WireGuard

Introduction

L'utilisation d'un VPN permet d'accéder à distance aux ressources locales du serveur sans les exposer sur internet. C'est notamment une manière propre de sécuriser l'accès à la console SSH, plutôt que d'exposer le port sur internet. C'est pouvoir se connecter à son réseau où que l'on soit, de manière sécurisée, et de faire dialoguer des machines qui sont sur des réseaux différents.

Ici nous utiliserons WireGuard, un serveur VPN sécurisé et très performant, à l'aide des conteneurs :

• wg-easy pour le serveur, qui propose une interface web très simple pour contrôler les connexions et télécharger les fichiers de conf (notamment par QR code pour les téléphones)
• WireGuard pour les clients Linux

Il existe aussi des clients Windows, macOS, iOS et Android.

Le principe est le suivant :

• Sur internet, n'importe qui peut contacter n'importe quel box internet et donc essayer de contacter n'importe quel serveur exposé.
• Votre serveur est sur votre réseau local. Il est accessible depuis le réseau local mais pas depuis internet, mis à part les services exposés (comme nous l'avons fait avec Dockge). Pour accéder aux ressources non exposées, vous devez être connecté sur le même réseau que votre serveur et donc être chez vous. De plus, vous devez laisser ouverts les ports utilisés par vos services à travers le pare-feu de votre serveur.
• Nous souhaitons ici au contraire, depuis n'importe où, pouvoir accéder de manière sécurisée aux services non exposés sur internet du serveur, comme la console SSH qui permet de se connecter à la machine par exemple.
• Nous souhaitons aussi accéder aux services d'autres serveurs, et par exemple relier de manière sécurisée deux instances de Dockge pour tout contrôler depuis la même interface.

Pour cela nous allons créer un réseau privé virtuel, ou VPN, c'est-à-dire un tunnel sécurisé auquel personne n'a accès à part les machines que vous relierez entre elles. Elles feront partie d'un nouveau réseau et pourront dialoguer entre elles comme dans un réseau local.

D'autre part, vous pourrez ajouter votre téléphone, un ordinateur portable ou n'importe quel appareil au réseau pour pouvoir utiliser vos ressources depuis vos appareils quotidiens, où que vous soyez.

Dans cette illustration, la machine 1 est sur deux réseaux :

• son réseau local (tous les appareils liés à la box, avec une adresse IP du type 192.168.x.x donc ici la machine 1 et la machine 2)
• le réseau du VPN (tous les appareils reliés au VPN, avec une seconde adresse IP du type 10.8.x.x donc ici la machine 1 et 4)

On peut aussi faire en sorte que les machines reliées au réseau virtuel partagent les accès à leur réseau local. Ici nous ne le ferons pas, pour des raisons de sécurité, et de complexité en termes de sous-réseau (si les deux machines distantes ont des machines locales qui utilisent la même adresse IP locale, par exemple 192.168.1.1, cela posera des conflits).

Ainsi, sur le réseau virtuel, seules les machines directement reliées pourront dialoguer entre elles depuis ce réseau. Elles ne pourront pas dialoguer avec une machine située sur un autre réseau local et non reliée au VPN.

Côté serveur

Structure des dossiers

---
services:
  wg-easy:
    environment:
      - INSECURE=true # désactive le HTTPS propre à l'interface web ; sans risque en LAN seul ou derrière SWAG, à retirer sinon
    image: ghcr.io/wg-easy/wg-easy:15
    container_name: wg-easy
    networks:
      wg:
        ipv4_address: 10.42.42.42
        ipv6_address: fdcc:ad94:bacf:61a3::2a
    volumes:
      - ./etc_wireguard:/etc/wireguard
      - /lib/modules:/lib/modules:ro
    ports:
      - "51820:51820/udp"
      - "51821:51821/tcp"
    restart: unless-stopped
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv6.conf.all.disable_ipv6=0
      - net.ipv6.conf.all.forwarding=1
      - net.ipv6.conf.default.forwarding=1

networks:
  wg:
    driver: bridge
    enable_ipv6: true
    ipam:
      driver: default
      config:
        - subnet: 10.42.42.0/24
        - subnet: fdcc:ad94:bacf:61a3::/64

---
services:
  wg-easy:
    # ...
    labels:
      - com.centurylinklabs.watchtower.enable=true

Récupérer les fichiers de configuration

Pour configurer les clients :

Sur le serveur client

Structure des dossiers

sudo mkdir -p /srv/docker/wireguard/config/wg_confs

sudo nano /srv/docker/wireguard/config/wg_confs/wg0.conf

sudo cp ~/wg0.conf /srv/docker/wireguard/config/wg_confs

---
services:
  wireguard:
    image: lscr.io/linuxserver/wireguard:latest
    container_name: wireguard
    network_mode: host
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    environment:
      - TZ=Europe/Paris
    volumes:
      - /srv/docker/wireguard/config:/config
      - /lib/modules:/lib/modules
    restart: unless-stopped

cd /srv/docker/wireguard
sudo docker compose up -d

Autres appareils

• Mobile : installez WireGuard et scannez le QR code depuis l'interface web (http://ipduserveur:51821)
• Ordinateur : installez le client WireGuard et importez le fichier de configuration téléchargé.

Et voici le schéma final de l'installation :