WireGuard: co to je, jak funguje a jak ho nastavit

WireGuard vytvořil Jason Donenfeld jako jednodušší a rychlejší alternativu k IPsec a OpenVPN. Je to protokol, ne služba – můžete ho provozovat sami, nebo ho najdete uvnitř aplikací komerčních VPN (NordVPN ho nazývá NordLynx, Proton VPN, Mullvad, Surfshark a další ho nabízejí přímo).

Čím je WireGuard jiný

• Malý kód. Autoři ho navrhli tak, aby ho dokázal projít jeden člověk – OpenVPN i IPsec mají kódu řádově víc, a proto se hůř auditují.
• Moderní šifry. Používá ChaCha20 a Poly1305 (šifrování a ověření), Curve25519 (výměna klíčů), BLAKE2 a rámec Noise. Žádné vyjednávání mezi desítkami algoritmů, tedy žádné slabé volby.
• Rychlé připojení a roaming. Spojení se naváže téměř okamžitě a přežije změnu IP adresy (přepnutí z Wi-Fi na data).
• Jen UDP. Pošle IP pakety v UDP datagramech. V sítích, které blokují UDP, může mít potíže (OpenVPN umí i TCP 443).
• V jádře Linuxu. Od verze 5.6 (březen 2020) je součástí kernelu; funguje i na Windows, macOS, BSD, iOS a Androidu.

Oficiální web WireGuardu slibuje výrazně lepší výkon než OpenVPN, ale nepodkládá to měřením – rozdíl je v praxi patrný hlavně na slabších zařízeních a při přepínání sítí. Podrobné srovnání: WireGuard vs OpenVPN.

Soukromí: na co si dát pozor

WireGuard sám ukládá IP adresy připojených klientů, dokud je tunel aktivní. Poskytovatelé VPN proto kolem něj staví vlastní systémy (např. NordLynx s dvojitým překladem adres), aby neukládali spojení uživatele s jeho IP. U služeb s auditovanou no-log politikou to řeší oni, u vlastního serveru jste za ochranu zodpovědní vy.

Vlastní WireGuard v kostce

1. Na serveru (Linux, VPS nebo domácí router) nainstalujte balíček wireguard.
2. Vygenerujte klíče: wg genkey | tee privatni.key | wg pubkey > verejny.key.
3. V /etc/wireguard/wg0.conf nastavte rozhraní (adresa, privátní klíč, port UDP, obvykle 51820) a sekci Peer pro každého klienta.
4. Zapněte přeposílání IP a překlad adres (NAT), aby klienti mohli na internet.
5. Rozhraní spusťte wg-quick up wg0, na klientu naimportujte konfiguraci (na telefonu přes QR kód) a připojte se.

Pohodlnější cesty: skripty PiVPN nebo kontejner wg-easy. Kde server pronajmout a jak vybírat VPS, popisujeme v článku vlastní VPN server na VPS, VPN na routeru najdete v návodu.

WireGuard v aplikacích VPN služeb

Pokud si nechcete nic nastavovat, vezměte službu, která WireGuard podporuje: Proton VPN a NordVPN (NordLynx) ho mají jako výchozí, podobně Surfshark. Na Windows se přehled aplikací dívejte v VPN pro Windows.

Časté otázky

Je WireGuard bezpečný?

Ano, používá moderní prověřené šifry (ChaCha20, Poly1305, Curve25519) a má malý kód, který se dobře audituje.

Je WireGuard rychlejší než OpenVPN?

Podle autorů ano a v praxi je to obvykle znát, zvlášť na slabších zařízeních. Vlastní měření neuvádíme.

Jaký port používá WireGuard?

Standardně UDP 51820, dá se změnit. Protokol používá jen UDP.

Kdo WireGuard vytvořil?

Jason Donenfeld; od roku 2020 je součástí jádra Linuxu.