Chuyển tới nội dung chính

Thiết Lập VPN Server WireGuard Nhanh Chóng và An Toàn

Giới Thiệu​

Trong thế giới số hóa ngày nay, việc bảo vệ quyền riêng tư và đảm bảo an toàn cho dữ liệu khi truy cập internet là vô cùng quan trọng. WireGuard là một giao thức VPN hiện đại, cực kỳ nhanh, đơn giản và an toàn, được thiết kế để vượt trội hơn so với các giao thức VPN truyền thống như OpenVPN hay IPsec. Với WireGuard, bạn có thể dễ dàng thiết lập một VPN server riêng để mã hóa lưu lượng truy cập internet, truy cập an toàn vào mạng nội bộ của mình từ bất kỳ đâu, hoặc tạo một đường hầm bảo mật giữa các máy chủ.

Bài hướng dẫn này sẽ chỉ cho bạn cách thiết lập một WireGuard VPN server trên hệ điều hành Linux (ví dụ Ubuntu/Debian) và cấu hình một client để kết nối.

📋 Thời gian: 30 phút | Độ khó: Trung bình

Yêu Cầu​

Để thực hiện hướng dẫn này, bạn cần chuẩn bị các điều kiện sau:

  • Một máy chủ Linux (VPS hoặc máy chủ vật lý) có địa chỉ IP công cộng. Ubuntu 20.04+ hoặc Debian 10+ được khuyến nghị.
  • Quyền truy cập sudo hoặc root vào máy chủ Linux.
  • Kiến thức cơ bản về dòng lệnh Linux.
  • Một thiết bị client (máy tính, điện thoại) để kết nối VPN sau khi server được thiết lập.

Các Bước Thực Hiện​

Bước 1: Cập Nhật Hệ Thống và Cài Đặt WireGuard​

Đầu tiên, hãy cập nhật các gói hệ thống và cài đặt WireGuard cùng với qrencode (một tiện ích hữu ích để tạo mã QR cho cấu hình client).

# Cập nhật danh sách gói và nâng cấp hệ thống
sudo apt update && sudo apt upgrade -y

# Cài đặt WireGuard và qrencode
sudo apt install wireguard qrencode -y

✅ Hoàn tất cài đặt các gói cần thiết.

Bước 2: Tạo Cặp Khóa Công Khai/Riêng Tư cho Server​

WireGuard sử dụng mật mã khóa công khai để xác thực. Chúng ta cần tạo một cặp khóa cho server.

# Đặt quyền umask để đảm bảo các tệp khóa có quyền hạn chế
sudo umask 077

# Tạo khóa riêng tư và khóa công khai cho server
# Khóa riêng tư sẽ được lưu vào tệp privatekey
# Khóa công khai sẽ được lưu vào tệp publickey
wg genkey | sudo tee /etc/wireguard/privatekey | sudo wg pubkey | sudo tee /etc/wireguard/publickey

# Hiển thị khóa riêng tư của server (ĐỪNG chia sẻ khóa này!)
echo "Server Private Key:"
sudo cat /etc/wireguard/privatekey

# Hiển thị khóa công khai của server
echo "Server Public Key:"
sudo cat /etc/wireguard/publickey

⚠️ Lưu ý quan trọng: Giữ khóa riêng tư của server an toàn và không chia sẻ nó với bất kỳ ai.

Bước 3: Cấu Hình WireGuard Server​

Bây giờ, chúng ta sẽ tạo tệp cấu hình cho WireGuard server tại /etc/wireguard/wg0.conf.

# Mở tệp cấu hình bằng trình soạn thảo nano
sudo nano /etc/wireguard/wg0.conf

Dán nội dung sau vào tệp, thay thế YOUR_SERVER_PRIVATE_KEY bằng khóa riêng tư của server bạn đã tạo ở Bước 2. Chọn một địa chỉ IP nội bộ cho VPN (ví dụ: 10.0.0.1/24) và một cổng nghe UDP (ví dụ: 51820).

[Interface]
# Địa chỉ IP nội bộ của WireGuard server trong mạng VPN
Address = 10.0.0.1/24
# Cổng UDP mà WireGuard server sẽ lắng nghe
ListenPort = 51820
# Khóa riêng tư của WireGuard server
PrivateKey = YOUR_SERVER_PRIVATE_KEY

# Các quy tắc PostUp/PostDown để bật IP forwarding và NAT
# Thay thế eth0 bằng tên giao diện mạng công cộng của server nếu khác
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE; ip6tables -A FORWARD -i wg0 -j ACCEPT; ip6tables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; ip6tables -D FORWARD -i wg0 -j ACCEPT; ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# Tùy chọn: Không lưu cấu hình khi tắt WireGuard
# SaveConfig = false

Lưu tệp và thoát (Ctrl+X, Y, Enter).

Tiếp theo, bạn cần bật tính năng IP forwarding trên server để cho phép lưu lượng truy cập đi qua VPN.

# Mở tệp cấu hình sysctl
sudo nano /etc/sysctl.conf

Tìm dòng #net.ipv4.ip_forward=1 và bỏ comment (xóa dấu #) hoặc thêm dòng net.ipv4.ip_forward=1 nếu chưa có.

# Uncomment the next line to enable packet forwarding for IPv4
net.ipv4.ip_forward=1

Lưu tệp và thoát. Sau đó, áp dụng các thay đổi:

# Áp dụng các thay đổi sysctl ngay lập tức
sudo sysctl -p

💡 Mẹo: Đảm bảo rằng eth0 trong phần PostUp/PostDown của wg0.conf khớp với tên giao diện mạng công cộng của bạn. Bạn có thể kiểm tra bằng lệnh ip a.

Bước 4: Khởi Động WireGuard Server và Cấu Hình Tường Lửa​

Bây giờ, hãy khởi động dịch vụ WireGuard và cấu hình tường lửa để cho phép kết nối đến cổng WireGuard.

# Bật WireGuard để tự khởi động cùng hệ thống
sudo systemctl enable wg-quick@wg0

# Khởi động dịch vụ WireGuard
sudo systemctl start wg-quick@wg0

# Kiểm tra trạng thái của WireGuard
sudo systemctl status wg-quick@wg0

Bạn sẽ thấy trạng thái "active (running)".

Nếu bạn đang sử dụng ufw (Uncomplicated Firewall), hãy cho phép cổng WireGuard:

# Cho phép cổng UDP đã chọn (ví dụ: 51820)
sudo ufw allow 51820/udp

# Bật tường lửa nếu chưa bật
sudo ufw enable

# Kiểm tra trạng thái tường lửa
sudo ufw status

Nếu bạn sử dụng firewalld, lệnh tương tự sẽ là:

# Thêm cổng dịch vụ WireGuard
sudo firewall-cmd --add-port=51820/udp --permanent

# Tải lại tường lửa
sudo firewall-cmd --reload

✅ Server WireGuard của bạn hiện đã hoạt động và sẵn sàng nhận kết nối.

Bước 5: Tạo Cấu Hình cho Client​

Mỗi client cần một cặp khóa riêng và một tệp cấu hình. Chúng ta sẽ tạo một cấu hình mẫu cho client đầu tiên.

# Tạo thư mục tạm để lưu khóa client
mkdir -p ~/wireguard-clients && cd ~/wireguard-clients

# Tạo khóa riêng tư và khóa công khai cho client
wg genkey | tee client1_privatekey | wg pubkey > client1_publickey

# Hiển thị khóa riêng tư của client (ĐỪNG chia sẻ!)
echo "Client 1 Private Key:"
cat client1_privatekey

# Hiển thị khóa công khai của client
echo "Client 1 Public Key:"
cat client1_publickey

Bây giờ, tạo tệp cấu hình cho client (ví dụ: client1.conf).

nano client1.conf

Dán nội dung sau, thay thế YOUR_CLIENT_PRIVATE_KEY bằng khóa riêng tư của client, YOUR_SERVER_PUBLIC_KEY bằng khóa công khai của server (từ Bước 2), và YOUR_SERVER_PUBLIC_IP bằng địa chỉ IP công cộng của server.

[Interface]
# Địa chỉ IP nội bộ của client trong mạng VPN
Address = 10.0.0.2/32
# Khóa riêng tư của client
PrivateKey = YOUR_CLIENT_PRIVATE_KEY
# DNS server (ví dụ: Cloudflare DNS)
DNS = 1.1.1.1, 8.8.8.8

[Peer]
# Khóa công khai của WireGuard server
PublicKey = YOUR_SERVER_PUBLIC_KEY
# Địa chỉ IP công cộng và cổng của server
Endpoint = YOUR_SERVER_PUBLIC_IP:51820
# Cho phép tất cả lưu lượng truy cập đi qua VPN (full tunnel)
AllowedIPs = 0.0.0.0/0
# Giữ kết nối hoạt động qua NAT (tùy chọn)
PersistentKeepalive = 25

Lưu tệp và thoát.

Cuối cùng, bạn cần thêm khóa công khai của client vào cấu hình WireGuard server.

# Lấy khóa công khai của client
CLIENT_PUBLIC_KEY=$(cat client1_publickey)

# Thêm client vào cấu hình server
sudo wg set wg0 peer "$CLIENT_PUBLIC_KEY" allowed-ips 10.0.0.2/32

# Hoặc, bạn có thể chỉnh sửa thủ công tệp /etc/wireguard/wg0.conf và thêm phần này vào cuối:
# [Peer]
# PublicKey = CLIENT_PUBLIC_KEY_HERE
# AllowedIPs = 10.0.0.2/32

# Sau khi thêm client, nếu chỉnh sửa bằng tay, bạn cần khởi động lại dịch vụ
# sudo systemctl restart wg-quick@wg0

💡 Mẹo: Bạn có thể tạo mã QR từ tệp cấu hình client để dễ dàng nhập vào ứng dụng WireGuard trên điện thoại.

# Tạo mã QR cho cấu hình client1
qrencode -t ansiutf8 < client1.conf

Hoặc lưu vào file ảnh: qrencode -o client1.png < client1.conf

Bước 6: Kết Nối Từ Client​

Chuyển tệp client1.conf sang thiết bị client của bạn (qua email, USB, scp, hoặc dùng mã QR).

  • Trên máy tính: Cài đặt ứng dụng WireGuard, sau đó nhập tệp .conf.
  • Trên điện thoại: Cài đặt ứng dụng WireGuard từ App Store/Google Play, sau đó nhập cấu hình bằng cách quét mã QR hoặc nhập tệp.

Sau khi kết nối, kiểm tra địa chỉ IP công cộng của bạn. Nếu nó hiển thị địa chỉ IP của server VPN, bạn đã kết nối thành công! Bạn cũng có thể thử truy cập một tài nguyên trong mạng nội bộ của server (nếu đã cấu hình).

Troubleshooting​

  • Server không khởi động:
    • Kiểm tra logs của WireGuard: sudo journalctl -u wg-quick@wg0.
    • Đảm bảo PrivateKey trong wg0.conf chính xác.
    • Kiểm tra xem cổng ListenPort có bị chiếm dụng bởi ứng dụng khác không.
  • Client kết nối nhưng không truy cập được internet/mạng nội bộ:
    • Kiểm tra lại các quy tắc PostUp/PostDown trong wg0.conf (đặc biệt là tên giao diện mạng eth0).
    • Đảm bảo net.ipv4.ip_forward=1 đã được bật và áp dụng (sudo sysctl -p).
    • Kiểm tra tường lửa trên server (ufw hoặc firewalld) đã cho phép cổng WireGuard và cho phép lưu lượng FORWARD chưa.
    • Đảm bảo AllowedIPs trên client được cấu hình đúng (0.0.0.0/0 cho full tunnel, hoặc dải IP cụ thể cho split tunnel).
    • Kiểm tra PublicKey của server trên client và PublicKey của client trên server có khớp nhau không.
  • Kết nối chập chờn hoặc bị ngắt quãng:
    • Thử thêm PersistentKeepalive = 25 vào phần [Peer] của cấu hình client để duy trì kết nối qua NAT.

Kết Luận​

Chúc mừng! Bạn đã thiết lập thành công WireGuard VPN server của riêng mình. WireGuard mang lại hiệu suất vượt trội, bảo mật mạnh mẽ và cấu hình đơn giản, làm cho nó trở thành lựa chọn lý tưởng cho cả người dùng cá nhân và doanh nghiệp nhỏ.

Best practices:

  • Bảo mật khóa: Luôn giữ khóa riêng tư của server và client an toàn.
  • Cập nhật thường xuyên: Đảm bảo hệ thống Linux và WireGuard luôn được cập nhật phiên bản mới nhất.
  • Tường lửa: Cấu hình tường lửa chặt chẽ trên server, chỉ cho phép các cổng và giao thức cần thiết.
  • Quản lý client: Khi cần thêm hoặc xóa client, hãy tạo cặp khóa mới cho mỗi client và cập nhật cấu hình server tương ứng.
  • Giới hạn AllowedIPs: Nếu bạn chỉ muốn truy cập mạng nội bộ qua VPN và không muốn tất cả lưu lượng truy cập internet đi qua VPN, hãy giới hạn AllowedIPs trên client thành dải IP của mạng nội bộ của bạn (ví dụ: 192.168.1.0/24, 10.0.0.0/24).

Với WireGuard, bạn có thể yên tâm kết nối an toàn và riêng tư từ mọi nơi.