Ouvrir un tunnel WireGuard vers le serveur

Le serveur est durci, mais SSH répond encore à tout internet. Cette page monte le chemin privé qui va le remplacer : WireGuard sur le serveur, sur un seul port UDP, et ton Mac branché dessus avec une clé générée sur chaque appareil. À la fin, ssh cave passe par le tunnel. L'ancienne porte reste ouverte pendant toute la page : on ne la ferme qu'à la page 2, une fois le tunnel prouvé.

Avant de commencer

$ssh vps 'test -x /usr/sbin/ufw && echo ready'

ready

Installer WireGuard sur ton Mac

Installe WireGuard depuis le Mac App Store (éditeur : WireGuard Development Team). Ouvre-le, puis + en bas à gauche → Add Empty Tunnel…. Nomme-le cave. L'app génère une paire de clés et affiche la clé publique en haut de l'éditeur.

Copie cette clé publique dans le champ Clé publique du Mac du panneau des valeurs, puis enregistre le tunnel tel quel. Il est incomplet : la partie 3 le termine. macOS demande d'autoriser l'ajout d'une configuration VPN : accepte.

Installer WireGuard sur le serveur

Dans ta session ssh vps, installe les outils et génère la clé du serveur dans un fichier que seul root peut lire :

$sudo apt update && sudo apt install -y wireguard-tools
$sudo install -d -m 700 /etc/wireguard
$sudo sh -c 'umask 077 && wg genkey > /etc/wireguard/wg0.key'

Écrire la configuration du serveur

Crée /etc/wireguard/wg0.conf avec sudo vim :

[Interface]
Address = 10.66.0.1/24
ListenPort = 51820
PostUp = wg set %i private-key /etc/wireguard/%i.key
[Peer]
# mac
PublicKey = ${MAC_WG_PUBKEY}
AllowedIPs = 10.66.0.2/32

Puis restreins ses droits : sudo chmod 600 /etc/wireguard/wg0.conf.

Ouvrir le port et démarrer

Ouvre le port UDP dans le pare-feu, démarre l'interface et fais-la remonter à chaque démarrage, puis affiche la clé publique du serveur :

$sudo ufw allow 51820/udp
$sudo systemctl enable --now wg-quick@wg0
$sudo wg show wg0 public-key

Copie la clé affichée dans le champ Clé publique du serveur du panneau des valeurs.

$ssh vps systemctl is-active wg-quick@wg0

active

Brancher le Mac

Dans l'app WireGuard du Mac, sélectionne le tunnel cave, Edit. Garde la première ligne PrivateKey = … et ajoute ceci en dessous :

Address = 10.66.0.2/32
[Peer]
PublicKey = ${SERVER_WG_PUBKEY}
AllowedIPs = 10.66.0.1/32
Endpoint = 203.0.113.10:51820

Enregistre, puis Activate. Depuis un terminal :

$ping -c 3 10.66.0.1 | grep -o '3 packets received'

3 packets received

Passer par le tunnel

Ajoute à ton Mac un raccourci ssh qui vise l'adresse du serveur dans le tunnel, puis connecte-toi avec :

$touch ~/.ssh/config && chmod 600 ~/.ssh/config
$grep -q '^Host cave$' ~/.ssh/config || printf '\nHost cave\n  HostName 10.66.0.1\n  Port 1234\n  User ops\n  IdentityFile ~/.ssh/id_ed25519_vps\n  IdentitiesOnly yes\n  AddKeysToAgent yes\n  UseKeychain yes\n' >> ~/.ssh/config
$ssh cave echo via-wireguard

ssh ne connaît pas encore cette adresse et demande de confirmer la clé d'hôte. Avant de répondre yes, compare l'empreinte affichée avec celle du serveur, lue par l'ancienne porte :

$ssh vps ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

$ssh cave echo via-wireguard

via-wireguard

Terminé

Page suivante : Fermer la porte publique. Elle retire 1234/tcp d'internet, ne garde SSH que sur le tunnel, et prouve que tout revient après un redémarrage.