Retea

WireGuard: VPN-ul modern care incape intr-un fisier de configurare

E ora 2 dimineata, un tunel OpenVPN a picat din motive pe care nimeni nu le poate reproduce, iar tu te uiti la un fisier de configurare de 200 de linii incercand sa gasesti cifra care nu se potriveste intre client si server. Sau, varianta si mai frecventa: ai nevoie sa dai acces temporar unui coleg la un mediu intern si procesul dureaza mai mult decat problema pe care voia sa o rezolve. Daca ai simtit vreodata ca un VPN ar trebui sa fie o unealta, nu un proiect de intretinut, WireGuard e motivul pentru care lucrurile s-au schimbat.

WireGuard e un protocol si o implementare VPN open-source, licentiat GPLv2 pentru partea de kernel Linux, creat de Jason A. Donenfeld. Codul lui traieste direct in nucleul Linux (mainline din versiunea 5.6), ceea ce il face, in acelasi timp, extrem de rapid si extrem de mic: cateva mii de linii de cod, comparativ cu zecile de mii ale stivelor OpenVPN sau IPsec.

Ce este, mai exact, WireGuard

WireGuard nu e un “framework VPN” cu zeci de moduri de operare, cifruri optionale si combinatii de negociere. E un protocol cu o singura suita criptografica, fixa: Curve25519 pentru schimbul de chei, ChaCha20-Poly1305 pentru criptare autentificata, BLAKE2s pentru hashing. Nu exista optiuni de “downgrade” la un cifru mai slab, pentru ca nu exista optiuni deloc. Tot traficul circula peste UDP, fara handshake TCP-in-TCP si fara problemele de latenta pe care le aduce asta.

De ce conteaza abordarea asta

OpenVPN si IPsec au fost proiectate acum 20+ ani, cand negocierea flexibila a algoritmilor parea o idee buna: sistemele evoluau, cifrurile se schimbau, trebuia sa poti alege. In practica, flexibilitatea aia a devenit suprafata de atac. Fiecare optiune de configurare e o decizie pe care un administrator o poate lua gresit, iar fiecare mod de compatibilitate legacy e un cod care trebuie audiat si intretinut. WireGuard a ales opusul: o singura cale corecta, fara comutatoare. Rezultatul e o baza de cod suficient de mica pentru a fi citita si inteleasa de un singur om intr-un weekend, ceea ce a si facut posibil auditul formal al protocolului inainte sa intre in kernel.

Modelul de rutare e la fel de simplu: fiecare peer e identificat printr-o cheie publica, iar tabela de rutare e, de fapt, o asociere intre chei publice si subretele permise (“cryptokey routing”). Nu exista certificate, nu exista PKI, nu exista revocare de certificate la 3 dimineata pentru ca a expirat ceva. Ai cheia publica a peer-ului sau nu ai.

Ce primesti din cutie

Roaming transparent: un client care isi schimba IP-ul (trece de pe WiFi pe date mobile) nu pierde tunelul; WireGuard re-descopera endpoint-ul la urmatorul pachet valid.
“Silence” cand nu se intampla nimic: daca nu circula trafic, WireGuard nu trimite heartbeat-uri constante, ceea ce il face mai discret in retea si mai prietenos cu bateria pe mobil.
Performanta apropiata de linie: criptarea in kernel elimina context-switch-urile intre spatiul user si kernel pe care le are OpenVPN.
Configurare declarativa: un peer e un bloc de cateva linii (PublicKey, AllowedIPs, Endpoint); nu ai nevoie de un CA sau de un server separat de autentificare.
Suport nativ multi-platforma: kernel Linux, WireGuard-go pentru BSD/macOS/Windows userspace, clienti oficiali mobile.

Instalare WireGuard pe un VPS

Cea mai rapida cale de a avea un server WireGuard functional, cu UI web si generare de configuratii QR pentru clienti mobili, e wg-easy , un proiect open-source care pune un panou peste wg-quick:

mkdir -p ~/wg-easy && cd ~/wg-easy
docker run -d \
  --name wg-easy \
  -e WG_HOST=<ip-public-server> \
  -e PASSWORD_HASH='$2a$12$...' \
  -v ~/wg-easy/etc-wireguard:/etc/wireguard \
  -p 51821:51821/tcp \
  -p 51820:51820/udp \
  --cap-add NET_ADMIN \
  --cap-add SYS_MODULE \
  --sysctl net.ipv4.ip_forward=1 \
  --sysctl net.ipv4.conf.all.src_valid_mark=1 \
  --restart unless-stopped \
  ghcr.io/wg-easy/wg-easy

Portul de administrare (51821/tcp) nu trebuie sa fie expus liber pe internet. Restrictioneaza-l la IP-urile din care administrezi:

ufw allow 51820/udp
ufw deny 51821/tcp
ufw allow from <ip-ul-tau> to any port 51821 proto tcp

Daca preferi setup manual (fara UI), un VPS curat cu wireguard-tools instalat si un fisier /etc/wireguard/wg0.conf de cateva linii te pune pe picioare in sub 5 minute. Pentru orice varianta ai nevoie de un VPS cu kernel modern si acces root; vezi planurile noastre de servere virtuale daca vrei sa pornesti de la zero pe infrastructura noastra din Bucuresti.

Tipare de configurare care merita stiute

AllowedIPs nu inseamna doar rutare

Campul AllowedIPs are un rol dublu: pe langa faptul ca spune kernelului ce trafic sa trimita prin tunel, defineste si ce pachete sunt acceptate de la peer-ul respectiv (filtrare la nivel de sursa). Daca vrei split-tunnel (doar traficul catre reteaua interna trece prin VPN), pune acolo doar subreteaua interna, nu 0.0.0.0/0.

PersistentKeepalive pentru clienti in spatele NAT

Daca un client sta in spatele unui NAT simetric (cazul comun la retele mobile sau CGNAT), foloseste PersistentKeepalive = 25 pe partea clientului ca sa mentina mapping-ul NAT deschis. Fara asta, serverul poate incerca sa trimita trafic catre un endpoint care nu mai raspunde.

O cheie per dispozitiv, niciodata partajata

Genereaza o pereche de chei separata pentru fiecare dispozitiv/peer. E tentant sa refolosesti o configuratie intre laptop si telefon, dar pierzi granularitatea de a revoca accesul unui singur dispozitiv fara sa afectezi restul.

MTU conteaza mai mult decat pare

Peste conexiuni PPPoE sau alte tuneluri, MTU-ul implicit poate produce fragmentare silentioasa. Coboara MTU-ul interfetei WireGuard la 1420 (sau chiar 1280 pentru compatibilitate maxima) daca observi conexiuni care se blocheaza doar la transferuri mari.

Unde WireGuard nu e raspunsul potrivit

WireGuard e un protocol de tunel punct-la-punct, nu o platforma de management de flota. Nu are ACL-uri native, nu are SSO, nu are un panou central care sa-ti arate cine e conectat unde, in afara de ce iti construiesti tu deasupra (ca wg-easy). Daca ai nevoie de politici de acces per utilizator, integrare cu Google/Okta, sau management centralizat pentru zeci de birouri si sute de useri, o sa scrii singur tot layer-ul asta sau o sa alegi o unealta care il are deja inclus.

De asemenea, daca ai nevoie de retea de tip Layer 2 (broadcast, multicast, discovery intre dispozitive ca la un switch fizic), WireGuard nu e potrivit: e strict Layer 3, rutare IP.

Alternative pe care le-am luat in calcul

Tailscale : construit peste WireGuard, adauga coordonare automata a cheilor, NAT traversal cu relee DERP, SSO si ACL-uri. Foarte usor de pornit, dar planul de control ramane un SaaS proprietar (exista Headscale ca alternativa open-source pentru control plane).
ZeroTier : retea software-defined care emuleaza un switch Ethernet peste internet, cu suport Layer 2, propriu protocol (nu WireGuard).
OpenVPN/IPsec clasic: raman relevante acolo unde ai deja o infrastructura construita pe ele sau ai nevoie de compatibilitate cu echipamente vechi care nu suporta WireGuard.

Deci, sa-l rulezi?

Daca ai nevoie de un tunel punct-la-punct rapid, auditabil si usor de inteles, intre birouri, servere, sau pentru acces de administrare la infrastructura, WireGuard e alegerea corecta in 2026. Noi il rulam efectiv: avem wg-easy pe hosturile noastre docker si un VPN WireGuard dedicat pentru acces de operare la infrastructura interna, exact pentru ca nu vrem sa depindem de un CA care poate expira in cel mai prost moment posibil.

Daca vrei sa il rulezi pe propria infrastructura, porneste de la un VPS cu kernel modern, sau lasa-ne pe noi sa il configuram si sa il intretinem prin administrare de servere .