Como usar wireguard VPN no Qubes

O que é WireGuard?

WireGuard é um protocolo VPN de código aberto que se destaca por sua velocidade, simplicidade e segurança, superando o OpenVPN e o IPsec em muitos aspectos. Ele facilita a configuração e auditoria graças ao seu código reduzido e ao uso exclusivo de algoritmos criptográficos modernos!

O que é netVM?

Uma netVM no Qubes OS é uma máquina virtual dedicada exclusivamente ao tráfego de rede. Ela atua como um gateway seguro, isolando todas as conexões de internet das demais VMs.

A sys-whonix é uma netVM baseada no template do whonix-gateway e fornece conexão TOR para as qubes que escolherem a sys-whonix como netVM. A sys-firewall faz o mesmo com o IP normal fornecido pelo seu ISP!

Neste artigo, vamos aprender a criar uma netVM isolada como o Whonix, mas usando WireGuard, e também como configurar um kill switch para evitar vazamentos de IP.

Criar netVM sys-vpn com template debian-xfce-12-vpn

Crie o template debian-xfce-12-vpn clonando o template debian-xfce-12 usando o botão direito do mouse no Qube Manager.

Entre no template e execute os seguintes comandos no terminal:

sudo apt update
sudo apt upgrade
sudo apt install wireguard resolvconf wireguard-tools
sudo apt update
sudo apt upgrade
sudo apt install openvpn
sudo apt install network-manager-openvpn
sudo apt install network-manager network-manager-gnome
sudo systemctl enable NetworkManager
sudo systemctl restart NetworkManager
sudo systemctl status NetworkManager
sudo apt install iptables-persistent # opcional, se quiser saber as regras de iptables
sudo netfilter-persistent save # toda vez que criar regras com iptables, use esse comando para salvar as regras permanentemente!

Em Settings do template debian-xfce-12-vpn, vá na aba Services, escolha o Network Manager, clique em Add e depois em Apply!

Criando e configurando netVM sys-vpn

Crie pelo Qube Manager em New Qube a appVM sys-vpn e selecione em Settings como template o debian-xfce-12-vpn.

Em Advanced, coloque como Provide Network ou, em Settings, vá em Advanced e selecione Provide Network!

Agora, a appVM sys-vpn tem todos os programas necessários para ativar o kill switch com iptables e para usar o WireGuard!

Como instalar VPN WireGuard na appVM sys-vpn

Crie uma conta no provedor de VPN (exemplo: Proton VPN).

Gere e baixe os arquivos WireGuard em uma pasta.

Copie os arquivos para /etc/wireguard da appVM sys-vpn.

cd /etc/wireguard
# escolha o arquivo que deseja criar o WireGuard, exemplo: name_wireguard_connection.conf
sudo modprobe wireguard # opcional para checar e ligar o módulo WireGuard
sudo nmcli connection import type wireguard file /etc/wireguard/name_wireguard_connection.conf
nmcli connection show

No ícone superior direito da tela da sys-vpn, clique nele, vá em VPN Connections e clique para ligar ou desligar o WireGuard cadastrado!

Configurar Kill Switch

Adicione as seguintes regras de firewall:

sudo iptables -I FORWARD -o eth0 -j DROP
sudo iptables -I FORWARD -i eth0 -j DROP
sudo ip6tables -I FORWARD -o eth0 -j DROP
sudo ip6tables -I FORWARD -i eth0 -j DROP

Se você instalou o iptables-persistent, use o comando abaixo para manter essas regras permanentemente:

sudo netfilter-persistent save

Conectando outras VMs à sys-vpn

Vá em Qube Manager e selecione a appVM ou DisposableVM desejada. Com o botão direito, selecione Settings.

Em Net Qube, selecione sys-vpn!

Agora, sua VM deverá receber via gateway isolado e com kill switch a conexão VPN WireGuard configurada!

Configurar sys-vpn para se conectar na VPN WireGuard ao iniciar por /rw/config

Entre na appVM sys-vpn e abra o terminal.

Digite o comando a seguir para se tornar root:

sudo su

Navegue para o diretório onde as configurações são armazenadas:

cd /rw/config

Abra o arquivo rc.local utilizando o editor nano:

sudo nano rc.local

Adicione o seguinte conteúdo:

# Atenção: substitua name_wireguard_connection do exemplo abaixo pelo nome da conexão WireGuard que você cadastrou!
# Use nmcli connection show para ver as conexões WireGuard e selecionar a que deseja

# Adicione no rc.local
# netVM com Kill Switch
nmcli connection up name_wireguard_connection
# Regras de Firewall Iptables para Kill Switch
sudo iptables -I FORWARD -o eth0 -j DROP
sudo iptables -I FORWARD -i eth0 -j DROP
sudo ip6tables -I FORWARD -o eth0 -j DROP
sudo ip6tables -I FORWARD -i eth0 -j DROP
# end

Reinicie a sys-vpn. Você deverá notar que a sys-vpn conectou automaticamente com o kill switch.

Realize os testes anteriores para verificar se o kill switch está operando corretamente. Às vezes, pode não funcionar, mas deveria. Isso pode ser um problema da appVM ou do Qubes que está com alguma funcionalidade prejudicada durante o uso. Leandroibov relata que configurou isso e não funcionava, mas quando reiniciou o Qubes, passou a funcionar. Todavia, não se sabe ao certo o que pode ser.

VPN WireGuard OVER TOR no Qubes (bypass de censura de IP Tor)

Crie uma appVM ou DisposableVM a partir do template debian-xfce-12-vpn.

Inicie a appVM ou DisposableVM.

Cadastre o WireGuard e teste a conexão.

Coloque como NetVM dessa appVM ou DisposableVM o sys-whonix para que ela seja roteada pelo Tor!

Ligue a VPN WireGuard depois de se conectar ao Tor.

Agora você tem a VPN over Tor.

Acesse o site que proíbe o Tor usando essa VPN WireGuard!

Por que fazer isso?

Visando controlar o IP de saída, já que certos sites não aceitam outros IPs. Com VPNs, você pode usar fixamente um IP específico!

Mantenha o anonimato usando o Tor, pois enquanto com VPNs centralizadas, seu IP estará no servidor deles. Se houver alguma falha explorada por poucos que sabem e que não é conhecida pelas comunidades de cibersegurança, ou se o provedor de VPN coletar seus dados e entregá-los às autoridades, todo o seu tráfego será desanonimizado. Com a VPN over Tor, o IP no servidor de VPN será do Tor e não o seu, garantindo que você continue anônimo!

Entretanto, um grande desafio é a criação e uso anônimo do usuário VPN e dos arquivos wireguard.conf. Existem vários erros que você pode cometer e é importante lembrar que você precisará registrar os arquivos, usuário e senha em algum lugar, o que pode deixar um rastro que comprova o uso da VPN over Tor. Portanto, é fundamental eliminar esses rastros de forma eficaz ao longo do tempo.

No curso Ultra Anonimato Red Pill, ensinamos como limpar os rastros temporariamente e até instantaneamente, caso você sofra algum ataque.

Criptografia, por melhor que seja, não é anti-tortura. Se os rastros estiverem no seu Qubes ou em algum HD, o atacante poderá fazer pressão ou torturar pessoas próximas a você, obrigando-o a revelar a senha dos dispositivos e, por meio de extração forense, conseguirão recuperar os arquivos e desanonimizar você. Se os rastros nunca existirem ou forem suficientemente limpos de modo a serem absolutamente anti-forenses, eles não conseguirão nada, pois o que é invisível não pode ser atacado!

Iptables Sentinel com Kill Switch e cadastro em massa para WireGuard

Use este programa para facilitar o cadastro ou remoção em massa de VPNs WireGuard, com a opção de kill switch local ou local e forward ao mesmo tempo, onde todo o processo demorado é feito em segundos!

https://github.com/leandroibov/wireguard-openvpn-iptables-kill-switch

Tutoriais avançados sobre Qubes OS: Clique aqui!

Qubes OS Espectro Proibido: Clique aqui!

Doar monero para ajudar no crescimento desse projeto: Clique aqui!