How to use WireGuard in the FreeBSD kernel.

1. WireGuard in the kernel
2021 年 2 月 19 日
（株）創夢 内藤 祐一郎

2. WireGuard とは
●
VPN を構築するためのプロトコル
●
IPsec よりも簡単、高速に構築できると謳っています
●
現在 FreeBSD にはユーザランドの実装があります
– net/wireguard または net/wireguard-go
●
13.0 からカーネルの実装が利用可能になります
●
今回はカーネルの実装を使ってみました

3. WireGuard とは
インターネット
gw0
gw1
gw2
gw3
wg0
wg0
wg0
wg1
lan0
lan1
lan2
lan3
wg0

4. WireGuard のプロトコル
●
カプセリングには UDP を使用します
●
WireGuard の受信側、送信側それぞれに任意のポートを
割り当てることができます
●
NAT 越えについて適宜ポートを開けるなどしてください

5. WireGuard の鍵生成
●
WireGuard は鍵交換に Curve25519 を使用します
●
鍵交換用に秘密鍵・公開鍵を生成する必要があります
●
32bytes の値ならば何でも良いので、
次のように乱数を秘密鍵に使用する例が多いです
– openssl rand -base64 32
●
同じ秘密鍵からは同じ公開鍵が生成されます
●
予め相手に自分の公開鍵を送っておきます
●
公開鍵が自身の識別子としても使われます

6. 鍵生成の例
●
秘密鍵と受信ポートを指定して wg0 を作成します
●
ifconfig wg0 create private-key `openssl rand -base64 32`
listen-port 999
– create と同時に指定しないとエラーになります
●
生成された秘密鍵を確認します
●
ifconfig wg0 | grep private-key
– private-key:
KI/c0H6/jZgfDRxb7COiAqRebRDFY2EITrJSgkrf/V4=
●
この値を覚えておきます

7. 鍵生成の例
●
公開鍵を確認します
●
ifconfig wg0 | grep public-key
– public-key:
12+uyJEsjFSZ8K28pNYl9QTVnbQdWYSU/d3AeQFjMn
Q=
●
この公開鍵を相手に送ります

8. 相手の登録
●
WireGuard では一つの wg インタフェースに複数の相手を
設定できます
●
相手が使用しているアドレスレンジを設定し、 wg インタ
フェースから出るパケットがどの相手に届けられるべきか
を設定します
●
逆に相手から送られてきたパケットが設定したアドレスレ
ンジに入っているかどうかをチェックします

9. 相手の登録例
項目 値
公開鍵 S9pTslxPufowKQNNEDAUI9HJiQS2GEUoolYMZololI=
接続先アドレス 192.0.2.1
接続先ポート 888
アドレスレンジ 10.0.3.0/24, 10.0.4.0/24
ifconfig wg0 peer public-key S9pTslxPufowKQNNEDAUI9HJi/QS2GEUoolYMZololI=
endpoint 192.0.2.1:888
allowed-ips 10.0.3.0/24 allowed-ips 10.0.4.0/24

10. 相手の一覧
●
ifconfig wg0 peer-list
[Peer]
PublicKey = S9pTslxPufowKQNNEDAUI9HJi/QS2GEUoolYMZololI=
Endpoint = 192.0.2.1:888
AllowedIPs = 10.0.2.0/24, 10.0.3.0/24
[Peer]
・・・

11. インタフェースの UP
●
作成した wg0 を UP して使えるようにします
– ifconfig wg0 up

12. 経路制御
●
allowed-ips に設定したアドレスレンジを
wg0 から出ていくパケットの経路として設定します
●
先ほどの例では以下のように設定します
route add -net 10.0.2.0/24 -iface wg0
route add -net 10.0.3.0/24 -iface wg0

13. ●
以下のようなネットワーク構成で、
gw2 が lan0,lan1 へのアクセスを許可する場合、
allowed-ips には lan0, lan1 を書く必要があります
●
経路表も同様に作成します
allowed-ips の注意点
gw0
gw1
gw2
lan1
lan0
lan2

14. ダイナミックルーティング
●
wg インタフェースに割り当てる peer を一つに限れば
ルーティングデーモンを使用して
動的に経路表を作成することができます
●
この場合、 allowed-ips には 0.0.0.0/0 を指定します
– どのようなパケットでも素通しになります
●
wg インタフェースに IP アドレスを割り当ててルーティン
グデーモン同士が通信できるようにします

15. IPv6
●
IPv6 UDP でカプセリングする場合には、
endpoint に与えるアドレスを IPv6 にします
– ポート番号がコロン区切りですが、最後のコロンまでが
IPv6 アドレスとして解釈されます
●
wg インタフェースに IPv6 パケットを流すには
– allowed-ips に相手の IPv6 アドレスレンジを設定します
– IPv6 の経路表を作成します

16. ifconfig の注意点
●
create と同時に private-key の設定が必須です
➔ rc.conf には create_args_wg0 で指定します
●
相手の登録時に必ず endpoint が必要です
➔ 不特定の相手を待つことができません
●
pre-shared-key に未対応です
●
相手の削除ができません

17. まとめ
●
FreeBSD 13 以降で In Kernel WireGuard が使えるように
なります
●
ifconfig のインタフェースはまだ荒削りな感じです
●
マニュアルは wg(4) にあります