się wszystkie Twoje urządzenia.
• Klienci: Twój laptop, telefon, tablet lub inne urządzenie, które chcesz chronić, każde urządzenie otrzymuje własną parę kluczy kryptograficznych i konfigurację.
• Interfejs Webowy: Lekka aplikacja internetowa (użyjemy WireGuard-UI), która działa na twoim serwerze i zapewnia panel do zarządzania wszystkim.

Gdy klient chce się połączyć, nawiązuje bezpośredni zaszyfrowany tunel do serwera, a następnie serwer kieruje ruch internetowy klienta lub po prostu umożliwia dostęp do zasobów w lokalnej sieci serwera, w zależności od tego, jak to skonfigurujesz.

Krok 1: Instalacja WireGuard na serwerze Ubuntu

Najpierw upewnijmy się, że Twój system jest aktualny i ma zainstalowane niezbędne narzędzia, używając następującego polecenia, które zaktualizuje listy pakietów i uaktualni wszelkie przestarzałe oprogramowanie.

sudo apt update && sudo apt upgrade -y

Następnie zainstaluj WireGuard:

sudo apt install wireguard -y

Ponieważ WireGuard jest wbudowany w jądro Linuksa (dla jąder 5.6 i nowszych), to polecenie instaluje głównie narzędzia użytkownika potrzebne do konfigurowania i zarządzania interfejsami WireGuard.

Krok 2: Włączanie przekazywania IP w Ubuntu

Domyślnie Ubuntu nie przesyła pakietów między interfejsami sieciowymi, co jest funkcją bezpieczeństwa — Twój serwer nie będzie działał jako router, chyba że wyraźnie mu na to pozwolisz, ale w przypadku serwera VPN potrzebujemy tej funkcjonalności.

Kiedy Twój telefon łączy się z VPN i próbuje odwiedzić stronę internetową, serwer musi przekazać to żądanie z interfejsu WireGuard na swój publiczny interfejs sieciowy, a następnie odesłać odpowiedź z powrotem.

Aby na stałe włączyć przekazywanie IP, musimy edytować plik konfiguracyjny systemu:

sudo nano /etc/sysctl.conf

Szukaj tej linii (może być zakomentowana na początku za pomocą #):

#net.ipv4.ip_forward=1

Usuń #, aby odkomentować, lub dodaj linię, jeśli jej nie ma:

net.ipv4.ip_forward=1

Zapisz plik, a następnie zastosuj zmianę bez ponownego uruchamiania:

sudo sysctl -p

Krok 3: Konfiguracja zapory i routingu dla WireGuard

Twój serwer VPN musi akceptować przychodzące połączenia na porcie, którego używa WireGuard (domyślnie port UDP 51820). Musi również prawidłowo trasować ruch między interfejsem VPN a twoim publicznym interfejsem sieciowym.

Najpierw zidentyfikujmy twój publiczny interfejs sieciowy:

ip route | grep default

Zobaczysz wynik taki jak:

default via 192.168.1.1 dev eth0 proto dhcp src 192.168.1.100 metric 100

Nazwa interfejsu tutaj to `eth0`, ale może być inna w twoim systemie, może to być `ens3`, `enp0s3` lub coś podobnego.

Teraz skonfigurujmy zaporę ufw (domyślną zaporę Ubuntu):

# Allow SSH (if you haven't already)
sudo ufw allow 22/tcp

# Allow WireGuard
sudo ufw allow 51820/udp

# Allow the web interface (we'll use port 5000)
sudo ufw allow 5000/tcp

Następnie musimy dodać regułę NAT (Translacja adresów sieciowych), która powie Twojemu serwerowi, aby zamaskował ruch VPN tak, jakby pochodził sam z serwera, podczas przekazywania go do Internetu.

sudo nano /etc/ufw/before.rules

Dodaj te linie na górze pliku, zaraz po komentarzach nagłówkowych, ale przed linią *filter i zamień eth0 na nazwę swojego faktycznego interfejsu:

# NAT table rules for WireGuard
*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE
COMMIT

Oto, co to oznacza:

• *nat: Pracujemy z tabelą NAT.
• -s 10.0.0.0/24: Dla pakietów pochodzących z naszej sieci VPN (10.0.0.0/24 to podsieć, którą przydzielimy klientom VPN).
• -o eth0: Wychodzenie przez interfejs eth0.
• -j MASQUERADE: Przepisywanie adresu IP źródła na publiczny adres IP serwera.

Zapisz i wyjdź, a następnie włącz i przeładuj UFW:

sudo ufw enable
sudo ufw reload

Krok 4: Instalacja WireGuard-UI na serwerze Ubuntu

Teraz nadchodzi interesująca część, czyli konfiguracja interfejsu sieciowego za pomocą WireGuard-UI, który jest czystą i prostą aplikacją internetową napisaną w Go.

Najpierw utwórz katalog dla WireGuard-UI:

sudo mkdir -p /opt/wireguard-ui
cd /opt/wireguard-ui

Następnie pobierz najnowszą wersję WireGuard-UI ze strony wydań na GitHub, ale w momencie pisania tego tekstu polecenie wget pobiera niedawno stabilną wersję:

sudo wget https://github.com/ngoduykhanh/wireguard-ui/releases/download/v0.6.2/wireguard-ui-v0.6.2-linux-amd64.tar.gz

Po pobraniu, rozpakuj go i ustaw jako plik wykonywalny:

sudo tar -xzf wireguard-ui-v0.6.2-linux-amd64.tar.gz
sudo chmod +x wireguard-ui

Zanim uruchomimy interfejs, stwórzmy usługę systemd, aby uruchamiała się automatycznie podczas startu systemu.

sudo nano /etc/systemd/system/wireguard-ui.service

Wklej tę konfigurację:

[Unit]
Description=WireGuard UI
After=network.target

[Service]
Type=simple
WorkingDirectory=/opt/wireguard-ui
ExecStart=/opt/wireguard-ui/wireguard-ui
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

Zapisz i zamknij, a następnie włącz i uruchom usługę:

sudo systemctl daemon-reload
sudo systemctl enable wireguard-ui
sudo systemctl start wireguard-ui

Sprawdź, czy działa:

sudo systemctl status wireguard-ui

Krok 5: Dostęp do Wireguard-UI

Otwórz przeglądarkę internetową i przejdź pod następujący adres URL, upewniając się, że zastąpisz YOUR_SERVER_IP rzeczywistym publicznym adresem IP swojego serwera.

http://YOUR_SERVER_IP:5000

Zobaczysz stronę logowania, gdzie możesz użyć następujących domyślnych danych logowania:

Username: admin
Password: admin

Krok 6: Konfiguracja serwera WireGuard

Po zalogowaniu zostaniesz przeniesiony do panelu WireGuard-UI. Aby rozpocząć konfigurację serwera, kliknij w lewym pasku bocznym „WireGuard Server” i ustaw Nazwę Interfejsu na 10.0.0.1/24 (domyślny interfejs WireGuard), a Port Nasłuchu na 51820.

W polu Post Up Script wpisz:

iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

a w polu Post Down Script wpisz:

iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Upewnij się, że zastąpisz eth0 rzeczywistą nazwą swojego interfejsu sieciowego, jeśli jest inna, i ustaw Address na 10.0.0.1/24, co będzie wewnętrznym adresem IP serwera VPN.

Kiedy klikniesz Zastosuj konfigurację, WireGuard utworzy interfejs wg0, będzie nasłuchiwać połączeń VPN na porcie 51820, przypisze serwerowi jego adres IP VPN i skonfiguruje reguły zapory, aby prawidłowo przekazywać ruch VPN.

Interfejs użytkownika automatycznie wygeneruje również prywatne i publiczne klucze Twojego serwera. Po zastosowaniu ustawień interfejs powinien pokazywać Aktywny, co oznacza, że Twój serwer WireGuard działa i jest uruchomiony.

Krok 7: Dodaj pierwszego klienta WireGuard

Teraz dodajmy urządzenie do Twojego VPN, którym może być laptop, telefon lub inne urządzenie klienckie. Z lewego paska bocznego kliknij „Klienci”, a następnie kliknij „Dodaj nowego klienta”.

Nadaj klientowi opisową nazwę, taką jak „Mój laptop” lub „iPhone”, a opcjonalnie wpisz adres e-mail, aby łatwiej było później zidentyfikować urządzenie. Kliknij „Auto”, aby automatycznie przypisać kolejny dostępny adres IP (prawdopodobnie 10.0.0.2).

Dla Dozwolonych adresów IP wpisz 0.0.0.0/0, ::/0, co zapewnia, że cały ruch klienta jest kierowany przez VPN; jeśli chcesz mieć dostęp tylko do wewnętrznej sieci serwera, możesz zamiast tego określić tę podsieć (na przykład 10.0.0.0/24).

Gdy wszystko jest ustawione, kliknij „Wyślij”, a interfejs internetowy automatycznie wygeneruje kompletną konfigurację WireGuard dla tego klienta, w tym jego własną parę kluczy kryptograficznych.

Krok 8: Podłączanie urządzenia klienckiego

Teraz musisz wgrać konfigurację na swoje urządzenie, a WireGuard-UI ułatwia to dzięki kodom QR dla urządzeń mobilnych oraz plikom konfiguracyjnym do pobrania na komputery.

Dla urządzeń mobilnych (telefon/tablet):

• Zainstaluj aplikację WireGuard z sklepu z aplikacjami (jest dostępna zarówno na iOS, jak i Androida).
• W interfejsie internetowym WireGuard-UI znajdź właśnie utworzonego klienta i kliknij ikonę kodu QR.
• Otwórz aplikację WireGuard na swoim telefonie, stuknij przycisk "+" i wybierz „Utwórz z kodu QR”.
• Zeskanuj kod QR wyświetlany w przeglądarce.
• Nadaj swojej konfiguracji nazwę i stuknij „Utwórz tunel”.

To wszystko! Przełącz przełącznik, aby się połączyć, a Twoje urządzenie mobilne będzie teraz kierować cały swój ruch przez serwer VPN.

Dla komputera stacjonarnego/laptopa:

• Zainstaluj WireGuard ze strony wireguard.com/install.
• W interfejsie WireGuard-UI kliknij ikonę pobierania obok swojego klienta, aby pobrać plik .conf.
• Otwórz aplikację WireGuard na swoim komputerze, kliknij „Importuj tunel(e) z pliku” i wybierz pobrany plik konfiguracyjny.
• Kliknij „Aktywuj”, aby połączyć.

Krok 9: Testowanie Twojego VPN

Upewnijmy się, że wszystko działa prawidłowo. Najpierw, gdy Twój VPN jest odłączony, odwiedź stronę whatismyipaddress.com i zapisz wyświetlony adres IP.

Następnie połącz się ze swoim VPN WireGuard i odśwież stronę, twoje IP powinno teraz pokazywać publiczny adres IP serwera zamiast oryginalnego, co potwierdza, że ruch jest kierowany przez VPN.

Aby dodatkowo sprawdzić, czy DNS działa poprawnie, możesz uruchomić następujące polecenie na swoim podłączonym urządzeniu:

ping google.com

Jeśli widzisz odpowiedzi, Twój VPN poprawnie kieruje ruch.

Aby zobaczyć aktywne połączenia na swoim serwerze, zaloguj się przez SSH i uruchom:

sudo wg show

Zobaczysz wynik taki jak:

interface: wg0
  public key: [your server's public key]
  private key: (hidden)
  listening port: 51820

peer: [client's public key]
  endpoint: [client's IP]:random_port
  allowed ips: 10.0.0.2/32
  latest handshake: 45 seconds ago
  transfer: 2.50 MiB received, 15.23 MiB sent

To pokazuje, że Twój klient jest połączony, kiedy ostatnio komunikował się z serwerem i ile danych zostało przesłanych.

Krok 10: Użyj HTTPS dla WireGuard-UI

W tej chwili, gdy uzyskujesz dostęp do interfejsu internetowego WireGuard pod adresem http://YOUR_SERVER_IP:5000, twoje dane logowania i wszystkie dane konfiguracyjne podróżują przez Internet w postaci niezaszyfrowanej, a każda osoba przechwytująca ruch między twoją przeglądarką a serwerem może zobaczyć twoje hasło administratora i potencjalnie przejąć sesję.

Rozwiązaniem jest umieszczenie interfejsu sieciowego za serwerem proxy wstecznym z włączonym HTTPS. Serwer proxy wsteczny znajduje się przed Twoją aplikacją, obsługuje wszystkie zaszyfrowane połączenia HTTPS od klientów, a następnie przekazuje żądania do Twojej aplikacji przez sieć lokalną, gdzie przechwytywanie nie stanowi problemu.

Użyjemy Nginx (wysokowydajnego serwera WWW) jako naszego reverse proxy oraz Let’s Encrypt, aby uzyskać darmowy certyfikat SSL, dzięki czemu będziesz mógł uzyskać dostęp do interfejsu WireGuard pod adresem https://vpn.yourdomain.com zamiast przez adres IP za pomocą HTTP.

Zainstaluj serwer internetowy Nginx

Najpierw musisz utworzyć rekord DNS dla swojej domeny (https://vpn.yourdomain.com), który wskazuje na adres IP Twojego serwera, a następnie zainstalować serwer sieciowy Nginx.

sudo apt update
sudo apt install nginx -y

Po instalacji możesz odwiedzić http://vpn.yourdomain.com w przeglądarce i zobaczysz domyślną stronę powitalną Nginx, co oznacza, że Nginx działa i jest dostępny z internetu.

Zainstaluj Certbot dla Let’s Encrypt

Następnie zainstaluj Let’s Encrypt, który jest darmowym urzędem certyfikacji, oferującym certyfikaty SSL, a certbot to narzędzie, które automatyzuje proces uzyskiwania i odnawiania tych certyfikatów.

sudo apt install certbot python3-certbot-nginx -y

Pakiet python3-certbot-nginx zawiera wtyczkę, która może automatycznie skonfigurować Nginx dla ciebie, upraszczając cały proces.

Skonfiguruj Nginx jako serwer proxy

Teraz utwórzmy konfigurację Nginx, która przekierowuje żądania z https://vpn.yourdomain.com do Twojej aplikacji WireGuard-UI działającej na localhost:5000.

Utwórz nowy plik konfiguracyjny.

sudo nano /etc/nginx/sites-available/wireguard-ui

Wklej tę konfigurację (zastąp vpn.yourdomain.com swoją rzeczywistą domeną):

server {
    listen 80;
    listen [::]:80;
    server_name vpn.yourdomain.com;

    # This will be used by Certbot for the SSL certificate challenge
    location /.well-known/acme-challenge/ {
        root /var/www/html;
    }

    # Redirect all other HTTP traffic to HTTPS
    location / {
        return 301 https://$host$request_uri;
    }
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name vpn.yourdomain.com;

    # SSL certificate paths (Certbot will fill these in)
    ssl_certificate /etc/letsencrypt/live/vpn.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/vpn.yourdomain.com/privkey.pem;

    # Modern SSL configuration
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    # Security headers
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;

    # Proxy settings
    location / {
        proxy_pass http://127.0.0.1:5000;
        proxy_http_version 1.1;
        
        # WebSocket support (if WireGuard-UI uses it)
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        
        # Forward real client information
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # Timeouts
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
}

Teraz włącz tę konfigurację, tworząc dowiązanie symboliczne:

sudo ln -s /etc/nginx/sites-available/wireguard-ui /etc/nginx/sites-enabled/

Przetestuj swoją konfigurację Nginx pod kątem błędów składni.

sudo nginx -t

Powinieneś zobaczyć:

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

Jeśli zobaczysz jakiekolwiek błędy, wróć i sprawdź swój plik konfiguracyjny pod kątem literówek.

Uzyskaj certyfikat SSL

Gdy wszystko zostanie poprawnie skonfigurowane, nadszedł czas, aby uruchomić polecenie certbot, które automatycznie pobierze certyfikat SSL od Let’s Encrypt i skonfiguruje Nginx do jego używania.

sudo certbot --nginx -d vpn.yourdomain.com

Cały proces trwa około 30 sekund, a po jego zakończeniu zobaczysz komunikat o powodzeniu:

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/vpn.yourdomain.com/fullchain.pem
Key is saved at: /etc/letsencrypt/live/vpn.yourdomain.com/privkey.pem

Teraz przeładuj Nginx, aby zastosować wszystkie zmiany:

sudo systemctl reload nginx

Automatyczne odnawianie certyfikatu

Certyfikaty Let’s Encrypt są ważne tylko przez 90 dni, co jest celowe, aby zachęcać do regularnego odnawiania i ograniczać potencjalne szkody w przypadku, gdy prywatny klucz zostanie kiedykolwiek ujawniony.

Na szczęście Certbot automatycznie ustawia timer odnowienia podczas instalacji, a aktywność usługi odnowienia można potwierdzić, uruchamiając:

sudo systemctl status certbot.timer

i powinieneś zobaczyć go jako aktywny (działający), ten harmonogram sprawdza dwa razy dziennie i automatycznie odnowi każdy certyfikat, który wygaśnie w ciągu 30 dni.

Aby sprawdzić, czy wszystko działa bez rzeczywistego odnawiania, uruchom:
sudo certbot renew –dry-run

Jeśli test zakończy się pomyślnie, automatyczne odnawianie certyfikatów jest w pełni skonfigurowane i nie będziesz musiał martwić się o wygasanie swoich certyfikatów.

Zaktualizuj zaporę ogniową

Ponieważ teraz uzyskujemy dostęp do WireGuard-UI przez Nginx na standardowym porcie HTTPS (443), musimy to umożliwić w naszej zaporze sieciowej i opcjonalnie możemy zamknąć bezpośredni dostęp do portu 5000.

sudo ufw allow 443/tcp

Opcjonalnie, jeśli chcesz uniemożliwić bezpośredni dostęp do WireGuard-UI na porcie 5000 (wymuszając korzystanie przez wszystkich z interfejsu HTTPS), możesz usunąć tę regułę:

sudo ufw delete allow 5000/tcp

Przeładuj zaporę sieciową:

sudo ufw reload

Krok 11: Skonfiguruj WireGuard-UI, aby nasłuchiwał tylko na localhost

Ponieważ Nginx zajmuje się teraz wszystkimi połączeniami zewnętrznymi, powinniśmy skonfigurować WireGuard-UI, aby akceptował połączenia tylko z lokalnej maszyny, co uniemożliwia każdemu bezpośredni dostęp do niego na porcie 5000, nawet jeśli odkryje, że port jest otwarty.

Zatrzymaj usługę WireGuard-UI:

sudo systemctl stop wireguard-ui

Edytuj plik usługi:

sudo nano /etc/systemd/system/wireguard-ui.service

Zmodyfikuj linię ExecStart, aby nasłuchiwała tylko na localhost:

[Unit]
Description=WireGuard UI
After=network.target

[Service]
Type=simple
WorkingDirectory=/opt/wireguard-ui
Environment="BIND_ADDRESS=127.0.0.1:5000"
ExecStart=/opt/wireguard-ui/wireguard-ui
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

Zapisz i wyjdź, następnie przeładuj systemd i uruchom ponownie usługę:

sudo systemctl daemon-reload
sudo systemctl start wireguard-ui
sudo systemctl status wireguard-ui

Na koniec otwórz przeglądarkę i przejdź do:

https://vpn.yourdomain.com

W pasku adresu przeglądarki powinien pojawić się ikonka kłódki, możesz kliknąć ikonę kłódki, aby zobaczyć szczegóły certyfikatu. Zobaczysz, że został on wydany przez Let’s Encrypt i jest ważny przez 90 dni.

Podsumowanie

Do tej pory udało Ci się pomyślnie uruchomić w pełni działający serwer WireGuard VPN z bezpiecznym interfejsem do zarządzania przez przeglądarkę. Zamiast ręcznie obsługiwać klucze, pliki konfiguracyjne i reguły routingu, WireGuard-UI oferuje prosty panel do dodawania nowych urządzeń, generowania kodów QR i monitorowania aktywnych połączeń.