Upute · 4 min čitanja

Kako postaviti WireGuard na Debianu 13

Uvod

WireGuard je brz, moderan i kriptografski siguran VPN protokol ugrađen izravno u jezgru Linuxa. Za razliku od težih alternativa poput OpenVPN-a ili IPSec-a, WireGuard je lagan, jednostavan za konfiguriranje i vrlo brz — što ga čini idealnim izborom za zaštitu prometa kroz vaš VPS kod AVS ISP-a.

Debian 13 „Trixie” (objavljen 9. kolovoza 2025.) uključuje WireGuard u svojim zadanim repozitorijima, pa nisu potrebni ni backporti ni izvori trećih strana.

Preduvjeti

Prije početka provjerite imate li:

  • VPS s Debianom 13 (Trixie) od AVS ISP-a
  • Root ili sudo pristup poslužitelju
  • Lokalno računalo koje će biti WireGuard klijent (Linux, Windows, macOS, Android, iOS)
  • Otvoren UDP port 51820 u vatrozidu odnosno sigurnosnoj grupi vašeg VPS-a kod AVS ISP-a

Korak 1 — Ažurirajte sustav

Prijavite se na VPS putem SSH-a i ažurirajte sve pakete:

apt update && apt upgrade -y

Korak 2 — Instalirajte WireGuard

WireGuard je dostupan u zadanim repozitorijima Debiana 13:

apt install -y wireguard wireguard-tools iptables

Provjerite instalaciju:

wg --version

Korak 3 — Generirajte ključeve poslužitelja

Postavite strogu umask kako biste zaštitili datoteke s privatnim ključevima, a zatim generirajte par ključeva poslužitelja:

umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub

Pregledajte i spremite ključeve:

cat /etc/wireguard/server.key   # Privatni ključ poslužitelja (čuvajte ga u tajnosti!)
cat /etc/wireguard/server.pub   # Javni ključ poslužitelja (podijelite ga s klijentima)

Korak 4 — Generirajte ključeve klijenta

Generirajte par ključeva za prvog klijenta izravno na poslužitelju:

wg genkey | tee /etc/wireguard/client.key | wg pubkey > /etc/wireguard/client.pub

cat /etc/wireguard/client.key   # Privatni ključ klijenta
cat /etc/wireguard/client.pub   # Javni ključ klijenta

Korak 5 — Pronađite svoje mrežno sučelje

Pronađite naziv glavnog mrežnog sučelja svojeg VPS-a (najčešće eth0 ili enp1s0):

ip address show

Zapamtite naziv sučelja — trebat će vam u sljedećem koraku.

Korak 6 — Konfigurirajte WireGuard poslužitelj

Izradite konfiguracijsku datoteku poslužitelja:

nano /etc/wireguard/wg0.conf

Zalijepite sljedeće i zamijenite rezervirane vrijednosti:

[Interface]
# VPN adresa poslužitelja
Address = 10.8.0.1/24

# UDP port na kojem WireGuard sluša
ListenPort = 51820

# Ovdje zalijepite PRIVATNI ključ poslužitelja
PrivateKey = <SERVER_PRIVATE_KEY>

# Uključi prosljeđivanje IP-a i NAT kada se tunel podigne
# Zamijenite eth0 svojim stvarnim mrežnim sučeljem (npr. enp1s0)
PostUp   = echo 1 > /proc/sys/net/ipv4/ip_forward; \
           iptables -A FORWARD -i wg0 -j ACCEPT; \
           iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = echo 0 > /proc/sys/net/ipv4/ip_forward; \
           iptables -D FORWARD -i wg0 -j ACCEPT; \
           iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# ── Peer (klijent) ─────────────────────────────────────────
[Peer]
# Ovdje zalijepite JAVNI ključ klijenta
PublicKey = <CLIENT_PUBLIC_KEY>

# VPN adresa dodijeljena ovom klijentu
AllowedIPs = 10.8.0.2/32

Spremite i zatvorite (Ctrl+O, Enter, Ctrl+X).

Korak 7 — Trajno uključite prosljeđivanje IP-a

Uredite /etc/sysctl.conf kako bi prosljeđivanje IP-a preživjelo ponovna pokretanja:

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

Korak 8 — Pokrenite i omogućite WireGuard

Pokrenite uslugu WireGuard i postavite je da se pokreće pri podizanju sustava:

systemctl start wg-quick@wg0
systemctl enable wg-quick@wg0

Provjerite je li sučelje podignuto:

wg show
ip address show wg0

Trebali biste vidjeti sučelje wg0 s adresom 10.8.0.1.

Korak 9 — Konfigurirajte klijenta

Na klijentskom računalu izradite WireGuard konfiguracijsku datoteku (npr. wg0.conf) ili je uvezite u aplikaciju WireGuard:

[Interface]
# VPN adresa klijenta
Address = 10.8.0.2/32

# PRIVATNI ključ klijenta (generiran u koraku 4)
PrivateKey = <CLIENT_PRIVATE_KEY>

# Neobavezno: koristite VPS kao DNS razrješivač
# DNS = 10.8.0.1

[Peer]
# JAVNI ključ poslužitelja (iz koraka 3)
PublicKey = <SERVER_PUBLIC_KEY>

# Javna IP adresa vašeg VPS-a kod AVS ISP-a i WireGuard port
Endpoint = <YOUR_VPS_PUBLIC_IP>:51820

# Usmjeri SAV promet kroz VPN
# Za podijeljeni tunel (samo VPN podmreža) upotrijebite: 10.8.0.0/24
AllowedIPs = 0.0.0.0/0, ::/0

# Održavaj vezu kroz vatrozide s NAT-om
PersistentKeepalive = 25

Podignite tunel na klijentu:

# Linux klijent
wg-quick up wg0

Za Windows / macOS / Android / iOS uvezite konfiguracijsku datoteku ili QR kod u službenu aplikaciju WireGuard.

Korak 10 — Otvorite port na vatrozidu

Ako na vašem VPS-u kod AVS ISP-a radi lokalni ufw ili iptables vatrozid, dopustite UDP port 51820:

# Pomoću ufw-a
ufw allow 51820/udp
ufw reload

# Izravno preko iptablesa
iptables -A INPUT -p udp --dport 51820 -j ACCEPT

Provjerite i u upravljačkoj ploči AVS ISP-a, u postavkama vatrozida odnosno sigurnosne grupe vašeg VPS-a, je li port otvoren.

Korak 11 — Provjerite vezu

Na klijentu podignite tunel i provjerite povezanost:

wg-quick up wg0
ping 10.8.0.1         # Pingajte pristupnik VPN poslužitelja
curl https://ifconfig.me  # Trebao bi vratiti javnu IP adresu vašeg VPS-a kod AVS ISP-a

Na poslužitelju potvrdite aktivne sesije peerova:

wg show

Peer bi trebao biti naveden sa svježim vremenom uz latest handshake.

Dodavanje novih klijenata

Za svakog dodatnog klijenta ponovite korake 4 i 9, a zatim na poslužitelju dodajte novi blok [Peer] u /etc/wireguard/wg0.conf:

[Peer]
PublicKey  = <NEW_CLIENT_PUBLIC_KEY>
AllowedIPs = 10.8.0.3/32

Ponovno učitajte WireGuard bez prekidanja postojećih veza:

wg addconf wg0 <(wg-quick strip wg0)
# ili ponovno pokrenite uslugu
systemctl restart wg-quick@wg0

Korisne naredbe

Radnja Naredba
Prikaz stanja tunela wg show
Pokretanje tunela systemctl start wg-quick@wg0
Zaustavljanje tunela systemctl stop wg-quick@wg0
Ponovno pokretanje tunela systemctl restart wg-quick@wg0
Pregled WireGuard zapisa journalctl -u wg-quick@wg0 -f
Provjera modula jezgre lsmod | grep wireguard

Sigurnosni savjeti

  • Nikada ne dijelite svoje privatne ključeve. Peerovi razmjenjuju isključivo javne ključeve.
  • Ograničite SSH pristup na određenu IP adresu ili dopustite samo prijavu ključem.
  • Razmislite o promjeni zadanog WireGuard porta (51820) u neki nestandardni UDP port kako biste smanjili buku skenera portova.
  • Kod dugotrajnih postava povremeno mijenjajte parove ključeva.
  • Na klijentima iza NAT-a koristite PersistentKeepalive = 25 da veza ne bi pucala.

Vodič napisan za korisnike VPS-ova AVS ISP-a koji koriste Debian 13 „Trixie”. WireGuard® je registrirani zaštitni znak Jasona A. Donenfelda.

Natrag na Upute