22. WireGuard для сотрудников: подключение к серверу / офисной сети

от

Эта схема подходит для малого офиса, VPS-сервера, удалённой работы сотрудников и защищённого доступа к внутренним ресурсам (папки, веб-панель, 1С, Mikrotik/Router, общие файлы и т.д.).

1. Что потребуется

  • Локальный компьютер сотрудника (Linux / Windows / Android)
  • IP-адрес сервера (или домен)
  • Установленный WireGuard на сервере и рабочий wg0.conf

2. Генерация ключей у сотрудника (правильный способ)

🔐 Приватный ключ хранится только у сотрудника. На сервер он не передаётся.

На локальном ПК:

mkdir -p ~/wireguard
cd ~/wireguard

wg genkey | tee client_private.key | wg pubkey > client_public.key

Проверка:

cat client_private.key
cat client_public.key
  • client_private.key — хранится у сотрудника, никому не отправлять.
  • client_public.key — отправить админу (почтой/телеграмом).

3. Настройка клиента (client.conf)

Создаём файл:

nano ~/wireguard/client.conf

Вставить:

[Interface]
PrivateKey = <client_private_key>
Address = 10.0.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = <server_public_key>
Endpoint = <IP_сервера>:51820
AllowedIPs = 0.0.0.0/0, ::/0, 192.168.10.0/24
PersistentKeepalive = 25

4. Администратор добавляет сотрудника на сервере

Админ получает client_public.key и дописывает в /etc/wireguard/wg0.conf:

[Peer]
PublicKey = <client_public_key>
AllowedIPs = 10.0.0.2/32, 192.168.10.0/24

Перезапуск:

sudo systemctl restart wg-quick@wg0

Проверка:

sudo wg

Если в выводе появился новый Peer — сотрудник подключён.

5. Запуск соединения у сотрудника

Linux:

sudo wg-quick up ~/wireguard/client.conf

Отключение:

sudo wg-quick down client.conf

Windows/Android/iPhone:
Файл client.conf импортируется прямо в приложение WireGuard.

6. Что даёт туннель внутри организации

После подключения сотрудник может безопасно получить доступ к:

РесурсПример доступа
Внутренний серверhttp://192.168.10.10
Файловая шарa (samba/ftp)\\192.168.10.20\docs
1С / бухгалтерияработает как внутри офиса
Web-панель: NAS/микротик/роутерhttps://192.168.1.1
Доступ к принтерам, IP-камерамвнутренние адреса

Без ВПН — доступ закрыт.

Почему ключи создаём у сотрудника

ПодходБезопасность
🔐 Генерация на локальном ПКПриватный ключ не покидает устройство — правильно и безопасно
Генерация на сервереПриватный ключ приходится пересылать → риск утечки

Итог

Теперь схема выглядит так:

[Сотрудник] → свой ключ → клиент.conf → подключение
                        ↓
                 только публичный ключ
                        ↓
                 [Сервер / Офис]

⚡ Это упрощает внедрение в организации и делает подключение безопасным.

Ключи клиента

Оставьте комментарий