WireGuard VPN: Slik setter du det opp selv

Hva er WireGuard og hvorfor er det bedre?

WireGuard er en moderne, åpen kildekode VPN-protokoll skapt av Jason A. Donenfeld og lansert i 2015. Det som skiller WireGuard fra etablerte alternativer som OpenVPN og IPsec er den radikalt enkle designen: kun rundt 4 000 linjer kode, integrert direkte i Linux-kjernen (siden versjon 5.6 i 2020), og et fast sett med moderne kryptografiske primitiver uten valgbare algoritmer.

Denne enkelheten er en sikkerhetsstyrke — jo mindre kode, jo mindre angrepsflate og jo lettere er det å revidere. WireGuard har blitt hyllet av sikkerhetseksperter og er i dag standardprotokollen i mange kommersielle VPN-tjenester (Mullvad, ProtonVPN, NordVPN bruker alle WireGuard). Linus Torvalds beskrev WireGuard som 'et kunstverk' da den ble vurdert for inklusjon i Linux-kjernen.

Ytelsesmessig er WireGuard overlegen. Siden det kjører som et kernel-modul, unngås den kostbare kontekstvekslingen mellom brukerrom og kjernerom som plager OpenVPN. I praksis kan WireGuard oppnå nær full båndbredde på moderne nettverksgrensesnitt med minimalt CPU-avtrykk.

WireGuard vs. OpenVPN: En direkte sammenligning

OpenVPN har vært bransjestandarden i over 20 år og er svært godt testet og fleksibelt. Men den fleksibiliteten har en pris: kompleks konfigurasjon, mange potensielle sikkerhetsfeil i et stort kodeverk, og lavere ytelse. WireGuard er det moderne alternativet med noen praktiske forskjeller å være klar over.

Sette opp WireGuard-server på VPS eller hjemmeserver

Du kan sette opp WireGuard på en VPS (Virtual Private Server) hos f.eks. Hetzner, DigitalOcean eller Vultr, eller på en hjemmeserver. VPS-alternativet gir deg en fast, offentlig IP-adresse og er enklere å konfigurere. Hjemmeserveren er gratis men krever portviderekobling og gjerne DDNS.

På Ubuntu eller Debian installeres WireGuard med 'apt install wireguard'. Den enkleste veien til en fullt fungerende server er installasjons-skriptet 'wireguard-install' fra GitHub (fra pivpn.io eller anrz-a/wireguard-install). Dette skriptet stiller deg noen spørsmål og genererer en klar-til-bruk konfigurasjon inkludert klientfiler du kan importere direkte i WireGuard-appen.

• Installer WireGuard: sudo apt install wireguard
• Generer server-nøkkelpar: wg genkey | tee privatekey | wg pubkey > publickey
• Opprett konfigurasjonsfil i /etc/wireguard/wg0.conf
• Aktiver IP-forwarding i /etc/sysctl.conf (net.ipv4.ip_forward=1)
• Start WireGuard: sudo systemctl enable --now wg-quick@wg0
• Åpne UDP-porten (standard 51820) i brannmur og ruter
• Generer klientkonfigurasjon og importer i WireGuard-appen

Konfigurasjonsfilene forklart

WireGuard sin konfigurasjon er overraskende lesbar. En typisk serverkonfigurasjon har en [Interface]-seksjon med serverens private nøkkel, lyttende port, og nettverksadresse — etterfulgt av én [Peer]-seksjon per klient med klientens offentlige nøkkel og tillatte IP-adresser.

Klientkonfigurasjonen er speilet: [Interface] med klientens private nøkkel og IP-adresse, og [Peer] med serverens offentlige nøkkel, endpoint (server-IP:port), og AllowedIPs. Feltet AllowedIPs er kraftfullt — sett til '0.0.0.0/0, ::/0' rutes all trafikk via VPN. Sett til serverens subnet (f.eks. '10.0.0.0/24') rutes kun VPN-nettverkstrafikk gjennom tunnelen, mens annen internettrafikk går direkte.

WireGuard-klienter på alle plattformer

WireGuard har offisielle klientapper for alle store plattformer: Windows, macOS, iOS, og Android — tilgjengelig gratis i respektive app-butikker. Linux-brukere bruker native wg-quick kommandolinjeverktøy. Konfigurasjonsfilene er identiske på tvers av plattformer, noe som gjør administrasjon enkel.

For å distribuere klientkonfigurasjoner uten å dele filer, genererer du en QR-kode fra konfigurasjonsfilen med 'qrencode -t ansiutf8 < klient.conf'. Skann QR-koden med WireGuard-appen på telefonen og klienten er konfigurert på sekunder. Dette er spesielt elegant for rask oppsett av mobilklienter.

Sikkerhets-tips og beste praksis

WireGuard har ingen innebygd mekanisme for brukernavn/passord-autentisering — autentisering skjer utelukkende via offentlig/privat nøkkelpar. Dette er faktisk en sikkerhetsfordel: ingen passord å phishe. Men det betyr at du må beskytte private nøkler nøye — de bør aldri lagres i ren tekst på en delt server.

En viktig begrensning å være klar over er at WireGuard lagrer tillatte peers i konfigfilen, og du må eksplisitt legge til hver klient. Det finnes ingen built-in dynamisk autentisering. For mer avansert brukeradministrasjon kan du se på WireGuard-portaler som WG Easy (en selvhostet webUI), wg-access-server, eller Netmaker.

• Lagre aldri private nøkler ukryptert eller del dem over usikre kanaler
• Bruk separate nøkkelpar for hver klient (ikke gjenbruk nøkler)
• Endre standard UDP-port (51820) for å redusere automatisert scanning
• Aktiver UFW/iptables brannmur på serveren
• Logg jevnlig inn for å sjekke 'wg show' — se tilkoblede peers og datamengder
• Vurder WG Easy for enkelt webgrensesnitt og brukeradministrasjon

Vanlige bruksscenarier

WireGuard er ideelt for en rekke bruksscenarier. Det mest åpenbare er sikker fjerntilgang til hjemmenettverket — installer WireGuard-server på hjemmeserveren, koble til fra laptop på café, og du har kryptert tilgang til alle hjemmeressurser. Dette er det sikreste alternativet til å eksponere tjenester direkte mot internett.

Et annet populært bruksscenario er å kombinere WireGuard med Pi-hole: klientene kobler til WireGuard-serveren som viderekobler DNS-trafikk til Pi-hole. Dette gir deg nettverksomfattende annonseblokkering også når du er på farten, på mobilnett eller offentlig WiFi. For de som ønsker full kontroll uten å stole på Tailscale sine skytjenester, er WireGuard med manuell konfigurasjon det ultimate alternativet.