إعدادات WireGuard

يدعم Chute WireGuard كبروتوكول بروكسي صادر. يمكنك إما تكوين WireGuard مضمَّناً في القسم [Proxy]، أو تعريف قسم [WireGuard] مسمى والإشارة إليه.

قسم WireGuard

يعرف قسم [WireGuard] تكوين نفق WireGuard كامل يمكن الإشارة إليه بالاسم من خادم بروكسي WireGuard.

[WireGuard wg0]
private-key = base64_private_key
peer-public-key = base64_peer_public_key
self-ip = 10.0.0.2
self-ip-v6 = fd00::2
preshared-key = base64_preshared_key
server = example.com
port = 51820
wg-mtu = 1420
keepalive = 25

المعاملات

* يجب أن يكون server و port موجودين إما في القسم أو على سطر [Proxy] المشير إليه؛ وإلا تُرفض السياسة باعتبارها غير مكتملة.

صيغة peer في Surge

يمكن للقسم أن يصف نظيره بالطريقة التي يتبعها Surge:

[WireGuard wg0]
private-key = base64_private_key
self-ip = 10.0.0.2
mtu = 1280
peer = (public-key = base64_peer_public_key, endpoint = example.com:51820, preshared-key = base64_preshared_key, keepalive = 25, client-id = 1/2/3, allowed-ips = "0.0.0.0/0, ::/0")

• يصبح public-key هو peer-public-key، ويصبح endpoint (host:port أو [v6]:port) هو server و port، ويصبح client-id = a/b/c هو reserved، ويحتفظ preshared-key و keepalive باسميهما. والمفتاح المكتوب مباشرة في القسم له الأولوية على القيمة نفسها داخل peer. يحلّل المحرك الحالي reserved لكنه لا يطبقه.
• لا يُستخدم إلا نظير واحد؛ أما الثاني فيُبلَّغ عنه كتنبيه ويُتجاهل.
• تُترجم allowed-ips وتُطبّق على TCP وUDP في WireGuard: يُرفض الهدف أو يُسقط إذا خرج عن شبكات CIDR الخاصة بالنظير، لأن ذلك النظير لا يستطيع توجيهه عائداً. أما مفتاحا Surge dns-server وprefer-ipv6 فيُحتفظ بهما دون أثر، ويظهران في تنبيه الخيارات المتجاهلة.
• عند حفظ الإعدادات، يُكتب القسم مجدداً بالمفاتيح أعلاه بدلاً من سطر peer = (…).

الاستخدام

الإشارة إلى القسم من خادم بروكسي:

[Proxy]
WG = wireguard, section-name=wg0

[Proxy Group]
WGGroup = select, WG

[Rule]
IP-CIDR,10.0.0.0/8,WGGroup
FINAL,DIRECT

يمكن تعريف عدة أقسام [WireGuard] لأنفاق مختلفة:

[WireGuard us]
private-key = ...
peer-public-key = ...
self-ip = 10.0.1.2

[WireGuard eu]
private-key = ...
peer-public-key = ...
self-ip = 10.0.2.2

ملاحظة: يعمل WireGuard عبر نفق UDP خاص به مع مكدس TCP/IP في مساحة المستخدم. الأسماء (مثال wg0) حساسة لحالة الأحرف.

قسم AmneziaWG

يدعم Chute أيضاً AmneziaWG، وهو نسخة من WireGuard مع تمويه حركة المرور. يقبل القسم [AmneziaWG <name>] المفاتيح نفسها التي يقبلها قسم [WireGuard]، إضافةً إلى معاملات التمويه التالية:

• jc و jmin و jmax — عدد حزم البيانات المهملة ونطاق حجمها. وحين تتجاوز jc الصفر وجب ضبط jmin و jmax معاً، ولا يجوز أن تكون jmax أصغر من jmin، وإلا رُفض إنشاء النفق.
• s1 و s2 و s3 و s4 — بيانات مهملة تُضاف في بداية حزم init/response/cookie/transport. لا يجوز أن تتجاوز s1–s3 ‏64 بايت (وs4 ‏32)، ويجب أن يختلف s1 + 148 عن s2 + 92، وإلا رُفض إنشاء النفق.
• h1 و h2 و h3 و h4 — قيم مخصصة لترويسة نوع الرسالة. كلٌّ منها عدد عشري أو مدى start-end ضمن 32 بت، ويجب أن يكون أكبر من 4، لأن 1–4 هي أنواع رسائل WireGuard نفسه؛ ولا يجوز أن تتداخل القيم الأربع، وإلا رُفض النفق.
• i1 و i2 و i3 و i4 و i5 — تعريفات حزم البيانات المهملة الخاصة. والتعريف الذي يتعذّر تحليله يؤدي إلى رفض النفق.

ويُسجَّل أي جمع مرفوض من المعاملات على الشكل WireGuard: AmneziaWG parameters rejected: <reason>، ثم يفشل النفق برسالة Failed to create BoringTun tunnel.

تشير السياسة إلى القسم بالنوع amneziawg (الاسم البديل awg):

[AmneziaWG awg0]
private-key = base64_private_key
peer-public-key = base64_peer_public_key
self-ip = 10.0.0.2
server = example.com
port = 51820
jc = 4
jmin = 40
jmax = 70
s1 = 15
s2 = 60
h1 = 123456
h2 = 67543
h3 = 32345
h4 = 123123

[Proxy]
AWG = amneziawg, section-name=awg0

قواعد التحقق المتقاطع:

• وجود معاملات AmneziaWG داخل قسم [WireGuard] عادي يُعد خطأ في الإعداد — استخدم قسم [AmneziaWG] بدلاً من ذلك.
• لا يمكن استخدام reserved داخل قسم [AmneziaWG]: فهو يكتب بايتات الترويسة نفسها التي يستبدلها h4، لذا يُرفض هذا الجمع بوصفه خطأ.
• يحصل قسم [AmneziaWG] بلا أي معاملات تمويه على تنبيه إرشادي — إذ يتصرف مثل WireGuard العادي.