Udhëzues · 4 min lexim

Si të konfiguroni WireGuard në Debian 13

Hyrje

WireGuard është një protokoll VPN i shpejtë, modern dhe i sigurt nga ana kriptografike, i ndërtuar drejtpërdrejt në kernelin e Linux-it. Ndryshe nga alternativat më të rënda si OpenVPN ose IPSec, WireGuard është i lehtë, i thjeshtë për t'u konfiguruar dhe ofron performancë të shkëlqyer — çka e bën zgjedhjen ideale për të mbrojtur trafikun përmes VPS-së suaj në AVS ISP.

Debian 13 „Trixie“ (i publikuar më 9 gusht 2025) e përfshin WireGuard-in në depot e tij të parazgjedhura, prandaj nuk nevojiten as backports, as burime të palëve të treta.

Parakushtet

Para se të filloni, sigurohuni që keni:

  • Një VPS me Debian 13 (Trixie) nga AVS ISP
  • Akses si root ose me sudo në server
  • Një makinë lokale që do të shërbejë si klient WireGuard (Linux, Windows, macOS, Android, iOS)
  • Portën UDP 51820 të hapur në murin e zjarrit / grupin e sigurisë së VPS-së suaj në AVS ISP

Hapi 1 — Përditësoni sistemin

Hyni në VPS-në tuaj përmes SSH-së dhe përditësoni të gjitha paketat:

apt update && apt upgrade -y

Hapi 2 — Instaloni WireGuard

WireGuard gjendet në depot e parazgjedhura të Debian 13:

apt install -y wireguard wireguard-tools iptables

Verifikoni instalimin:

wg --version

Hapi 3 — Gjeneroni çelësat e serverit

Vendosni një umask të rreptë për të mbrojtur skedarët e çelësave privatë, pastaj gjeneroni çiftin e çelësave të serverit:

umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub

Shikoni dhe ruani çelësat tuaj:

cat /etc/wireguard/server.key   # Çelësi privat i serverit (mbajeni sekret!)
cat /etc/wireguard/server.pub   # Çelësi publik i serverit (ndajeni me klientët)

Hapi 4 — Gjeneroni çelësat e klientit

Gjeneroni një çift çelësash për klientin e parë drejtpërdrejt në server:

wg genkey | tee /etc/wireguard/client.key | wg pubkey > /etc/wireguard/client.pub

cat /etc/wireguard/client.key   # Çelësi privat i klientit
cat /etc/wireguard/client.pub   # Çelësi publik i klientit

Hapi 5 — Identifikoni ndërfaqen tuaj të rrjetit

Gjeni emrin e ndërfaqes kryesore të rrjetit të VPS-së suaj (zakonisht eth0 ose enp1s0):

ip address show

Shënoni emrin e ndërfaqes — do t'ju duhet në hapin tjetër.

Hapi 6 — Konfiguroni serverin WireGuard

Krijoni skedarin e konfigurimit të serverit:

nano /etc/wireguard/wg0.conf

Ngjitni sa vijon, duke zëvendësuar vlerat vendmbajtëse:

[Interface]
# Adresa IP e serverit brenda VPN-së
Address = 10.8.0.1/24

# Porta UDP në të cilën dëgjon WireGuard
ListenPort = 51820

# Ngjitni këtu çelësin PRIVAT të serverit
PrivateKey = <SERVER_PRIVATE_KEY>

# Aktivizo përcjelljen e IP-së dhe NAT-in kur ngrihet tuneli
# Zëvendësoni eth0 me ndërfaqen tuaj reale të rrjetit (p.sh. enp1s0)
PostUp   = echo 1 > /proc/sys/net/ipv4/ip_forward; \
           iptables -A FORWARD -i wg0 -j ACCEPT; \
           iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = echo 0 > /proc/sys/net/ipv4/ip_forward; \
           iptables -D FORWARD -i wg0 -j ACCEPT; \
           iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# ── Peer (klienti) ─────────────────────────────────────────
[Peer]
# Ngjitni këtu çelësin PUBLIK të klientit
PublicKey = <CLIENT_PUBLIC_KEY>

# IP-ja brenda VPN-së që i caktohet këtij klienti
AllowedIPs = 10.8.0.2/32

Ruani dhe mbyllni (Ctrl+O, Enter, Ctrl+X).

Hapi 7 — Bëjeni të përhershme përcjelljen e IP-së

Modifikoni /etc/sysctl.conf që përcjellja e IP-së të mbijetojë rinisjet:

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

Hapi 8 — Nisni dhe aktivizoni WireGuard-in

Nisni shërbimin WireGuard dhe bëjeni të nisë bashkë me sistemin:

systemctl start wg-quick@wg0
systemctl enable wg-quick@wg0

Verifikoni që ndërfaqja është aktive:

wg show
ip address show wg0

Duhet të shihni ndërfaqen wg0 me adresën 10.8.0.1.

Hapi 9 — Konfiguroni klientin

Në makinën tuaj klient, krijoni një skedar konfigurimi WireGuard (p.sh. wg0.conf) ose importojeni në aplikacionin WireGuard:

[Interface]
# IP-ja e klientit brenda VPN-së
Address = 10.8.0.2/32

# Çelësi PRIVAT i klientit (gjeneruar në hapin 4)
PrivateKey = <CLIENT_PRIVATE_KEY>

# Opsionale: përdorni VPS-në si zgjidhës DNS
# DNS = 10.8.0.1

[Peer]
# Çelësi PUBLIK i serverit (nga hapi 3)
PublicKey = <SERVER_PUBLIC_KEY>

# IP-ja publike e VPS-së suaj në AVS ISP dhe porta e WireGuard-it
Endpoint = <YOUR_VPS_PUBLIC_IP>:51820

# Kalo TË GJITHË trafikun përmes VPN-së
# Për tunel të ndarë (vetëm nënrrjeti i VPN-së), përdorni: 10.8.0.0/24
AllowedIPs = 0.0.0.0/0, ::/0

# Mbaje lidhjen gjallë përmes mureve të zjarrit me NAT
PersistentKeepalive = 25

Ngrini tunelin në anën e klientit:

# Klient Linux
wg-quick up wg0

Për Windows / macOS / Android / iOS, importoni skedarin e konfigurimit ose kodin QR në aplikacionin zyrtar WireGuard.

Hapi 10 — Hapni portën në murin e zjarrit

Nëse VPS-ja juaj në AVS ISP ka një mur zjarri lokal ufw ose iptables, lejoni portën UDP 51820:

# Me ufw
ufw allow 51820/udp
ufw reload

# Drejtpërdrejt me iptables
iptables -A INPUT -p udp --dport 51820 -j ACCEPT

Verifikoni gjithashtu te paneli i kontrollit i AVS ISP, te cilësimet e murit të zjarrit / grupit të sigurisë së VPS-së suaj, që porta të jetë e hapur.

Hapi 11 — Verifikoni lidhjen

Në klient, ngrini tunelin dhe testoni lidhjen:

wg-quick up wg0
ping 10.8.0.1         # Bëni ping portës hyrëse të serverit VPN
curl https://ifconfig.me  # Duhet të kthejë IP-në publike të VPS-së suaj në AVS ISP

Në server, konfirmoni sesionet aktive të peer-ave:

wg show

Peer-i duhet të shfaqet me një vulë kohore të freskët te latest handshake.

Shtimi i klientëve të tjerë

Për çdo klient shtesë, përsërisni hapat 4 dhe 9, pastaj shtoni një bllok të ri [Peer] te /etc/wireguard/wg0.conf në server:

[Peer]
PublicKey  = <NEW_CLIENT_PUBLIC_KEY>
AllowedIPs = 10.8.0.3/32

Ringarkoni WireGuard-in pa i shkëputur lidhjet ekzistuese:

wg addconf wg0 <(wg-quick strip wg0)
# ose rinisni shërbimin
systemctl restart wg-quick@wg0

Komanda të dobishme

Veprimi Komanda
Shfaq gjendjen e tunelit wg show
Nis tunelin systemctl start wg-quick@wg0
Ndal tunelin systemctl stop wg-quick@wg0
Rinis tunelin systemctl restart wg-quick@wg0
Shiko logjet e WireGuard-it journalctl -u wg-quick@wg0 -f
Kontrollo modulin e kernelit lsmod | grep wireguard

Këshilla sigurie

  • Mos i ndani kurrë çelësat tuaj privatë. Ndërmjet peer-ave shkëmbehen vetëm çelësat publikë.
  • Kufizoni aksesin SSH në një IP të caktuar ose përdorni vetëm autentikim me çelës.
  • Merrni parasysh ta ndryshoni portën e parazgjedhur të WireGuard-it (51820) me një portë UDP jostandarde, për të ulur zhurmën nga skanuesit e portave.
  • Ndërrojini periodikisht çiftet e çelësave në instalimet afatgjata.
  • Përdorni PersistentKeepalive = 25 te klientët pas NAT-it, që sesioni të mos bjerë.

Udhëzues i shkruar për klientët e VPS-ve të AVS ISP që përdorin Debian 13 „Trixie“. WireGuard® është markë e regjistruar e Jason A. Donenfeld.

Kthehu te Udhëzues