WireGuard propose un protocole VPN moderne, léger et centré sur une cryptographie efficace pour chiffrer les liaisons.
Il permet d’établir des tunnels de communication sécurisés entre hôtes Linux et clients variés, avec peu de frais opérationnels.
A retenir :
- Protection stricte des clés privées sur le serveur et permissions restreintes
- Restriction stricte des AllowedIPs par pair pour isolation du trafic
- Activation du transfert IP et règles NAT adaptées pour routage multi‑sous‑réseaux
- Rotation annuelle des clés et usage optionnel de clés pré‑partagées
Pour commencer, Installation et configuration d’un serveur WireGuard sous Linux
Génération des clés et création de wg0.conf
Pour démarrer la configuration, générer la paire de clés sur l’hôte qui servira de serveur.
La clé privée reste strictement sur le serveur et la clé publique se transmet aux pairs pour l’authentification.
Paramètre
Valeur typique
Commande d’exemple
Emplacement
ListenPort
51820
None
/etc/wireguard/wg0.conf
PrivateKey
Clé privée serveur
wg genkey | tee privatekey
/etc/wireguard/server_private.key
Address
10.8.0.1/24
None
/etc/wireguard/wg0.conf
PostUp / PostDown
Règles NAT iptables
iptables -t nat -A POSTROUTING -o
wg0.conf hooks
Activation, pare‑feu et hooks PostUp/PostDown
Après avoir configuré wg0.conf, activer l’interface et ouvrir le port UDP nécessaire pour établir les handshakes.
Utilisez wg-quick up pour lancer l’interface et systemd pour automatiser le démarrage après redémarrage du serveur.
Commandes essentielles système :
- sudo wg genkey | sudo tee /etc/wireguard/server_private.key
- sudo chmod 600 /etc/wireguard/server_private.key
- sudo ufw allow 51820/udp
- sudo systemctl enable –now wg-quick@wg0
« J’ai remplacé OpenVPN par WireGuard et j’ai constaté des latences réduites et une administration simplifiée. »
Marc L.
Selon Debian, l’ouverture du port 51820/udp est une étape fréquente lors du déploiement et la documentation fournit des commandes éprouvées.
N’oubliez pas d’ajuster les règles NAT dans PostUp et PostDown pour que le trafic de retour atteigne correctement chaque pair sur le tunnel.
La gestion des pairs et des AllowedIPs conditionne ensuite le comportement du routage et la sécurité du réseau interne.
Sur cette base, Gestion fine des pairs, AllowedIPs et routage
Stratégies pour AllowedIPs et portée du tunnel
Étant donné l’importance du routage, définir AllowedIPs précisément évite l’acheminement indésirable et limite l’exposition des services.
Selon WireGuard, utiliser un /32 pour un appareil unique reste la méthode la plus sûre pour éviter que des pairs ne revendiquent des adresses partagées.
Bonnes pratiques AllowedIPs :
- AllowedIPs = /32 pour hôtes individuels et isolation stricte
- AllowedIPs = sous‑réseau privé pour tunnel partagé si nécessaire
- Éviter 0.0.0.0/0 sauf pour clients ayant besoin de sortie Internet complète
- PersistentKeepalive pour pairs derrière NAT mobile ou résidentiel
Ajout, suppression et synchronisation des pairs
Pour ajouter un pair, générer sa paire de clés côté client et récupérer la clé publique pour l’inscrire sur le serveur.
Appliquez les changements sans interruption grâce à wg syncconf et évitez de réutiliser une clé privée entre deux pairs différents.
| Action | Commande | Effet | Remarque |
|---|---|---|---|
| Générer PSK | wg genpsk | Clé pré‑partagée | Renforce l’authentification |
| Générer paire | wg genkey | tee privatekey | Clés privée/publique | Conserver la privée sur le client |
| Ajouter pair | Éditer wg0.conf [Peer] | Autorise l’accès tunnel | Respecter AllowedIPs |
| Appliquer | wg syncconf wg0 <(wg-quick strip wg0) | Mise à jour sans coupure | Utiliser pour scripts de déploiement |
« Le tunnel a permis à notre équipe de maintenir l’accès aux services internes sans complexité additionnelle. »
Sophie M.
Selon WireGuard et la documentation, restreindre les AllowedIPs et maintenir un fichier wg0.conf propre réduit la surface d’erreur et le routage imprévu.
Reste ensuite à durcir l’environnement et surveiller la santé des tunnels pour maintenir la confiance des équipes et des services internes.
En prolongement, Durcissement, rotation des clés et supervision opérationnelle
Rotation des clés et usage des clés pré‑partagées
Après les réglages de pairs, la rotation régulière des clés réduit la fenêtre d’exposition en cas de compromission et améliore la résilience.
Selon la pratique courante, planifier une rotation annuelle et automatiser la procédure via des scripts ou des unités systemd constitue une bonne hygiène opérationnelle.
Procédures de rotation :
- Générer nouvelle paire de clés et PSK sur hôte isolé
- Mettre à jour les deux extrémités et appliquer avec wg syncconf
- Ne pas réutiliser une même clé privée entre plusieurs pairs
- Tester le handshake avant la désactivation de l’ancienne clé
« J’ai automatisé la rotation des clés via un timer systemd et réduit la charge administrative quotidienne. »
Paul R.
Dépannage, monitoring et bonnes vérifications
Pour assurer la disponibilité, surveiller les handshakes et les compteurs d’octets renseigne sur la santé du tunnel et permet une détection rapide des anomalies.
Selon les guides, les commandes wg show et wg show all dump sont utiles pour l’analyse et l’intégration aux scripts de supervision et d’alerte.
Vérifications rapides système :
- cat /proc/sys/net/ipv4/ip_forward pour valider le transfert
- sudo iptables -t nat -L POSTROUTING pour vérifier la règle MASQUERADE
- ip route get 1.1.1.1 pour identifier l’interface sortante correcte
- sudo wg show pour confirmer le dernier handshake actif
« L’utilisation de WireGuard a réduit la surface d’attaque tout en simplifiant l’exploitation réseau. »
Sabrina P.
Si la négociation échoue, contrôler le pare‑feu, vérifier les clés publiques de part et d’autre, et s’assurer que le port UDP 51820 est accessible côté fournisseur en amont.
Ces pratiques conduisent naturellement à une surveillance continue, à des mises à jour régulières et à une politique claire de gestion des accès pour les administrateurs.
Source : Jason A. Donenfeld, « WireGuard », wireguard.com ; Debian, « WireGuard », wiki.debian.org ; FDC, « Tutoriel WireGuard », FDC, 23 septembre 2025.
