WireGuardをLinuxに設定する方法｜鍵ペア生成からwg-quickで接続するまでの実践手順

この記事のポイント

・ WireGuardはOpenVPNより設定が大幅にシンプルで、速度も高速なVPNプロトコル
・ wg genkey / wg pubkeyコマンドで鍵ペアを生成し、wg0.confに記述する
・ wg-quickコマンドでVPNインターフェースを起動・停止でき、systemdで自動起動も設定できる
・ firewalldのMasqueradeとsysctlのIPフォワーディング有効化がサーバー必須設定

# カーネルバージョンの確認
uname -r

# 出力例（RHEL9の場合）
5.14.0-427.31.1.el9_4.x86_64

# 出力例（Ubuntu 24.04の場合）
6.8.0-41-generic

# wireguard-toolsをインストール（カーネルモジュールはEPEL不要・標準リポジトリで提供）
sudo dnf install wireguard-tools -y

# インストールの確認
wg --version
# wireguard-tools v1.0.20210914 - https://git.zx2c4.com/wireguard-tools/

# wireguardパッケージをインストール（wireguard-toolsを含む）
sudo apt install wireguard -y

# インストールの確認
wg --version
# wireguard-tools v1.0.20210914 - https://git.zx2c4.com/wireguard-tools/

# /etc/wireguard/ ディレクトリに鍵を生成
sudo wg genkey | sudo tee /etc/wireguard/server_private.key | sudo wg pubkey | sudo tee /etc/wireguard/server_public.key

# 秘密鍵は他のユーザーから読めないようにする
sudo chmod 600 /etc/wireguard/server_private.key

# 確認（それぞれ44文字のBase64文字列が表示される）
sudo cat /etc/wireguard/server_private.key
# mNbvAxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
sudo cat /etc/wireguard/server_public.key
# fGzKhyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy=

# クライアント用の鍵を生成（ホームディレクトリ等の任意の場所）
wg genkey | tee ~/client_private.key | wg pubkey > ~/client_public.key
chmod 600 ~/client_private.key

# 公開鍵の内容を確認（サーバーのwg0.confに記述する）
cat ~/client_public.key
# Qp1mZzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz=

# サーバー上で設定ファイルを作成
sudo nano /etc/wireguard/wg0.conf

[Interface]
# WireGuardインターフェースに割り当てるIPアドレス（VPN内のサーバーIP）
Address = 10.0.0.1/24
# WireGuardが待ち受けるUDPポート番号
ListenPort = 51820
# サーバーの秘密鍵（/etc/wireguard/server_private.key の内容をそのまま貼る）
PrivateKey = mNbvAxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=

[Peer]
# クライアントの公開鍵（client_public.key の内容）
PublicKey = Qp1mZzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz=
# このクライアントに割り当てるVPN内IPアドレス
AllowedIPs = 10.0.0.2/32

sudo chmod 600 /etc/wireguard/wg0.conf

# VPNインターフェースを起動
sudo wg-quick up wg0

# 起動の確認（インターフェース一覧にwg0が表示されればOK）
sudo wg show

# 出力例
interface: wg0
  public key: fGzKhyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy=
  private key: (hidden)
  listening port: 51820

# IPアドレスの確認
ip addr show wg0
# 4: wg0:  mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
#     link/none
#     inet 10.0.0.1/24 scope global wg0
#        valid_lft forever preferred_lft forever

# wg-quick@wg0 サービスを有効化して即座に起動
sudo systemctl enable --now wg-quick@wg0

# 状態確認
sudo systemctl status wg-quick@wg0

# 出力例
* wg-quick@wg0.service - WireGuard via wg-quick(8) for wg0
     Loaded: loaded (/usr/lib/systemd/system/wg-quick@.service; enabled; preset: disabled)
     Active: active (exited) since Mon 2026-08-11 10:00:00 JST; 5s ago

# sysctl設定ファイルを作成
sudo tee /etc/sysctl.d/99-wireguard.conf << 'EOF'
net.ipv4.ip_forward = 1
EOF

# 設定を即時反映
sudo sysctl --system

# 確認（1が表示されればOK）
sysctl net.ipv4.ip_forward
# net.ipv4.ip_forward = 1

# WireGuardのUDP 51820番を許可（permanent = 再起動後も有効）
sudo firewall-cmd --zone=public --add-port=51820/udp --permanent

# MasqueradeでVPN内のIPをサーバーのIPに変換（NATの設定）
sudo firewall-cmd --zone=public --add-masquerade --permanent

# 設定を再読み込み
sudo firewall-cmd --reload

# 設定確認
sudo firewall-cmd --zone=public --list-all
# public
#   target: default
#   icmp-block-inversion: no
#   interfaces:
#   sources:
#   services: cockpit dhcpv6-client ssh
#   ports: 51820/udp
#   masquerade: yes
#   ...

# クライアント用の設定ファイル
sudo nano /etc/wireguard/wg0.conf

[Interface]
# VPN内でクライアントが使うIPアドレス（サーバーのwg0.confのAllowedIPsと一致させる）
Address = 10.0.0.2/24
# クライアントの秘密鍵
PrivateKey = 
# クライアントが使用するDNSサーバー（任意）
DNS = 8.8.8.8

[Peer]
# サーバーの公開鍵（server_public.keyの内容）
PublicKey = fGzKhyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy=
# サーバーの実IPアドレス（グローバルIPまたはドメイン名）とポート番号
Endpoint = 203.0.113.10:51820
# VPN経由でルーティングするIPアドレス範囲
# 0.0.0.0/0 にするとすべての通信がVPN経由になる（フルトンネル）
# 10.0.0.0/24 にするとVPN内のみVPN経由（スプリットトンネル）
AllowedIPs = 10.0.0.0/24
# NAT環境やファイアウォール越えのためのキープアライブ（25秒ごとにパケット送信）
PersistentKeepalive = 25

# クライアント側でVPN接続を開始
sudo wg-quick up wg0

# 接続状態の確認
sudo wg show

# 出力例（接続成功後）
interface: wg0
  public key: Qp1mZzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz=
  private key: (hidden)
  listening port: 56789

peer: fGzKhyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy=
  endpoint: 203.0.113.10:51820
  allowed ips: 10.0.0.0/24
  latest handshake: 3 seconds ago
  transfer: 1.23 KiB received, 2.34 KiB sent

# サーバー側で実行
sudo wg show

# 出力例（クライアント接続後）
interface: wg0
  public key: fGzKhyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy=
  private key: (hidden)
  listening port: 51820

peer: Qp1mZzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz=
  endpoint: 203.0.113.20:56789
  allowed ips: 10.0.0.2/32
  latest handshake: 12 seconds ago
  transfer: 2.45 KiB received, 1.23 KiB sent

# クライアント側で実行（VPN内のサーバーIPへping）
ping -c 3 10.0.0.1

# 出力例（成功）
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=12.3 ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=11.8 ms
64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=12.1 ms

--- 10.0.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 11.8/12.0/12.3/0.2 ms

# サーバー側でポートの待ち受け状況を確認
sudo ss -lunp | grep 51820

# 出力例（正常）
UNCONN 0      0            0.0.0.0:51820      0.0.0.0:*    users:(("wireguard",pid=1234,fd=3))

# 既存のwg0インターフェースが残っている場合はまず削除
sudo wg-quick down wg0

# その後で再起動
sudo wg-quick up wg0

sudo wg-quick down wg0
sudo wg-quick up wg0

# ピアをオンラインで追加（wg0を止めずに適用）
sudo wg set wg0 peer <新しいクライアントの公開鍵> allowed-ips 10.0.0.3/32

# 設定ファイルに保存（これをしないと再起動で消える）
sudo wg-quick save wg0