Bonsoir tous le monde,

Souhaitant sécuriser mes connexions sur nos smartphones Android et IOS lors de nos déplacements familiaux avec probable connexion à des réseaux WIFI, je voulais savoir si vous sauriez me conseiller un protocole VPN (OpenVPN, Wireguard, IPSEC/ikev2) à installer sur mon Raspberry Pie 3 qui tourne sous Raspbian Buster.

Je cherche un protocole sécurisé, qui ne mette pas à mal les ressources de mon Rasp et qui fonctionne facilement avec Android et IOS.

Merci pour votre aide !

Merci Milouse.
Je pense pouvoir répondre oui à la première.
Et clairement oui au deux autres 

Mais est il assez simple pour être installer,...
Sinon en effet, je suis assez pour celui-là !!!

Je m'était fait une documentation perso pour un éventuel remplacement d'openVPN sur un rapspberry pi derrière une connexion 3g/4g sans ouverture de port possible (sous CGNAT)

Il n'y a pas de routage, j'utilise pour avoir un accès SSH sur un rapsberry pi derrière une connexion 3g/4g

Génération des clés publiques/privé pour les machines à connecter (serveur ou client):
wg genkey | tee privatekey | wg pubkey > publickey


Créer un fichier wg0.conf dans le repertoire crée par wireguard /etc/wireguard


Configuration Serveur (Ip Publique avec port ouvert)

Partie Serveur
Adress = adresse assigné à l'interface wg
ListenPort = port d'écoute du serveur wireguard j'ai mit le port par défaut d'OpenVPN pour tester

Partie Client
AllowedIPs= les ips assigné du client autorisé à se connecter au serveur

Fichier /etc/wireguard/wg0.conf
-----------
[Interface]
PrivateKey = cle privé généré du poste serveur fichier privatekey
Address = 10.0.42.1/24
ListenPort = 1190

[Peer]
PublicKey = cle publique généré du client fichier pubkey
AllowedIPs = 10.0.42.2/32


Configuration Client (Ip privé CGNAT ou port fermé)

Partie Client
Address = adresse assigné à l'interface wg

Partie Serveur
AllowedIPs= les ips assigné du serveur autorisé à se connecter au client
Endpoint = IP ou DNS du serveur a connecter
PersistentKeepAlive = envoie periodique ( en seconde) de paquet pour maintenir une connexion derrière un NAT ou pare-feu filtrant

Fichier /etc/wireguard/wg0.conf
-----------
[Interface]
PrivateKey = cle privé du client fichier privatekey
Address = 10.0.42.2/24


[Peer]
PublicKey = cle publique du serveur fichier pubkey
AllowedIPs = 10.0.42.0/24
Endpoint = DNS/IP du serveur
PersistentKeepalive = 25

Activer l'interface sur les deux postes pour test :

Note: wg-quick va lire le nom du fichier de config spécifié dans /etc/wireguard exemple wg-quick up wg1 va lire le fichier /etc/wireguard/wg1.conf

wg-quick up wg0

Vérifier la connexion via la commande wg

interface: wg0
  public key: dF/vyfo8/ZNwkPQW9RXX0ks+Efw/0hUQ7wyvQkomYRg=
  private key: (hidden)
  listening port: 1190

peer: bPZZgGg3lqGTrDGZoKbuCheRkMiU4ygVrea+uuW/RWk=
  endpoint: IP du client découverte automatiquement
  allowed ips: 10.0.42.0/24
  latest handshake: 26 seconds ago
  transfer: 53.39 KiB received, 1.30 KiB sent

La mention "latest handshake" doit apparaitre !

Ne pas hésiter à faire des pings


Activer l'interface wg0 au démarrage de la machine:

systemctl enable wg-quick@wg0.service

il y'a bien un client officiel sur le site de wireguard non ?

https://www.wireguard.com/install/

sinon oui la seule chose qui me rebute un peu c'est que c'est tout neuf et en chantier (Work In Progress) mais c'est prometteur pour une utilisation perso/ de test

Pour l'utiliser sur mon smartphone pour mon accès SIP, je confirme que WG marche bien.

Bien que j'ai galéré un sacré moment à régler les petits pépins de routage, mais c'était entre 2 LANs. Avec un smartphone qui est directement client la config est beaucoup plus facile et se résume au guide github.

Petite précaution aussi  : éviter de se servir de wg-quick, et plutôt tout configurer à la main. Chez moi j'avais un bug qui fait que le ping ne passait pas (j'ai cherché un sacré moment avant de trouver la source).