AmneziaWG

AmneziaWG — это WireGuard с обфускацией: тот же быстрый туннель, но пакеты в сети не похожи на WireGuard. В отличие от Hysteria2, у каждого устройства свой ключ: человек получает ключ на каждый телефон или компьютер и импортирует его в AmneziaVPN (или другое приложение AmneziaWG). На этой странице — профиль AmneziaWG, бэкенд ноды и устройства; как профиль создаётся и ставится на ноды, описано в разделе Профили.

Один профиль — одна версия, один порт#

• Профиль — это один интерфейс AmneziaWG на одном UDP-порту с одной версией протокола.
• Устройство (ключ) принадлежит одному профилю и работает на всех нодах, где этот профиль стоит. Конфиги для разных нод отличаются только адресом и публичным ключом ноды.
• У каждой ноды свой серверный ключ для профиля: взломанная нода не выдаёт остальные.
• Кому нужны обе версии или профиль с WARP и без, получает по устройству на каждый профиль.

Версии протокола#

Более старые версии (1.5, 1.0) не предлагаются. Смена версии строит для неё новый блок обфускации (поля 3.1 версия 2.0 не принимает), поэтому это критичное изменение.

Редактор показывает Самый старый клиент, который работает для выбранной версии. Старый клиент не откажется от конфига, а молча выбросит незнакомые ключи, и рукопожатие не пройдёт.

Тот же список показывается рядом с каждым конфигом, который получает человек.

Редактор профиля#

Над обычной формой у профиля AmneziaWG две свои карточки.

Версия протокола — выбор версии, самые старые клиенты и Вставить .conf: вставьте конфиг из AmneziaVPN или другого клиента AmneziaWG, и форма возьмёт из него версию, MTU и значения обфускации. Это происходит в браузере; ключи самого конфига не берутся и не сохраняются. Конфиг 1.5 или 1.0 переключит форму на 2.0; в обычном WireGuard брать нечего.

Как выглядят первые пакеты — каким рукопожатие видится со стороны:

Вид на порту, где такого трафика обычно не бывает, заметнее, и редактор об этом скажет. Выбор вида меняет только сигнатурные пакеты I1–I5: их клиент шлёт перед рукопожатием, а нода игнорирует. Ни один выданный конфиг от этого не ломается.

• Домен в пакетах — имя хоста, которое несут пакеты QUIC, DNS и SIP. Пусто — у каждого устройства своё случайное имя из встроенного списка (Случайный, Список).
• Своя подпись у каждого устройства — у каждого устройства свои сигнатурные пакеты этого вида, при каждом показе конфига одни и те же. Выключено — у всех устройств один набор. У STUN, WebRTC и DTLS пакеты у всех одинаковые, для них переключатель ничего не меняет.
• Новые значения всего блока заменяет мусор, S, H, таймеры и ключ защиты заголовков свежими случайными значениями. Клиентам тогда нужны новые параметры, поэтому при сохранении устройствам перевыпускаются конфиги.
• Маскировка N/100 оценивает настройки, а не цензора: высокое число значит, что в настройках не осталось известных примет. По щелчку видно стартовую оценку версии и каждую причину, по которой баллы убавились или прибавились.

Настройки#

Критичные настройки должны совпадать на ноде и у каждого клиента; их смена делает все устройства профиля устаревшими (см. Профили).

Основное

Обфускация

Продвинутое (поля 3.1 в версии 2.0 не действуют)

По ходу правки редактор предупреждает о допустимых, но рискованных значениях: слишком много мусорных пакетов, Jmax не меньше MTU, S4 не помещается в 1500 при этом MTU (с подсказкой подходящего MTU), значения H обычного WireGuard, узкий диапазон H, выключенные ответы с cookie, keepalive дольше таймаута NAT, вид на необычном порту.

Сети клиентов и адреса#

У каждого профиля AmneziaWG свои сети клиентов, и сети двух профилей AmneziaWG не должны пересекаться. Слоты панели — 10.66.4.0/22 с fd66:66:0:1::/64, потом 10.66.8.0/22 с fd66:66:0:2::/64 и так далее: в 10.66.0.0/16 их 63. Профиль, созданный без указания сетей (через API или как двойник), берёт первый свободный слот. Редактор подставляет первый слот; если его уже занял другой профиль, поле скажет «overlaps the network of profile …»: впишите свободную сеть, например следующий слот.

Нода занимает .1; каждое устройство получает следующий свободный адрес профиля. Когда сеть заполнена, новое устройство не создаётся («Сеть клиентов профиля заполнена»): удалите ненужные устройства или возьмите другой профиль. Как только профиль встал на ноду или у него появилось устройство, его сети закреплены: в каждом выданном конфиге адрес из них.

Бэкенд ноды: userspace или модуль ядра#

Нода запускает AmneziaWG одним из двух способов — это одна настройка на все её профили AmneziaWG. Она находится в карточке Бэкенд AmneziaWG в Настройках ноды, а первый профиль AmneziaWG, который ставят на ноду, задаёт тот же вопрос.

Смена применяется сразу; подключённые устройства переподключаются. Работает сейчас показывает, что сообщает нода, например «userspace · amneziawg-go v3.1…».

Подготовка модуля ядра#

Модуль собирается из исходников на самой ноде, а для этого ставятся пакеты от root. Есть два пути.

Из панели (для агентов, которые это умеют). Выберите Модуль ядра и нажмите Сохранить. Панель сначала спросит ноду:

• модуль уже загружен — настройка просто переключится;
• его можно собрать — окно Собрать модуль ядра на …? объяснит, что будет. Нода сама установит всё для сборки (dkms на Ubuntu, make, gcc и заголовки своего ядра: несколько сотен МБ), соберёт и загрузит модуль. Обычно это 1–5 минут, жёсткий предел — 15. Всё это время AmneziaWG работает как раньше. Когда модуль готов, нода переключается на него, и подключённые устройства переподключаются один раз;
• здесь его не собрать — карточка скажет почему и покажет команду для ручного запуска.

Карточка следит за сборкой: «Готовлю модуль… (идёт N мин)», потом Модуль готов или Не удалось с причиной и кнопкой Повторить. Неудачная сборка ничего не меняет: нода остаётся на прежнем бэкенде. Журнал сборки — на ноде:

journalctl -u mistgate-awg-prepare

Вручную, на ноде от root. Без --yes команда только печатает план:

mistgate-node awg prepare-kernel          # напечатать план, ничего не запускать
mistgate-node awg prepare-kernel --yes    # выполнить (жёсткий предел 15 минут)
mistgate-node awg prepare-kernel --verify-only   # проверить уже установленный модуль

Для сборки нужны Ubuntu или Debian, версия ядра, которую нода может определить, systemd и выключенный Secure Boot (ядро не пустит неподписанный модуль). В контейнере (OpenVZ, LXC, Docker и подобных) это невозможно: там выберите Userspace. Окно добавления профиля по проверке заголовков ядра у доктора говорит, готова ли нода к модулю.

Запускать сборку модуля может только владелец.

Строка состояния профиля на ноде#

На вкладке Профили ноды у каждого профиля AmneziaWG видно, что нода сообщила в последний раз: бэкенд, число устройств, сколько из них онлайн (рукопожатие за последние 190 с), сколько ни разу не подключались и когда было последнее рукопожатие. Когда никто не проходит, две подсказки указывают на причину:

• «До порта не дошёл ни один пакет»: хостер или фаервол режет этот UDP-порт. Попробуйте другой порт.
• «Пакеты приходят, но рукопожатие не завершается»: параметры обфускации на ноде и в конфиге различаются, обычно из-за устаревшего конфига.

Остальное покрывает проверка доктора Бэкенд AmneziaWG: нет рабочего бэкенда, /dev/net/tun спрятан старым юнитом службы (один раз выполните mistgate-node install текущим бинарником), нет модуля ядра или фаервол хоста (часто политика FORWARD у Docker) отбрасывает то, что клиенты шлют в интернет. См. Здоровье.

Устройства и ключи#

Устройство создаёт админ в карточке пользователя или сам человек на своей странице, если включено самообслуживание (см. Страница пользователя).

В карточке пользователя, в разделе Устройства → Ключи AmneziaVPN, кнопка Добавить устройство открывает окно Добавить устройство для …:

• Профиль — если в группе несколько профилей AmneziaWG, стоящих на нодах;
• Платформа — iPhone / iPad, Android, Windows, Mac, Linux или Другое;
• Название — до 40 символов; пусто — название платформы.

Создать делает пару ключей и адрес в туннеле, и сразу открывается окно с конфигом. Устройство считается в лимите устройств человека. Создание откажет, если лимит исчерпан, пользователь отключён, ключи AmneziaVPN у него выключены, профиля нет в его группе или он не стоит ни на одной доступной ему ноде, либо сеть клиентов заполнена.

Показать ключ открывает то же окно для существующего устройства:

• QR-код файла .conf («В AmneziaWG или AmneziaVPN: «+» → сканировать QR-код»); если конфиг слишком длинный для QR-кода, окно так и скажет;
• Нода — если профиль стоит на нескольких нодах: по конфигу на каждую ноду;
• Скачать .conf, Скопировать ключ vpn://, Скопировать текст .conf;
• Самый старый клиент и заметки об этом конфиге;
• Заменить ключ — новая пара ключей для того же устройства и адреса. Старый ключ сразу перестаёт работать, новый нужно заново добавить в приложение;
• Удалить — удаляет устройство; его ключ перестаёт работать на всех нодах.

Открытие конфига отмечает, что у устройства актуальная версия: значок устарел (после критичного изменения профиля или смены порта на ноде) пропадает, когда человек импортировал новый конфиг.

Ключи vpn:// и файлы .conf#

На компьютере импортируйте файл, а не ключ: с ключом MTU может оказаться неверным, и соединение не заработает.

В конфиге AllowedIPs = 0.0.0.0/0, ::/0 (всё через туннель) и два DNS-сервера. Это первые два обычных IPv4-сервера из DNS-пресета человека; если в пресете таких нет, записываются встроенные 1.1.1.1 и 8.8.8.8, и окно об этом предупредит. AmneziaWG не умеет раздельный DNS: для всех доменов используются основные серверы. См. DNS.

Приложение AmneziaVPN#

На телефоне: открыть AmneziaVPN, нажать «+», вставить ключ (или отсканировать QR-код), нажать «Продолжить». На компьютере: AmneziaVPN → «+» → «Файл с настройками подключения» → выбрать скачанный .conf. Страница человека даёт эти шаги на его языке и для его платформы.

AmneziaWG через подписку#

Приложения на ядре mihomo тоже умеют AmneziaWG. Если у человека включены ключи AmneziaVPN, а его приложение получает формат Mihomo, в подписку попадают и его серверы AmneziaWG. У приложения Mihomo нет своего идентификатора устройства, поэтому все приложения Mihomo одного человека делят один ключ на профиль, созданный при первом запросе подписки, и считаются в лимите одним устройством подписки. См. Подписки.