видел - там вообще ад какой-то

Ад, но я поднимал :)

видел - там вообще ад какой-то

вот это не работает, кстати: sudo dnf install gcc kernel-devel kernel-headers akmod-wireguard wireguard

Почему? Покажи ошибку.

PKI. Тяжело в настройке - легко в сопровождении.

PKI. Тяжело в настройке - легко в сопровождении.

Чушь. Раз в год перевыпускать сертификаты то ещё удовольствие.

для меня странно, что нет автоматизации для этого

я кстати так и не понял, как автоматизировать обновление ключей для клиентов

Внешними по отношению к VPN средствами.

например?

хотелось бы поменьше ручных действий :)

Скрипты.

Скрипты.

Ansible уж скорее.

самому писать, да?

Ну хочешь, я напишу :}

это те же скрипты, только в профиль

ну... проблему это особо не исправит. так как такие вещи в моем понимании должны быть "из коробки"

А проблема-то в чём, в том, чтобы ключи сгенерировать, или чтобы их клиентам раздать?

автоматически сгенерировать и раздать

Чушь. Раз в год перевыпускать сертификаты то ещё удовольствие.

Никто не заставляет тебя выписывать сертификаты на год. Выпиши на 100 лет - будут тебе, считай, постоянные ключи, как в wireguard. Хотя с точки зрения ИБ так лучше не делать.

Там ещё подлянка с базой то ли отозванных сертификатов, то ли валидных. Забыл уже, но долго гуглил чтобы понять почему в один прекрасный день впн отвалился.

хм, а это норма? sudo akmods --force Checking kmods exist for 5.3.8-300.fc31.x86_64 [ ОК ] Files needed for building modules against kernel 5.3.8-300.fc31.x86_64 could not be found as the following directories are missing: /usr/src/kernels/5.3.8-300.fc31.x86_64/ /lib/modules/5.3.8-300.fc31.x86_64/build/Is the correct ker[СБОЙ ]el package installed?

CRL, да, его тоже обновлять надо.

Вот-вот.

Ну вот лишних систем нам и не хватало.

Ты делаешь не универсальное решение, а локалхостовый костыль. Все-таки обрати внимание в сторону нормальных решений и продуктов, которые умные люди, которые точно ращбираются в вопросе, уже сделали

https://www.easycoding.org/2019/02/28/podnimaem-wireguard-server-na-fedora.html

так, я не совсем понял - wireguard должен быть установлен и на клиентских машиинах?

Да.

я может хочу вообще парольный доступ организовать - так можно?

а если я не хочу так?

Где-то был wireguard, который работает в user space пространстве.

> Где-то был woreguard, который работает в user space пространстве. https://copr.fedorainfracloud.org/coprs/atim/boringtun/

настроил сервер, настроил клиента, настроил проброс порта на роутере, подключение вроде работает, но wg сервер не пингуется...

Всем привет! Кто на 32-й делал подключение с тв через HDMI, звук на тв работал?

На сервере порт открыл? Провайдер не блокирует порт?

порт то я открыл, но не в той зоне :) перепроверил ещё раз - всё заработало как надо. вот сижу и думаю, как бы парольный доступ организовать к этому vpn

С линукса?

Можно отключить автостарт сервиса. И сделать его запуск по паролю, через скрипт например.

автоматически сгенерировать и раздать

но это не отменяет того факта, что сервер должен о клиенте знать ключик

просто при подключении (после проверки логина\пароля) генерить пару, отправлять на сервер, он прописывает куда надо, подключает. При отключении удаляет и всё

А отправляет через что?

Вот это колхоз будет! Ещё и HTTP сервер держать для этого...