Portal WG VPN Windows: настройка WireGuard с веб-интерфейсом

Что такое WG Portal и зачем он нужен

WG Portal — это веб-интерфейс для управления сервером WireGuard. Он позволяет создавать пользователей (пиров), генерировать конфигурационные файлы и QR-коды прямо в браузере, без необходимости вручную редактировать текстовые конфиги на сервере. Для администратора это означает, что добавление нового устройства занимает пару кликов, а не требует выполнения команд в терминале.

WireGuard — это современный VPN-протокол, встроенный в ядро Linux. Он отличается высокой скоростью, минимальным потреблением ресурсов и простотой настройки. Однако у него нет собственного графического интерфейса, поэтому для удобного управления и был создан WG Portal.

Связка WireGuard + WG Portal особенно полезна, когда нужно:

• предоставить доступ к корпоративной сети большому числу сотрудников;
• быстро подключать новые устройства (ноутбуки, смартфоны);
• автоматически отзывать доступ при увольнении сотрудников;
• отслеживать активность подключений через удобный дашборд.

WG Portal поддерживает интеграцию с Active Directory через LDAP, что позволяет синхронизировать пользователей и автоматически деактивировать пиры при удалении учётной записи. Это решает проблему «мёртвых» пиров, когда уволенные сотрудники сохраняют доступ к сети.

Почему WireGuard, а не OpenVPN

WireGuard часто сравнивают с OpenVPN, и у него есть несколько ключевых преимуществ:

• Простота кода: WireGuard состоит примерно из 4000 строк кода, в то время как OpenVPN — из сотен тысяч. Это упрощает аудит безопасности и снижает вероятность ошибок.
• Скорость: WireGuard работает на уровне ядра Linux, что обеспечивает более высокую производительность и меньшее потребление CPU.
• Быстрое переключение сетей: WireGuard быстрее восстанавливает соединение при смене Wi-Fi на мобильный интернет.
• Современная криптография: используются протоколы Curve25519, ChaCha20, Poly1305.

Однако у WireGuard нет встроенного механизма двухфакторной аутентификации (2FA). Это ограничение можно компенсировать на уровне приложений или с помощью дополнительных инструментов, например, wag, который добавляет TOTP-проверку.

Для пользователей Windows важно отметить, что официальный клиент WireGuard доступен для Windows 7, 8, 10 и 11. Он прост в использовании: импортируете конфигурационный файл и подключаетесь одним щелчком.

Подготовка сервера для WG Portal

Прежде чем устанавливать WG Portal, необходимо подготовить сервер. Это может быть VPS от любого облачного провайдера или выделенный сервер. Основные требования:

• Виртуализация KVM: OpenVZ может не поддерживать модули ядра WireGuard, поэтому выбирайте KVM.
• Операционная система: рекомендуется Ubuntu 20.04 или 22.04 LTS. В этих версиях WireGuard уже включён в ядро, достаточно установить wireguard-tools.
• Статический IP-адрес: необходим, чтобы клиенты могли найти сервер.
• Ресурсы: для личного использования достаточно 1 CPU и 512 MB RAM. Для корпоративного использования с десятками пользователей потребуется больше ресурсов.

Также убедитесь, что у вас есть root-доступ к серверу по SSH. Для Windows-пользователей подойдёт PuTTY или встроенный терминал Windows Terminal.

Если вы не хотите самостоятельно администрировать сервер, можно воспользоваться готовыми VPN-сервисами, которые предоставляют WireGuard-конфиги. Но для полного контроля над инфраструктурой лучше развернуть собственный сервер.

Установка Docker и развертывание WG Portal

WG Portal удобно разворачивать через Docker. Это изолирует приложение и упрощает обновление. Вот пошаговая инструкция:

1. Подключитесь к серверу по SSH.
2. Установите Docker и Docker Compose:

   sudo apt update
   sudo apt install docker.io docker-compose -y
   sudo systemctl enable --now docker

1. Создайте директорию для проекта:

   mkdir -p ~/wg-portal && cd ~/wg-portal

1. Создайте файл docker-compose.yml с помощью nano:

   nano docker-compose.yml

1. Вставьте следующую конфигурацию (замените ВАШ_IP_АДРЕС на реальный IP сервера):

   version: '3'
   services:
     wg-portal:
       image: h44z/wg-portal:latest
       container_name: wg-portal
       restart: always
       cap_add:
         - NET_ADMIN
       volumes:
         - ./data:/app/data
       ports:
         - "80:80"
         - "51820:51820/udp"
       environment:
         - WG_HOST=ВАШ_IP_АДРЕС
         - PASSWORD=admin

1. Сохраните файл (Ctrl+O, Enter, Ctrl+X) и запустите контейнер:

   sudo docker-compose up -d

После запуска проверьте статус: docker ps. Если контейнер работает, веб-интерфейс будет доступен по адресу http://ВАШ_IP_АДРЕС. Логин по умолчанию — admin, пароль — admin (обязательно смените его после первого входа).

Настройка WG Portal для корпоративного использования

Для корпоративного использования WG Portal можно интегрировать с Active Directory через LDAP. Это позволяет автоматически синхронизировать пользователей и группы, а также отключать доступ при увольнении.

В конфигурации wg-portal (config.yaml) добавляется блок auth.ldap с параметрами:

• sync_interval: интервал синхронизации, например, 15m.
• disable_missing: true — автоматически отключать пользователей, которых нет в AD.
• auto_re_enable: true — восстанавливать доступ при возврате в группу.

Также настраивается фильтр для поиска пользователей, обычно по членству в группе «VPN Users». Для этого используется LDAP-запрос с битовой маской userAccountControl для исключения заблокированных учётных записей.

Важно создать сервисную учётную запись в AD с правами только на чтение, чтобы wg-portal мог выполнять поиск. Пароль должен быть длинным и не истекающим.

После настройки LDAP администратору достаточно добавить сотрудника в группу «VPN Users» в AD, и через несколько минут он сможет самостоятельно зайти на портал и создать свой пир. При увольнении удаление из группы автоматически деактивирует все пиры пользователя.

Подключение клиентов на Windows

Для подключения к WG Portal с Windows необходимо:

1. Установить официальный клиент WireGuard с официального сайта.
2. В веб-интерфейсе WG Portal создать нового пира (Peer) с именем, например, «Windows-Ноутбук». Портал автоматически сгенерирует ключи и IP-адрес.
3. Скачать конфигурационный файл (.conf) или отсканировать QR-код.
4. В клиенте WireGuard нажать «Импорт туннелей из файла» и выбрать скачанный файл.
5. Активировать туннель переключателем.

Если используется QR-код, его можно отсканировать с помощью мобильного приложения WireGuard, но для Windows удобнее импортировать файл.

После подключения в клиенте отображается статус рукопожатия и объём переданных данных. Если соединение активно, но интернет не работает, проверьте:

• открыт ли UDP-порт 51820 на сервере;
• включена ли пересылка пакетов (IP forwarding);
• правильно ли настроены маршруты (AllowedIPs).

Решение частых проблем

При использовании WG Portal могут возникать типичные проблемы:

• Нет рукопожатия: проверьте, что UDP-порт 51820 открыт в файрволе сервера (ufw allow 51820/udp). Также убедитесь, что клиент и сервер используют одинаковые ключи.
• Интернет не работает через VPN: проверьте настройки NAT и IP forwarding. В Docker-образе wg-portal пересылка обычно включена, но хостер может блокировать её.
• Не удаётся подключиться к веб-интерфейсу: проверьте, что порт 80 открыт, и что контейнер запущен.
• Проблемы с LDAP-синхронизацией: проверьте логи контейнера с log_level: trace, чтобы увидеть ошибки подключения к AD.

Также важно регулярно обновлять wg-portal до актуальной версии, так как в старых версиях могут быть уязвимости. Например, в версии v2.1.2 была исправлена уязвимость Open Redirect в OAuth-аутентификации.

Сравнение WG Portal с альтернативами

На рынке есть несколько веб-интерфейсов для WireGuard. Вот их краткое сравнение:

• wg-easy: прост в установке, имеет встроенный TOTP, но не поддерживает LDAP и OAuth. Лицензия AGPL-3.0 с версии 14.
• WGDashboard: красивый дашборд, но нет LDAP и OAuth.
• wireguard-ui: проект находится в архиве, не рекомендуется для новых внедрений.
• WG Portal: поддерживает LDAP, OAuth/OIDC, WebAuthn, REST API, лицензия MIT. Это делает его лучшим выбором для корпоративного использования.

Если вам нужна интеграция с Active Directory, WG Portal — практически единственное готовое решение с открытым исходным кодом, которое предоставляет все необходимые функции из коробки.

Безопасность и ограничения WG Portal

WG Portal — это мощный инструмент, но у него есть ограничения, которые важно учитывать:

• Не заменяет межсетевой экран: правила iptables/nftables, NAT и изоляция подсетей настраиваются вручную.
• Маршрутизация: раздельное туннелирование (split tunnel) требует ручной настройки AllowedIPs на клиентах.
• Двухфакторная аутентификация: веб-портал поддерживает WebAuthn/Passkeys, но не классический TOTP. Сам протокол WireGuard не поддерживает 2FA.
• Масштабирование: один экземпляр wg-portal управляет WireGuard на одном хосте. Для мультисайтовых архитектур нужна дополнительная оркестрация.

Также важно обеспечить безопасность сервисной учётной записи LDAP: минимальные привилегии, длинный пароль, регулярная ротация. Резервное копирование базы данных SQLite и конфигурационных файлов должно выполняться регулярно.

Практический пример: внедрение для 80 сотрудников

Рассмотрим реальный кейс: консалтинговая компания с 80 сотрудниками, часть работает удалённо. Ранее использовался WireGuard с ручным управлением: администратор создавал ключи, выбирал IP из таблицы, редактировал wg0.conf и отправлял конфиги по почте. Это занимало около 30 минут на сотрудника, а при увольнении доступ часто не отзывался — за полгода произошло 3 инцидента с «мёртвыми» пирами.

После внедрения WG Portal с интеграцией Active Directory:

• подключение нового сотрудника занимает 2 минуты (самообслуживание через портал);
• отзыв доступа при увольнении происходит автоматически через LDAP-синхронизацию;
• администратор видит статус всех пиров в реальном времени;
• миграция 80 сотрудников заняла два дня без единого тикета в поддержку.

Этот пример показывает, как WG Portal решает проблемы масштабирования и безопасности в среднем бизнесе.

Вопросы и ответы