feat: WireGuard VPS туннель — установка в 1 клик
- install.sh: интерактивный + неинтерактивный (--vps/--client) установщик - watchdog.sh: Starlink-оптимизированный мониторинг с backoff - uninstall.sh: полная очистка - README.md: документация на русском языке Архитектура: VPS (10.0.0.1) ←WireGuard UDP→ RPi (10.0.0.2) DNAT портов 80/443 с VPS на RPi через iptables PersistentKeepalive 21с для Starlink/NAT
This commit is contained in:
Deploy Bot
323
README.md
Normal file
323
README.md
Normal file
@@ -0,0 +1,323 @@
|
||||
# WireGuard VPS Tunnel — 1-Click Installer
|
||||
|
||||
Автоматическая настройка WireGuard-туннеля между VPS (с публичным IP) и домашним сервером за NAT (Raspberry Pi, Orange Pi, Starlink и т.д.).
|
||||
|
||||
## Архитектура
|
||||
|
||||
```
|
||||
Интернет
|
||||
│
|
||||
┌────────┴────────┐
|
||||
│ VPS (сервер) │
|
||||
│ Публичный IP │
|
||||
│ например: │
|
||||
│ 2.59.219.234 │
|
||||
│ │
|
||||
│ wg0: 10.0.0.1 │
|
||||
│ :51820 (UDP) │
|
||||
│ │
|
||||
│ iptables DNAT: │
|
||||
│ :80 → 10.0.0.2 │
|
||||
│ :443 → 10.0.0.2 │
|
||||
└────────┬────────┘
|
||||
│
|
||||
╔═════════════╧═════════════╗
|
||||
║ WireGuard UDP :51820 ║
|
||||
║ (PersistentKeepalive=21)║
|
||||
╚═════════════╤═════════════╝
|
||||
│
|
||||
┌────────┴────────┐
|
||||
│ Домашний сервер │
|
||||
│ (за NAT/CGNAT) │
|
||||
│ Raspberry Pi │
|
||||
│ Starlink │
|
||||
│ │
|
||||
│ wg0: 10.0.0.2 │
|
||||
│ │
|
||||
│ Watchdog │
|
||||
│ (мониторинг) │
|
||||
└────────┬────────┘
|
||||
│
|
||||
┌────────┴────────┐
|
||||
│ Nginx Proxy │
|
||||
│ Manager :80,443│
|
||||
│ → backend │
|
||||
└─────────────────┘
|
||||
```
|
||||
|
||||
**Как это работает:**
|
||||
|
||||
1. VPS принимает входящие соединения на порты 80 и 443
|
||||
2. iptables перенаправляет трафик через WireGuard-туннель на домашний сервер (10.0.0.2)
|
||||
3. Домашний сервер (RPi) инициирует соединение с VPS — работает через любой NAT
|
||||
4. `PersistentKeepalive = 21` секунда поддерживает туннель активным даже при отсутствии трафика
|
||||
5. Watchdog на RPi мониторит состояние туннеля и перезапускает при обрыве
|
||||
|
||||
## Быстрый старт (1 команда)
|
||||
|
||||
### На VPS:
|
||||
```bash
|
||||
curl -sSL https://raw.githubusercontent.com/user/wireguard-vps-tunnel/main/install.sh | sudo bash
|
||||
# Выбрать "1) VPS"
|
||||
```
|
||||
|
||||
### На домашнем сервере (Raspberry Pi):
|
||||
```bash
|
||||
curl -sSL https://raw.githubusercontent.com/user/wireguard-vps-tunnel/main/install.sh | sudo bash
|
||||
# Выбрать "2) Домашний сервер"
|
||||
```
|
||||
|
||||
Или неинтерактивный режим:
|
||||
|
||||
```bash
|
||||
# VPS
|
||||
sudo ./install.sh --vps --ports 80,443
|
||||
|
||||
# Клиент
|
||||
sudo ./install.sh --client --vps-ip 2.59.219.234 --keepalive 21
|
||||
```
|
||||
|
||||
## Ручная установка
|
||||
|
||||
### 1. Клонирование репозитория
|
||||
|
||||
```bash
|
||||
git clone https://github.com/user/wireguard-vps-tunnel.git
|
||||
cd wireguard-vps-tunnel
|
||||
```
|
||||
|
||||
### 2. Установка на VPS
|
||||
|
||||
```bash
|
||||
sudo ./install.sh --vps --vps-ip 2.59.219.234 --ports 80,443
|
||||
```
|
||||
|
||||
Скрипт автоматически:
|
||||
- Установит `wireguard-tools`
|
||||
- Сгенерирует ключи
|
||||
- Настроит `wg0` интерфейс
|
||||
- Настроит iptables (DNAT + FORWARD)
|
||||
- Включит IP-форвардинг
|
||||
- Запустит systemd-сервис
|
||||
|
||||
### 3. Установка на домашний сервер
|
||||
|
||||
```bash
|
||||
sudo ./install.sh --client --vps-ip 2.59.219.234 --keepalive 21
|
||||
```
|
||||
|
||||
Скрипт автоматически:
|
||||
- Установит `wireguard-tools`
|
||||
- Сгенерирует ключи
|
||||
- Настроит `wg0` интерфейс
|
||||
- Установит watchdog для мониторинга туннеля
|
||||
- Запустит systemd-сервисы
|
||||
|
||||
### 4. Проверка
|
||||
|
||||
```bash
|
||||
# На VPS
|
||||
ping 10.0.0.2
|
||||
|
||||
# На домашнем сервере
|
||||
ping 10.0.0.1
|
||||
```
|
||||
|
||||
## Конфигурация
|
||||
|
||||
Все настройки сохраняются в `/etc/wireguard-vps-tunnel/config`:
|
||||
|
||||
```bash
|
||||
MODE="vps" # vps или client
|
||||
VPS_PUBLIC_IP="2.59.219.234"
|
||||
CLIENT_WG_IP="10.0.0.2"
|
||||
SERVER_WG_IP="10.0.0.1"
|
||||
WG_PORT="51820"
|
||||
PORTS="80,443"
|
||||
KEEPALIVE="21"
|
||||
```
|
||||
|
||||
Ключи хранятся в `/etc/wireguard-vps-tunnel/`:
|
||||
- `server_private.key` / `server_public.key`
|
||||
- `client_private.key` / `client_public.key`
|
||||
|
||||
## Опции командной строки
|
||||
|
||||
| Опция | Описание | По умолчанию |
|
||||
|-------|----------|-------------|
|
||||
| `--vps` | Режим VPS (сервер) | — |
|
||||
| `--client` | Режим клиента (домашний сервер) | — |
|
||||
| `--vps-ip IP` | Публичный IP VPS | автоопределение |
|
||||
| `--client-wg-ip IP` | WireGuard IP клиента | `10.0.0.2` |
|
||||
| `--ports PORT,...` | Порты для проброса (VPS) | `80,443` |
|
||||
| `--wg-port PORT` | Порт WireGuard | `51820` |
|
||||
| `--keepalive SEC` | PersistentKeepalive (сек) | `21` |
|
||||
| `--help` | Справка | — |
|
||||
|
||||
## Watchdog (мониторинг туннеля)
|
||||
|
||||
Watchdog работает только на клиенте (домашний сервер) и выполняет:
|
||||
|
||||
1. Проверяет, что интерфейс `wg0` поднят
|
||||
2. Проверяет доступность VPS через туннель (`ping 10.0.0.1`)
|
||||
3. Проверяет доступность VPS через интернет (`ping VPS_IP`)
|
||||
4. Если туннель не работает, но VPS доступен — перезапускает WireGuard
|
||||
5. Использует экспоненциальную отсрочку при повторных сбоях:
|
||||
- 10с → 20с → 40с → 80с → 120с (максимум)
|
||||
6. После 3 успешных проверок подряд сбрасывает отсрочку
|
||||
|
||||
**Логи:** `/var/log/wg-watchdog.log` (авторотация при 10 МБ)
|
||||
|
||||
**Управление:**
|
||||
```bash
|
||||
systemctl status wg-watchdog # Статус
|
||||
systemctl restart wg-watchdog # Перезапуск
|
||||
tail -f /var/log/wg-watchdog.log # Логи в реальном времени
|
||||
```
|
||||
|
||||
## Сравнение: WireGuard vs SSH Reverse Tunnel
|
||||
|
||||
| Критерий | WireGuard | SSH Reverse Tunnel |
|
||||
|----------|-----------|-------------------|
|
||||
| Протокол | UDP (kernel) | TCP (userspace) |
|
||||
| Производительность | ~1 Gbps | ~100 Mbps |
|
||||
| Задержка | Минимальная | TCP-over-TCP проблема |
|
||||
| Starlink | ✅ Оптимально (UDP) | ❌ Плохо (TCP через TCP) |
|
||||
| Переподключение | Мгновенное | Заметная задержка |
|
||||
| NAT traversal | PersistentKeepalive | Autossh + мониторинг |
|
||||
| Проброс портов | iptables DNAT | `ssh -R` |
|
||||
| Отказоустойчивость | Встроенная | Требует autossh |
|
||||
| Нагрузка на CPU | Минимальная (kernel) | Заметная (шифрование в userspace) |
|
||||
|
||||
**Вывод:** WireGuard превосходит SSH reverse tunnel по всем параметрам для production-использования, особенно на Starlink.
|
||||
|
||||
## Starlink: особенности
|
||||
|
||||
Starlink использует CGNAT (Carrier-Grade NAT), что означает:
|
||||
|
||||
- **Нет публичного IPv4** — домашний сервер недоступен из интернета напрямую
|
||||
- **Высокая задержка** — 25-60 мс (спутниковая связь)
|
||||
- **Кратковременные обрывы** — при переключении между спутниками
|
||||
- **UDP работает лучше TCP** — меньше проблем с TCP congestion control
|
||||
|
||||
**Рекомендации для Starlink:**
|
||||
|
||||
1. `PersistentKeepalive = 21` — оптимальное значение (каждые 21 сек отправляет keepalive-пакет)
|
||||
2. Watchdog обязателен — автоматически восстанавливает туннель после обрывов
|
||||
3. Не используйте SSH reverse tunnel — TCP-over-TCP на спутниковом канале работает плохо
|
||||
4. MTU = 1420 (стандартный для WireGuard) — не меняйте без необходимости
|
||||
|
||||
## Безопасность
|
||||
|
||||
- **Ключи**: приватные ключи хранятся с правами `600` (только root)
|
||||
- **Фаервол**: iptables правила применяются атомарно через `PostUp`/`PostDown`
|
||||
- **SSH**: парольная аутентификация **НЕ отключается** — скрипт не трогает sshd_config
|
||||
- **Порты**: открываются только указанные порты (по умолчанию 80 и 443)
|
||||
- **WireGuard**: использует современную криптографию (Curve25519, ChaCha20, BLAKE2s)
|
||||
|
||||
### Рекомендации по усилению безопасности:
|
||||
|
||||
```bash
|
||||
# На VPS: ограничить доступ к порту WireGuard только с IP клиента (если известен)
|
||||
iptables -A INPUT -p udp --dport 51820 -s <IP_КЛИЕНТА> -j ACCEPT
|
||||
iptables -A INPUT -p udp --dport 51820 -j DROP
|
||||
|
||||
# Или ограничить rate limiting:
|
||||
iptables -A INPUT -p udp --dport 51820 -m limit --limit 10/sec -j ACCEPT
|
||||
iptables -A INPUT -p udp --dport 51820 -j DROP
|
||||
```
|
||||
|
||||
## Устранение неполадок
|
||||
|
||||
### Туннель не поднимается
|
||||
|
||||
```bash
|
||||
# Проверить статус
|
||||
systemctl status wg-quick@wg0
|
||||
|
||||
# Проверить конфигурацию
|
||||
wg show
|
||||
|
||||
# Проверить логи
|
||||
journalctl -u wg-quick@wg0 -n 50
|
||||
```
|
||||
|
||||
### Пинг не проходит
|
||||
|
||||
```bash
|
||||
# Проверить что интерфейс поднят
|
||||
ip link show wg0
|
||||
|
||||
# Проверить IP-адреса
|
||||
ip addr show wg0
|
||||
|
||||
# Проверить что порт открыт на VPS
|
||||
# На клиенте:
|
||||
nc -zvu <VPS_IP> 51820
|
||||
```
|
||||
|
||||
### Порты не пробрасываются
|
||||
|
||||
```bash
|
||||
# Проверить правила iptables на VPS
|
||||
iptables -t nat -L PREROUTING -n
|
||||
iptables -L FORWARD -n
|
||||
|
||||
# Проверить IP-форвардинг
|
||||
sysctl net.ipv4.ip_forward # Должно быть = 1
|
||||
```
|
||||
|
||||
### Watchdog не запускается
|
||||
|
||||
```bash
|
||||
systemctl status wg-watchdog
|
||||
journalctl -u wg-watchdog -n 50
|
||||
cat /var/log/wg-watchdog.log
|
||||
```
|
||||
|
||||
### Полный сброс и переустановка
|
||||
|
||||
```bash
|
||||
# Деинсталляция
|
||||
sudo ./uninstall.sh
|
||||
|
||||
# Переустановка
|
||||
sudo ./install.sh --vps --vps-ip <IP>
|
||||
```
|
||||
|
||||
## Деинсталляция
|
||||
|
||||
```bash
|
||||
sudo ./uninstall.sh
|
||||
```
|
||||
|
||||
Опции:
|
||||
- `--remove-package` — также удалить пакет `wireguard-tools`
|
||||
|
||||
Деинсталлятор:
|
||||
- Останавливает и отключает сервисы
|
||||
- Удаляет интерфейс `wg0`
|
||||
- Очищает правила iptables
|
||||
- Удаляет конфигурационные файлы и ключи
|
||||
- **НЕ трогает** SSH-сервер и другие сервисы
|
||||
|
||||
## Поддерживаемые ОС
|
||||
|
||||
- Debian 11+ (Bullseye, Bookworm)
|
||||
- Ubuntu 20.04+ (Focal, Jammy, Noble)
|
||||
- Armbian (Orange Pi, Banana Pi, etc.)
|
||||
- Raspberry Pi OS (Raspbian)
|
||||
|
||||
## Структура проекта
|
||||
|
||||
```
|
||||
wireguard-vps-tunnel/
|
||||
├── install.sh # Основной установщик
|
||||
├── uninstall.sh # Деинсталлятор
|
||||
├── watchdog.sh # Watchdog для мониторинга туннеля
|
||||
└── README.md # Документация
|
||||
```
|
||||
|
||||
## Лицензия
|
||||
|
||||
MIT
|
||||
530
install.sh
Normal file
530
install.sh
Normal file
@@ -0,0 +1,530 @@
|
||||
#!/usr/bin/env bash
|
||||
# =============================================================================
|
||||
# WireGuard VPS Tunnel — 1-Click Installer
|
||||
# Автоматическая настройка туннеля между VPS (публичный IP) и домашним сервером
|
||||
# (Raspberry Pi / Orange Pi за NAT, например Starlink)
|
||||
# =============================================================================
|
||||
set -euo pipefail
|
||||
|
||||
# ── Цвета для вывода ────────────────────────────────────────────────────────
|
||||
RED='\033[0;31m'
|
||||
GREEN='\033[0;32m'
|
||||
YELLOW='\033[1;33m'
|
||||
BLUE='\033[0;34m'
|
||||
CYAN='\033[0;36m'
|
||||
BOLD='\033[1m'
|
||||
NC='\033[0m' # No Color
|
||||
|
||||
# ── Пути ────────────────────────────────────────────────────────────────────
|
||||
CONFIG_DIR="/etc/wireguard-vps-tunnel"
|
||||
CONFIG_FILE="$CONFIG_DIR/config"
|
||||
WG_CONF="/etc/wireguard/wg0.conf"
|
||||
WATCHDOG_BIN="/usr/local/bin/wg-watchdog.sh"
|
||||
WATCHDOG_SERVICE="/etc/systemd/system/wg-watchdog.service"
|
||||
WG_SERVICE="wg-quick@wg0"
|
||||
|
||||
# ── Значения по умолчанию ───────────────────────────────────────────────────
|
||||
MODE="" # vps или client
|
||||
VPS_PUBLIC_IP="" # Публичный IP VPS
|
||||
CLIENT_WG_IP="10.0.0.2" # WireGuard IP клиента
|
||||
SERVER_WG_IP="10.0.0.1" # WireGuard IP сервера
|
||||
WG_PORT="51820" # Порт WireGuard
|
||||
PORTS="80,443" # Порты для проброса (только VPS)
|
||||
KEEPALIVE="21" # PersistentKeepalive (секунды)
|
||||
INTERACTIVE=true
|
||||
|
||||
# ── Функции вывода ──────────────────────────────────────────────────────────
|
||||
info() { echo -e "${BLUE}[INFO]${NC} $*"; }
|
||||
success() { echo -e "${GREEN}[OK]${NC} $*"; }
|
||||
warn() { echo -e "${YELLOW}[WARN]${NC} $*"; }
|
||||
error() { echo -e "${RED}[ERROR]${NC} $*"; }
|
||||
header() { echo -e "\n${BOLD}${CYAN}═══ $* ═══${NC}\n"; }
|
||||
|
||||
# ── Баннер ──────────────────────────────────────────────────────────────────
|
||||
banner() {
|
||||
echo -e "${CYAN}${BOLD}"
|
||||
echo "╔══════════════════════════════════════════════════════════╗"
|
||||
echo "║ WireGuard VPS Tunnel — 1-Click Installer ║"
|
||||
echo "║ VPS ↔ Домашний сервер (за NAT / Starlink) ║"
|
||||
echo "╚══════════════════════════════════════════════════════════╝"
|
||||
echo -e "${NC}"
|
||||
}
|
||||
|
||||
# ── Проверка прав ──────────────────────────────────────────────────────────
|
||||
check_root() {
|
||||
if [[ $EUID -ne 0 ]]; then
|
||||
error "Скрипт должен выполняться от root. Используйте: sudo $0"
|
||||
exit 1
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Определение ОС ─────────────────────────────────────────────────────────
|
||||
detect_os() {
|
||||
if [[ -f /etc/os-release ]]; then
|
||||
. /etc/os-release
|
||||
OS_ID="${ID}"
|
||||
OS_NAME="${PRETTY_NAME:-$NAME}"
|
||||
else
|
||||
error "Не удалось определить операционную систему"
|
||||
exit 1
|
||||
fi
|
||||
|
||||
case "$OS_ID" in
|
||||
debian|ubuntu|armbian|raspbian)
|
||||
info "Обнаружена ОС: ${OS_NAME}"
|
||||
;;
|
||||
*)
|
||||
warn "ОС '$OS_ID' не тестировалась. Продолжаем, но возможны проблемы."
|
||||
;;
|
||||
esac
|
||||
}
|
||||
|
||||
# ── Установка зависимостей ─────────────────────────────────────────────────
|
||||
install_deps() {
|
||||
header "Установка зависимостей"
|
||||
|
||||
if command -v wg &>/dev/null; then
|
||||
success "WireGuard уже установлен: $(wg --version 2>&1 | head -1)"
|
||||
return 0
|
||||
fi
|
||||
|
||||
info "Установка wireguard-tools..."
|
||||
apt-get update -qq
|
||||
apt-get install -y -qq wireguard-tools iptables
|
||||
|
||||
if command -v wg &>/dev/null; then
|
||||
success "WireGuard установлен успешно"
|
||||
else
|
||||
error "Не удалось установить WireGuard"
|
||||
exit 1
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Включение IP-форвардинга ───────────────────────────────────────────────
|
||||
enable_ip_forward() {
|
||||
header "Включение IP-форвардинга"
|
||||
|
||||
local sysctl_conf="/etc/sysctl.d/99-wireguard-vps-tunnel.conf"
|
||||
|
||||
if [[ -f "$sysctl_conf" ]]; then
|
||||
info "IP-форвардинг уже настроен"
|
||||
else
|
||||
cat > "$sysctl_conf" <<'SYSCTL'
|
||||
# Включение IP-форвардинга для WireGuard VPS Tunnel
|
||||
net.ipv4.ip_forward = 1
|
||||
net.ipv6.conf.all.forwarding = 1
|
||||
SYSCTL
|
||||
sysctl --system &>/dev/null
|
||||
success "IP-форвардинг включён"
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Генерация ключей ───────────────────────────────────────────────────────
|
||||
generate_keys() {
|
||||
header "Генерация ключей WireGuard"
|
||||
|
||||
mkdir -p "$CONFIG_DIR"
|
||||
|
||||
if [[ -f "$CONFIG_DIR/server_private.key" ]] && [[ -f "$CONFIG_DIR/client_private.key" ]]; then
|
||||
info "Ключи уже существуют, пропускаем генерацию"
|
||||
else
|
||||
# Генерируем ключи сервера
|
||||
wg genkey | tee "$CONFIG_DIR/server_private.key" | wg pubkey > "$CONFIG_DIR/server_public.key"
|
||||
chmod 600 "$CONFIG_DIR/server_private.key"
|
||||
|
||||
# Генерируем ключи клиента
|
||||
wg genkey | tee "$CONFIG_DIR/client_private.key" | wg pubkey > "$CONFIG_DIR/client_public.key"
|
||||
chmod 600 "$CONFIG_DIR/client_private.key"
|
||||
|
||||
success "Ключи сгенерированы"
|
||||
fi
|
||||
|
||||
SERVER_PRIVATE_KEY=$(cat "$CONFIG_DIR/server_private.key")
|
||||
SERVER_PUBLIC_KEY=$(cat "$CONFIG_DIR/server_public.key")
|
||||
CLIENT_PRIVATE_KEY=$(cat "$CONFIG_DIR/client_private.key")
|
||||
CLIENT_PUBLIC_KEY=$(cat "$CONFIG_DIR/client_public.key")
|
||||
}
|
||||
|
||||
# ── Загрузка существующей конфигурации ─────────────────────────────────────
|
||||
load_config() {
|
||||
if [[ -f "$CONFIG_FILE" ]]; then
|
||||
info "Загружена существующая конфигурация из $CONFIG_FILE"
|
||||
source "$CONFIG_FILE"
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Сохранение конфигурации ────────────────────────────────────────────────
|
||||
save_config() {
|
||||
mkdir -p "$CONFIG_DIR"
|
||||
cat > "$CONFIG_FILE" <<EOF
|
||||
# WireGuard VPS Tunnel — конфигурация
|
||||
# Создано: $(date '+%Y-%m-%d %H:%M:%S')
|
||||
MODE="$MODE"
|
||||
VPS_PUBLIC_IP="$VPS_PUBLIC_IP"
|
||||
CLIENT_WG_IP="$CLIENT_WG_IP"
|
||||
SERVER_WG_IP="$SERVER_WG_IP"
|
||||
WG_PORT="$WG_PORT"
|
||||
PORTS="$PORTS"
|
||||
KEEPALIVE="$KEEPALIVE"
|
||||
EOF
|
||||
chmod 600 "$CONFIG_FILE"
|
||||
success "Конфигурация сохранена в $CONFIG_FILE"
|
||||
}
|
||||
|
||||
# ── Интерактивный опрос ────────────────────────────────────────────────────
|
||||
interactive_setup() {
|
||||
header "Настройка параметров"
|
||||
|
||||
echo -e "${BOLD}Где запущен этот скрипт?${NC}"
|
||||
echo " 1) VPS (сервер с публичным IP)"
|
||||
echo " 2) Домашний сервер / Raspberry Pi (за NAT)"
|
||||
echo
|
||||
while true; do
|
||||
read -r -p "Выберите [1/2]: " choice
|
||||
case "$choice" in
|
||||
1) MODE="vps"; break ;;
|
||||
2) MODE="client"; break ;;
|
||||
*) warn "Введите 1 или 2" ;;
|
||||
esac
|
||||
done
|
||||
|
||||
if [[ "$MODE" == "vps" ]]; then
|
||||
# Автоопределение публичного IP
|
||||
local detected_ip
|
||||
detected_ip=$(curl -4 -s ifconfig.me 2>/dev/null || curl -4 -s icanhazip.com 2>/dev/null || echo "")
|
||||
if [[ -n "$detected_ip" ]]; then
|
||||
echo -e "${BOLD}Публичный IP VPS:${NC} [${detected_ip}]"
|
||||
read -r -p "Нажмите Enter для подтверждения или введите другой: " input
|
||||
VPS_PUBLIC_IP="${input:-$detected_ip}"
|
||||
else
|
||||
read -r -p "Введите публичный IP VPS: " VPS_PUBLIC_IP
|
||||
fi
|
||||
|
||||
read -r -p "Порты для проброса (через запятую) [80,443]: " input
|
||||
PORTS="${input:-80,443}"
|
||||
|
||||
read -r -p "WireGuard IP клиента [10.0.0.2]: " input
|
||||
CLIENT_WG_IP="${input:-10.0.0.2}"
|
||||
|
||||
read -r -p "WireGuard порт [51820]: " input
|
||||
WG_PORT="${input:-51820}"
|
||||
else
|
||||
read -r -p "Публичный IP VPS: " VPS_PUBLIC_IP
|
||||
|
||||
read -r -p "WireGuard IP этого сервера [10.0.0.2]: " input
|
||||
CLIENT_WG_IP="${input:-10.0.0.2}"
|
||||
|
||||
read -r -p "WireGuard порт VPS [51820]: " input
|
||||
WG_PORT="${input:-51820}"
|
||||
|
||||
read -r -p "PersistentKeepalive (сек) [21]: " input
|
||||
KEEPALIVE="${input:-21}"
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Парсинг аргументов командной строки ────────────────────────────────────
|
||||
parse_args() {
|
||||
while [[ $# -gt 0 ]]; do
|
||||
case "$1" in
|
||||
--vps)
|
||||
MODE="vps"
|
||||
INTERACTIVE=false
|
||||
shift
|
||||
;;
|
||||
--client)
|
||||
MODE="client"
|
||||
INTERACTIVE=false
|
||||
shift
|
||||
;;
|
||||
--vps-ip)
|
||||
VPS_PUBLIC_IP="$2"
|
||||
shift 2
|
||||
;;
|
||||
--client-wg-ip)
|
||||
CLIENT_WG_IP="$2"
|
||||
shift 2
|
||||
;;
|
||||
--ports)
|
||||
PORTS="$2"
|
||||
shift 2
|
||||
;;
|
||||
--wg-port)
|
||||
WG_PORT="$2"
|
||||
shift 2
|
||||
;;
|
||||
--keepalive)
|
||||
KEEPALIVE="$2"
|
||||
shift 2
|
||||
;;
|
||||
--help|-h)
|
||||
echo "Использование: $0 [ОПЦИИ]"
|
||||
echo ""
|
||||
echo "Опции:"
|
||||
echo " --vps Режим VPS (сервер с публичным IP)"
|
||||
echo " --client Режим клиента (домашний сервер за NAT)"
|
||||
echo " --vps-ip IP Публичный IP-адрес VPS"
|
||||
echo " --client-wg-ip IP WireGuard IP клиента (по умолчанию: 10.0.0.2)"
|
||||
echo " --ports PORT,... Порты для проброса (по умолчанию: 80,443)"
|
||||
echo " --wg-port PORT Порт WireGuard (по умолчанию: 51820)"
|
||||
echo " --keepalive SEC PersistentKeepalive в секундах (по умолчанию: 21)"
|
||||
echo " --help, -h Показать эту справку"
|
||||
echo ""
|
||||
echo "Примеры:"
|
||||
echo " # Интерактивный режим"
|
||||
echo " sudo $0"
|
||||
echo ""
|
||||
echo " # Неинтерактивный режим (VPS)"
|
||||
echo " sudo $0 --vps --vps-ip 2.59.219.234 --ports 80,443,8080"
|
||||
echo ""
|
||||
echo " # Неинтерактивный режим (клиент)"
|
||||
echo " sudo $0 --client --vps-ip 2.59.219.234 --keepalive 21"
|
||||
exit 0
|
||||
;;
|
||||
*)
|
||||
error "Неизвестный аргумент: $1"
|
||||
echo "Используйте --help для справки"
|
||||
exit 1
|
||||
;;
|
||||
esac
|
||||
done
|
||||
}
|
||||
|
||||
# ── Создание конфигурации WireGuard для VPS ────────────────────────────────
|
||||
configure_vps() {
|
||||
header "Настройка WireGuard (VPS — сервер)"
|
||||
|
||||
# Формируем правила iptables для каждого порта
|
||||
local dnat_rules=""
|
||||
local dnat_down_rules=""
|
||||
IFS=',' read -ra PORT_ARRAY <<< "$PORTS"
|
||||
|
||||
for port in "${PORT_ARRAY[@]}"; do
|
||||
port=$(echo "$port" | xargs) # trim whitespace
|
||||
dnat_rules+="iptables -t nat -A PREROUTING -d ${VPS_PUBLIC_IP} -p tcp --dport ${port} -j DNAT --to-destination ${CLIENT_WG_IP}:${port}; "
|
||||
dnat_down_rules+="iptables -t nat -D PREROUTING -d ${VPS_PUBLIC_IP} -p tcp --dport ${port} -j DNAT --to-destination ${CLIENT_WG_IP}:${port}; "
|
||||
done
|
||||
|
||||
# Определяем внешний интерфейс
|
||||
local ext_if
|
||||
ext_if=$(ip route get 8.8.8.8 | awk '{print $5; exit}')
|
||||
|
||||
cat > "$WG_CONF" <<WGCONF
|
||||
# WireGuard VPS Tunnel — конфигурация сервера (VPS)
|
||||
# Создано: $(date '+%Y-%m-%d %H:%M:%S')
|
||||
|
||||
[Interface]
|
||||
PrivateKey = ${SERVER_PRIVATE_KEY}
|
||||
Address = ${SERVER_WG_IP}/24
|
||||
ListenPort = ${WG_PORT}
|
||||
|
||||
# Правила проброса портов и форвардинга
|
||||
PostUp = ${dnat_rules} iptables -t nat -A POSTROUTING -d ${CLIENT_WG_IP} -j MASQUERADE; iptables -I FORWARD 1 -i ${ext_if} -o wg0 -p tcp -m multiport --dports ${PORTS} -j ACCEPT; iptables -I FORWARD 2 -i wg0 -o ${ext_if} -m state --state ESTABLISHED,RELATED -j ACCEPT; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT
|
||||
PostDown = ${dnat_down_rules} iptables -t nat -D POSTROUTING -d ${CLIENT_WG_IP} -j MASQUERADE; iptables -D FORWARD -i ${ext_if} -o wg0 -p tcp -m multiport --dports ${PORTS} -j ACCEPT; iptables -D FORWARD -i wg0 -o ${ext_if} -m state --state ESTABLISHED,RELATED -j ACCEPT; iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT
|
||||
|
||||
[Peer]
|
||||
# Клиент (домашний сервер / Raspberry Pi)
|
||||
PublicKey = ${CLIENT_PUBLIC_KEY}
|
||||
AllowedIPs = ${CLIENT_WG_IP}/32
|
||||
WGCONF
|
||||
|
||||
chmod 600 "$WG_CONF"
|
||||
success "Конфигурация WireGuard создана: $WG_CONF"
|
||||
}
|
||||
|
||||
# ── Создание конфигурации WireGuard для клиента ────────────────────────────
|
||||
configure_client() {
|
||||
header "Настройка WireGuard (клиент — домашний сервер)"
|
||||
|
||||
cat > "$WG_CONF" <<WGCONF
|
||||
# WireGuard VPS Tunnel — конфигурация клиента (домашний сервер)
|
||||
# Создано: $(date '+%Y-%m-%d %H:%M:%S')
|
||||
|
||||
[Interface]
|
||||
PrivateKey = ${CLIENT_PRIVATE_KEY}
|
||||
Address = ${CLIENT_WG_IP}/24
|
||||
|
||||
[Peer]
|
||||
# VPS (сервер)
|
||||
PublicKey = ${SERVER_PUBLIC_KEY}
|
||||
Endpoint = ${VPS_PUBLIC_IP}:${WG_PORT}
|
||||
AllowedIPs = ${SERVER_WG_IP}/24
|
||||
PersistentKeepalive = ${KEEPALIVE}
|
||||
WGCONF
|
||||
|
||||
chmod 600 "$WG_CONF"
|
||||
success "Конфигурация WireGuard создана: $WG_CONF"
|
||||
}
|
||||
|
||||
# ── Запуск WireGuard ───────────────────────────────────────────────────────
|
||||
start_wireguard() {
|
||||
header "Запуск WireGuard"
|
||||
|
||||
# Останавливаем если уже запущен (идемпотентность)
|
||||
if systemctl is-active --quiet "$WG_SERVICE" 2>/dev/null; then
|
||||
info "WireGuard уже запущен, перезапускаем..."
|
||||
systemctl stop "$WG_SERVICE"
|
||||
fi
|
||||
|
||||
systemctl enable "$WG_SERVICE" &>/dev/null
|
||||
systemctl start "$WG_SERVICE"
|
||||
|
||||
sleep 2
|
||||
|
||||
if systemctl is-active --quiet "$WG_SERVICE"; then
|
||||
success "WireGuard запущен и добавлен в автозагрузку"
|
||||
else
|
||||
error "Не удалось запустить WireGuard. Проверьте: systemctl status $WG_SERVICE"
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# Показываем статус интерфейса
|
||||
echo ""
|
||||
wg show wg0 2>/dev/null || warn "Интерфейс wg0 не найден"
|
||||
}
|
||||
|
||||
# ── Установка watchdog (только для клиента) ────────────────────────────────
|
||||
install_watchdog() {
|
||||
header "Установка Watchdog (мониторинг туннеля)"
|
||||
|
||||
# Копируем watchdog из директории скрипта
|
||||
local script_dir
|
||||
script_dir="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
|
||||
|
||||
if [[ -f "$script_dir/watchdog.sh" ]]; then
|
||||
cp "$script_dir/watchdog.sh" "$WATCHDOG_BIN"
|
||||
else
|
||||
error "Файл watchdog.sh не найден в $script_dir"
|
||||
error "Поместите watchdog.sh рядом с install.sh и запустите снова"
|
||||
return 1
|
||||
fi
|
||||
|
||||
chmod +x "$WATCHDOG_BIN"
|
||||
|
||||
# Подставляем IP VPS в watchdog
|
||||
sed -i "s/VPS_IP=\"\"/VPS_IP=\"${VPS_PUBLIC_IP}\"/" "$WATCHDOG_BIN" 2>/dev/null || true
|
||||
sed -i "s/VPS_WG_IP=\"\"/VPS_WG_IP=\"${SERVER_WG_IP}\"/" "$WATCHDOG_BIN" 2>/dev/null || true
|
||||
|
||||
# Создаём systemd-сервис для watchdog
|
||||
cat > "$WATCHDOG_SERVICE" <<SYSTEMD
|
||||
[Unit]
|
||||
Description=WireGuard Watchdog — оптимизирован для Starlink
|
||||
After=network-online.target wg-quick@wg0.service
|
||||
Wants=network-online.target
|
||||
|
||||
[Service]
|
||||
Type=simple
|
||||
ExecStart=${WATCHDOG_BIN}
|
||||
Restart=always
|
||||
RestartSec=10
|
||||
StandardOutput=journal
|
||||
StandardError=journal
|
||||
SyslogIdentifier=wg-watchdog
|
||||
|
||||
[Install]
|
||||
WantedBy=multi-user.target
|
||||
SYSTEMD
|
||||
|
||||
systemctl daemon-reload
|
||||
systemctl enable wg-watchdog &>/dev/null
|
||||
systemctl start wg-watchdog
|
||||
|
||||
if systemctl is-active --quiet wg-watchdog; then
|
||||
success "Watchdog установлен и запущен"
|
||||
else
|
||||
warn "Watchdog установлен, но не запустился. Проверьте: systemctl status wg-watchdog"
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Вывод итоговой информации ──────────────────────────────────────────────
|
||||
print_summary() {
|
||||
header "Установка завершена"
|
||||
|
||||
echo -e "${BOLD}Режим:${NC} ${MODE}"
|
||||
echo -e "${BOLD}Публичный IP VPS:${NC} ${VPS_PUBLIC_IP}"
|
||||
echo -e "${BOLD}WireGuard IP:${NC} ${CLIENT_WG_IP} (клиент) ↔ ${SERVER_WG_IP} (сервер)"
|
||||
echo -e "${BOLD}Порт WG:${NC} ${WG_PORT}"
|
||||
|
||||
if [[ "$MODE" == "vps" ]]; then
|
||||
echo -e "${BOLD}Проброс портов:${NC} ${PORTS} → ${CLIENT_WG_IP}"
|
||||
fi
|
||||
|
||||
echo ""
|
||||
echo -e "${BOLD}Полезные команды:${NC}"
|
||||
echo " wg show — статус туннеля"
|
||||
echo " systemctl status wg-quick@wg0 — статус сервиса"
|
||||
echo " ping ${SERVER_WG_IP} — проверка туннеля"
|
||||
|
||||
if [[ "$MODE" == "client" ]]; then
|
||||
echo " systemctl status wg-watchdog — статус watchdog"
|
||||
echo " tail -f /var/log/wg-watchdog.log — логи watchdog"
|
||||
fi
|
||||
|
||||
echo ""
|
||||
echo -e "${BOLD}Конфигурация:${NC} ${CONFIG_FILE}"
|
||||
echo -e "${BOLD}Ключи:${NC} ${CONFIG_DIR}/"
|
||||
|
||||
if [[ "$MODE" == "vps" ]]; then
|
||||
echo ""
|
||||
echo -e "${YELLOW}${BOLD}⚠️ ВАЖНО:${NC} ${YELLOW}Скопируйте публичный ключ сервера на клиент:${NC}"
|
||||
echo -e " ${BOLD}cat ${CONFIG_DIR}/server_public.key${NC}"
|
||||
echo ""
|
||||
echo -e "${YELLOW}Затем запустите install.sh на клиенте:${NC}"
|
||||
echo -e " ${BOLD}sudo ./install.sh --client --vps-ip ${VPS_PUBLIC_IP}${NC}"
|
||||
fi
|
||||
|
||||
echo ""
|
||||
}
|
||||
|
||||
# ── Главная функция ────────────────────────────────────────────────────────
|
||||
main() {
|
||||
banner
|
||||
check_root
|
||||
parse_args "$@"
|
||||
detect_os
|
||||
load_config
|
||||
|
||||
if [[ "$INTERACTIVE" == true ]] && [[ -z "$MODE" ]]; then
|
||||
interactive_setup
|
||||
fi
|
||||
|
||||
if [[ -z "$MODE" ]]; then
|
||||
error "Не указан режим. Используйте --vps или --client, либо интерактивный режим."
|
||||
exit 1
|
||||
fi
|
||||
|
||||
if [[ "$MODE" == "client" ]] && [[ -z "$VPS_PUBLIC_IP" ]]; then
|
||||
error "Не указан публичный IP VPS. Используйте --vps-ip IP"
|
||||
exit 1
|
||||
fi
|
||||
|
||||
# Автоопределение публичного IP для VPS если не указан
|
||||
if [[ "$MODE" == "vps" ]] && [[ -z "$VPS_PUBLIC_IP" ]]; then
|
||||
VPS_PUBLIC_IP=$(curl -4 -s ifconfig.me 2>/dev/null || curl -4 -s icanhazip.com 2>/dev/null || echo "")
|
||||
if [[ -z "$VPS_PUBLIC_IP" ]]; then
|
||||
error "Не удалось определить публичный IP. Укажите вручную: --vps-ip IP"
|
||||
exit 1
|
||||
fi
|
||||
info "Автоопределён публичный IP: ${VPS_PUBLIC_IP}"
|
||||
fi
|
||||
|
||||
install_deps
|
||||
enable_ip_forward
|
||||
generate_keys
|
||||
|
||||
if [[ "$MODE" == "vps" ]]; then
|
||||
configure_vps
|
||||
else
|
||||
configure_client
|
||||
fi
|
||||
|
||||
start_wireguard
|
||||
save_config
|
||||
|
||||
if [[ "$MODE" == "client" ]]; then
|
||||
install_watchdog
|
||||
fi
|
||||
|
||||
print_summary
|
||||
}
|
||||
|
||||
main "$@"
|
||||
240
uninstall.sh
Normal file
240
uninstall.sh
Normal file
@@ -0,0 +1,240 @@
|
||||
#!/usr/bin/env bash
|
||||
# =============================================================================
|
||||
# WireGuard VPS Tunnel — Деинсталлятор
|
||||
# Полное удаление туннеля, сервисов и правил iptables
|
||||
# =============================================================================
|
||||
set -euo pipefail
|
||||
|
||||
RED='\033[0;31m'
|
||||
GREEN='\033[0;32m'
|
||||
YELLOW='\033[1;33m'
|
||||
BLUE='\033[0;34m'
|
||||
BOLD='\033[1m'
|
||||
NC='\033[0m'
|
||||
|
||||
info() { echo -e "${BLUE}[INFO]${NC} $*"; }
|
||||
success() { echo -e "${GREEN}[OK]${NC} $*"; }
|
||||
warn() { echo -e "${YELLOW}[WARN]${NC} $*"; }
|
||||
error() { echo -e "${RED}[ERROR]${NC} $*"; }
|
||||
|
||||
CONFIG_DIR="/etc/wireguard-vps-tunnel"
|
||||
CONFIG_FILE="$CONFIG_DIR/config"
|
||||
WG_CONF="/etc/wireguard/wg0.conf"
|
||||
WATCHDOG_BIN="/usr/local/bin/wg-watchdog.sh"
|
||||
WATCHDOG_SERVICE="/etc/systemd/system/wg-watchdog.service"
|
||||
SYSCTL_CONF="/etc/sysctl.d/99-wireguard-vps-tunnel.conf"
|
||||
REMOVE_PACKAGE=false
|
||||
|
||||
usage() {
|
||||
echo "Использование: $0 [ОПЦИИ]"
|
||||
echo ""
|
||||
echo "Опции:"
|
||||
echo " --remove-package Также удалить пакет wireguard-tools"
|
||||
echo " --help, -h Показать эту справку"
|
||||
echo ""
|
||||
echo "Пример:"
|
||||
echo " sudo $0"
|
||||
echo " sudo $0 --remove-package"
|
||||
exit 0
|
||||
}
|
||||
|
||||
parse_args() {
|
||||
while [[ $# -gt 0 ]]; do
|
||||
case "$1" in
|
||||
--remove-package) REMOVE_PACKAGE=true; shift ;;
|
||||
--help|-h) usage ;;
|
||||
*) error "Неизвестный аргумент: $1"; usage ;;
|
||||
esac
|
||||
done
|
||||
}
|
||||
|
||||
check_root() {
|
||||
if [[ $EUID -ne 0 ]]; then
|
||||
error "Скрипт должен выполняться от root. Используйте: sudo $0"
|
||||
exit 1
|
||||
fi
|
||||
}
|
||||
|
||||
stop_services() {
|
||||
echo ""
|
||||
info "Остановка сервисов..."
|
||||
|
||||
# Останавливаем watchdog
|
||||
if systemctl is-active --quiet wg-watchdog 2>/dev/null; then
|
||||
systemctl stop wg-watchdog
|
||||
success "Watchdog остановлен"
|
||||
else
|
||||
info "Watchdog не запущен"
|
||||
fi
|
||||
|
||||
# Отключаем watchdog
|
||||
if systemctl is-enabled --quiet wg-watchdog 2>/dev/null; then
|
||||
systemctl disable wg-watchdog &>/dev/null
|
||||
success "Watchdog отключён из автозагрузки"
|
||||
fi
|
||||
|
||||
# Останавливаем WireGuard
|
||||
if systemctl is-active --quiet wg-quick@wg0 2>/dev/null; then
|
||||
systemctl stop wg-quick@wg0
|
||||
success "WireGuard остановлен"
|
||||
else
|
||||
info "WireGuard не запущен"
|
||||
fi
|
||||
|
||||
# Отключаем WireGuard
|
||||
if systemctl is-enabled --quiet wg-quick@wg0 2>/dev/null; then
|
||||
systemctl disable wg-quick@wg0 &>/dev/null
|
||||
success "WireGuard отключён из автозагрузки"
|
||||
fi
|
||||
}
|
||||
|
||||
remove_interface() {
|
||||
info "Удаление интерфейса wg0..."
|
||||
|
||||
if ip link show wg0 &>/dev/null; then
|
||||
ip link delete wg0 2>/dev/null || true
|
||||
success "Интерфейс wg0 удалён"
|
||||
else
|
||||
info "Интерфейс wg0 не существует"
|
||||
fi
|
||||
}
|
||||
|
||||
remove_iptables_rules() {
|
||||
info "Очистка правил iptables..."
|
||||
|
||||
# Удаляем правила DNAT и FORWARD, связанные с wg0
|
||||
local rules_removed=0
|
||||
|
||||
# Удаляем DNAT правила
|
||||
while iptables -t nat -L PREROUTING -n 2>/dev/null | grep -q "10\.0\.0\."; do
|
||||
local rule_num
|
||||
rule_num=$(iptables -t nat -L PREROUTING -n --line-numbers 2>/dev/null | grep "10\.0\.0\." | head -1 | awk '{print $1}')
|
||||
if [[ -n "$rule_num" ]]; then
|
||||
iptables -t nat -D PREROUTING "$rule_num" 2>/dev/null || true
|
||||
((rules_removed++)) || true
|
||||
else
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
# Удаляем MASQUERADE правила
|
||||
while iptables -t nat -L POSTROUTING -n 2>/dev/null | grep -q "10\.0\.0\."; do
|
||||
local rule_num
|
||||
rule_num=$(iptables -t nat -L POSTROUTING -n --line-numbers 2>/dev/null | grep "10\.0\.0\." | head -1 | awk '{print $1}')
|
||||
if [[ -n "$rule_num" ]]; then
|
||||
iptables -t nat -D POSTROUTING "$rule_num" 2>/dev/null || true
|
||||
((rules_removed++)) || true
|
||||
else
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
# Удаляем FORWARD правила для wg0
|
||||
while iptables -L FORWARD -n 2>/dev/null | grep -q "wg0"; do
|
||||
local rule_num
|
||||
rule_num=$(iptables -L FORWARD -n --line-numbers 2>/dev/null | grep "wg0" | head -1 | awk '{print $1}')
|
||||
if [[ -n "$rule_num" ]]; then
|
||||
iptables -D FORWARD "$rule_num" 2>/dev/null || true
|
||||
((rules_removed++)) || true
|
||||
else
|
||||
break
|
||||
fi
|
||||
done
|
||||
|
||||
if [[ $rules_removed -gt 0 ]]; then
|
||||
success "Удалено правил iptables: ${rules_removed}"
|
||||
else
|
||||
info "Правила iptables не найдены"
|
||||
fi
|
||||
}
|
||||
|
||||
remove_files() {
|
||||
info "Удаление файлов..."
|
||||
|
||||
# Удаляем конфигурацию WireGuard
|
||||
if [[ -f "$WG_CONF" ]]; then
|
||||
rm -f "$WG_CONF"
|
||||
success "Удалён: $WG_CONF"
|
||||
fi
|
||||
|
||||
# Удаляем watchdog
|
||||
if [[ -f "$WATCHDOG_BIN" ]]; then
|
||||
rm -f "$WATCHDOG_BIN"
|
||||
success "Удалён: $WATCHDOG_BIN"
|
||||
fi
|
||||
|
||||
# Удаляем systemd-сервис watchdog
|
||||
if [[ -f "$WATCHDOG_SERVICE" ]]; then
|
||||
rm -f "$WATCHDOG_SERVICE"
|
||||
systemctl daemon-reload
|
||||
success "Удалён: $WATCHDOG_SERVICE"
|
||||
fi
|
||||
|
||||
# Удаляем sysctl конфигурацию
|
||||
if [[ -f "$SYSCTL_CONF" ]]; then
|
||||
rm -f "$SYSCTL_CONF"
|
||||
sysctl --system &>/dev/null
|
||||
success "Удалён: $SYSCTL_CONF"
|
||||
fi
|
||||
|
||||
# Удаляем директорию с ключами и конфигом
|
||||
if [[ -d "$CONFIG_DIR" ]]; then
|
||||
rm -rf "$CONFIG_DIR"
|
||||
success "Удалён: $CONFIG_DIR/"
|
||||
fi
|
||||
|
||||
# Удаляем лог watchdog
|
||||
if [[ -f /var/log/wg-watchdog.log ]]; then
|
||||
rm -f /var/log/wg-watchdog.log
|
||||
success "Удалён: /var/log/wg-watchdog.log"
|
||||
fi
|
||||
}
|
||||
|
||||
remove_package() {
|
||||
if [[ "$REMOVE_PACKAGE" == true ]]; then
|
||||
echo ""
|
||||
warn "Удаление пакета wireguard-tools..."
|
||||
read -r -p "Вы уверены? Это удалит WireGuard полностью [y/N]: " confirm
|
||||
if [[ "$confirm" =~ ^[Yy]$ ]]; then
|
||||
apt-get remove -y --purge wireguard-tools 2>/dev/null || true
|
||||
apt-get autoremove -y 2>/dev/null || true
|
||||
success "Пакет wireguard-tools удалён"
|
||||
else
|
||||
info "Пакет wireguard-tools оставлен"
|
||||
fi
|
||||
fi
|
||||
}
|
||||
|
||||
main() {
|
||||
echo -e "${RED}${BOLD}"
|
||||
echo "╔══════════════════════════════════════════════════════════╗"
|
||||
echo "║ WireGuard VPS Tunnel — ДЕИНСТАЛЛЯТОР ║"
|
||||
echo "╚══════════════════════════════════════════════════════════╝"
|
||||
echo -e "${NC}"
|
||||
|
||||
check_root
|
||||
parse_args "$@"
|
||||
|
||||
warn "Этот скрипт полностью удалит WireGuard VPS Tunnel."
|
||||
warn "Будут удалены: туннель, сервисы, правила iptables, ключи."
|
||||
echo ""
|
||||
read -r -p "Продолжить? [y/N]: " confirm
|
||||
if [[ ! "$confirm" =~ ^[Yy]$ ]]; then
|
||||
info "Отмена."
|
||||
exit 0
|
||||
fi
|
||||
|
||||
stop_services
|
||||
remove_interface
|
||||
remove_iptables_rules
|
||||
remove_files
|
||||
remove_package
|
||||
|
||||
echo ""
|
||||
success "WireGuard VPS Tunnel полностью удалён."
|
||||
echo ""
|
||||
echo -e "${YELLOW}${BOLD}Примечание:${NC} ${YELLOW}SSH-сервер и другие сервисы не были затронуты.${NC}"
|
||||
echo -e "${YELLOW}PasswordAuthentication в sshd_config НЕ изменялся.${NC}"
|
||||
}
|
||||
|
||||
main "$@"
|
||||
190
watchdog.sh
Normal file
190
watchdog.sh
Normal file
@@ -0,0 +1,190 @@
|
||||
#!/usr/bin/env bash
|
||||
# =============================================================================
|
||||
# WireGuard Watchdog — оптимизирован для Starlink
|
||||
# Мониторит состояние туннеля и перезапускает при обрыве связи.
|
||||
# Использует экспоненциальную отсрочку (backoff) при повторных сбоях.
|
||||
# =============================================================================
|
||||
set -euo pipefail
|
||||
|
||||
# ── Настройки ───────────────────────────────────────────────────────────────
|
||||
VPS_IP="" # Публичный IP VPS (заполняется install.sh)
|
||||
VPS_WG_IP="" # WireGuard IP VPS (заполняется install.sh)
|
||||
WG_INTERFACE="wg0"
|
||||
LOG_FILE="/var/log/wg-watchdog.log"
|
||||
MAX_LOG_SIZE=$((10 * 1024 * 1024)) # 10 МБ
|
||||
|
||||
# ── Параметры экспоненциальной отсрочки ─────────────────────────────────────
|
||||
INITIAL_BACKOFF=10 # Начальная задержка (сек)
|
||||
MAX_BACKOFF=120 # Максимальная задержка (сек)
|
||||
BACKOFF_MULTIPLIER=2 # Множитель
|
||||
STABLE_THRESHOLD=3 # Кол-во успешных проверок для сброса backoff
|
||||
|
||||
# ── Состояние ───────────────────────────────────────────────────────────────
|
||||
consecutive_failures=0
|
||||
consecutive_successes=0
|
||||
current_backoff=$INITIAL_BACKOFF
|
||||
|
||||
# ── Загрузка конфигурации ───────────────────────────────────────────────────
|
||||
load_config() {
|
||||
local config_file="/etc/wireguard-vps-tunnel/config"
|
||||
if [[ -f "$config_file" ]]; then
|
||||
# shellcheck source=/dev/null
|
||||
source "$config_file"
|
||||
# Переопределяем из конфига если есть
|
||||
VPS_IP="${VPS_PUBLIC_IP:-$VPS_IP}"
|
||||
VPS_WG_IP="${SERVER_WG_IP:-$VPS_WG_IP}"
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Логирование ─────────────────────────────────────────────────────────────
|
||||
log() {
|
||||
local level="$1"
|
||||
shift
|
||||
local timestamp
|
||||
timestamp=$(date '+%Y-%m-%d %H:%M:%S')
|
||||
echo "[$timestamp] [$level] $*" >> "$LOG_FILE"
|
||||
|
||||
# Ротация лога при превышении размера
|
||||
if [[ -f "$LOG_FILE" ]]; then
|
||||
local size
|
||||
size=$(stat -c%s "$LOG_FILE" 2>/dev/null || stat -f%z "$LOG_FILE" 2>/dev/null || echo 0)
|
||||
if [[ $size -gt $MAX_LOG_SIZE ]]; then
|
||||
mv "$LOG_FILE" "${LOG_FILE}.old"
|
||||
echo "[$timestamp] [INFO] Лог ротирован (превышен лимит ${MAX_LOG_SIZE} байт)" > "$LOG_FILE"
|
||||
fi
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Проверка интерфейса WireGuard ──────────────────────────────────────────
|
||||
check_wg_interface() {
|
||||
if ip link show "$WG_INTERFACE" &>/dev/null; then
|
||||
return 0
|
||||
fi
|
||||
return 1
|
||||
}
|
||||
|
||||
# ── Проверка доступности VPS через туннель ──────────────────────────────────
|
||||
check_vps_tunnel() {
|
||||
if [[ -z "$VPS_WG_IP" ]]; then
|
||||
return 1
|
||||
fi
|
||||
# 3 пинга, таймаут 2 секунды
|
||||
if ping -c 3 -W 2 "$VPS_WG_IP" &>/dev/null; then
|
||||
return 0
|
||||
fi
|
||||
return 1
|
||||
}
|
||||
|
||||
# ── Проверка доступности VPS через интернет ─────────────────────────────────
|
||||
check_vps_internet() {
|
||||
if [[ -z "$VPS_IP" ]]; then
|
||||
return 1
|
||||
fi
|
||||
# Проверяем, что интернет вообще работает
|
||||
if ping -c 2 -W 3 "$VPS_IP" &>/dev/null; then
|
||||
return 0
|
||||
fi
|
||||
return 1
|
||||
}
|
||||
|
||||
# ── Перезапуск WireGuard ────────────────────────────────────────────────────
|
||||
restart_wireguard() {
|
||||
log "WARN" "Перезапуск wg-quick@${WG_INTERFACE}..."
|
||||
systemctl restart "wg-quick@${WG_INTERFACE}" 2>&1 | while read -r line; do
|
||||
log "INFO" "systemctl: $line"
|
||||
done
|
||||
sleep 3
|
||||
}
|
||||
|
||||
# ── Сброс backoff после стабильной работы ──────────────────────────────────
|
||||
reset_backoff() {
|
||||
consecutive_failures=0
|
||||
current_backoff=$INITIAL_BACKOFF
|
||||
consecutive_successes=$((consecutive_successes + 1))
|
||||
|
||||
if [[ $consecutive_successes -ge $STABLE_THRESHOLD ]]; then
|
||||
# Логируем только при переходе в стабильное состояние
|
||||
if [[ $consecutive_successes -eq $STABLE_THRESHOLD ]]; then
|
||||
log "INFO" "Туннель стабилен (${STABLE_THRESHOLD} успешных проверок подряд)"
|
||||
fi
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Увеличение backoff при сбоях ───────────────────────────────────────────
|
||||
increase_backoff() {
|
||||
consecutive_successes=0
|
||||
consecutive_failures=$((consecutive_failures + 1))
|
||||
current_backoff=$((current_backoff * BACKOFF_MULTIPLIER))
|
||||
if [[ $current_backoff -gt $MAX_BACKOFF ]]; then
|
||||
current_backoff=$MAX_BACKOFF
|
||||
fi
|
||||
}
|
||||
|
||||
# ── Основной цикл ──────────────────────────────────────────────────────────
|
||||
main_loop() {
|
||||
log "INFO" "Watchdog запущен. VPS=${VPS_IP}, VPS_WG=${VPS_WG_IP}, интерфейс=${WG_INTERFACE}"
|
||||
log "INFO" "Параметры backoff: начальный=${INITIAL_BACKOFF}с, макс=${MAX_BACKOFF}с, множитель=${BACKOFF_MULTIPLIER}"
|
||||
|
||||
while true; do
|
||||
# Проверка 1: интерфейс поднят?
|
||||
if ! check_wg_interface; then
|
||||
log "ERROR" "Интерфейс ${WG_INTERFACE} не найден"
|
||||
increase_backoff
|
||||
log "INFO" "Ожидание ${current_backoff}с перед следующей проверкой..."
|
||||
sleep "$current_backoff"
|
||||
continue
|
||||
fi
|
||||
|
||||
# Проверка 2: VPS доступен через туннель?
|
||||
if check_vps_tunnel; then
|
||||
reset_backoff
|
||||
sleep 10
|
||||
continue
|
||||
fi
|
||||
|
||||
# Туннель не работает — проверяем интернет
|
||||
log "WARN" "VPS ${VPS_WG_IP} недоступен через туннель"
|
||||
|
||||
if ! check_vps_internet; then
|
||||
# Интернет тоже не работает — перезапуск не поможет
|
||||
log "WARN" "VPS ${VPS_IP} недоступен через интернет. Возможно, проблемы с сетью."
|
||||
increase_backoff
|
||||
log "INFO" "Ожидание ${current_backoff}с..."
|
||||
sleep "$current_backoff"
|
||||
continue
|
||||
fi
|
||||
|
||||
# Интернет работает, туннель нет — перезапускаем
|
||||
log "ERROR" "Туннель не работает, но VPS доступен через интернет. Перезапуск WireGuard..."
|
||||
restart_wireguard
|
||||
|
||||
# Проверяем после перезапуска
|
||||
sleep 3
|
||||
if check_vps_tunnel; then
|
||||
log "INFO" "Туннель восстановлен после перезапуска"
|
||||
reset_backoff
|
||||
else
|
||||
log "ERROR" "Туннель не восстановился после перезапуска"
|
||||
increase_backoff
|
||||
fi
|
||||
|
||||
log "INFO" "Ожидание ${current_backoff}с перед следующей проверкой..."
|
||||
sleep "$current_backoff"
|
||||
done
|
||||
}
|
||||
|
||||
# ── Точка входа ─────────────────────────────────────────────────────────────
|
||||
load_config
|
||||
|
||||
# Проверяем что IP заданы
|
||||
if [[ -z "$VPS_IP" ]]; then
|
||||
echo "ОШИБКА: VPS_IP не задан. Отредактируйте скрипт или файл конфигурации." >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
if [[ -z "$VPS_WG_IP" ]]; then
|
||||
echo "ОШИБКА: VPS_WG_IP не задан. Отредактируйте скрипт или файл конфигурации." >&2
|
||||
exit 1
|
||||
fi
|
||||
|
||||
main_loop
|
||||
Reference in New Issue
Block a user