Рабочий конфиг для AmneziaWG: генерация, настройка и диагностика Cloudflare WARP

Что такое AmneziaWG и зачем нужен рабочий конфиг

AmneziaWG — это форк WireGuard с улучшенной обфускацией трафика. Он маскирует начало соединения и делает протокол менее заметным для DPI-фильтров. В отличие от классического WireGuard, AmneziaWG использует случайные параметры шифрования, что затрудняет блокировку по сигнатурам.

Рабочий конфиг — это текстовый файл с расширением .conf, который содержит параметры подключения: адрес сервера (endpoint), ключи, DNS, маршруты (AllowedIPs) и настройки обфускации. Без правильно составленного конфига клиент не сможет установить туннель или будет работать нестабильно.

Основная задача конфига — обеспечить доступ к заблокированным ресурсам (YouTube, Discord, ChatGPT) через Cloudflare WARP. WARP — это бесплатный VPN-сервис Cloudflare, который использует протокол WireGuard. AmneziaWG добавляет к нему обфускацию, что позволяет обходить DPI.

Генерация конфига: онлайн-инструменты и ручной способ

Существует несколько способов получить рабочий конфиг AmneziaWG. Самый простой — использовать онлайн-генераторы, например, AmneziaWG Config Generator или valokda-amnezia. Они позволяют выбрать параметры и скачать готовый .conf файл.

Альтернативный способ — сгенерировать конфиг через Cloud Shell. Для этого нужно выполнить команду:

curl -sSL https://raw.githubusercontent.com/ImMALWARE/bash-warp-generator/main/warp_generator.sh | bash

Скрипт создаст конфиг-файл, который можно скачать. Этот способ требует базовых навыков работы с командной строкой, но даёт больше контроля.

Важно: перед генерацией отключите другие VPN-сервисы и DPI-обходчики (например, goodbyeDPI), иначе они могут помешать процессу.

Структура конфига: ключевые параметры

Любой конфиг AmneziaWG содержит несколько обязательных блоков. Рассмотрим их на примере типичного файла:

[Interface]
PrivateKey = ...
Address = 172.16.0.2
DNS = 1.1.1.1
Jc = 120
Jmin = 23
Jmax = 911
S1 = 0
S2 = 0
H1 = 1
H2 = 2
H3 = 3
H4 = 4

[Peer]
PublicKey = ...
AllowedIPs = 0.0.0.0/0
Endpoint = engage.cloudflareclient.com:2408
PersistentKeepalive = 25

• PrivateKey — секретный ключ клиента, генерируется автоматически.
• Address — внутренний IP-адрес в туннеле. Обычно 172.16.0.2, но может отличаться.
• DNS — DNS-сервер, который будет использоваться внутри туннеля. Можно указать несколько адресов через запятую.
• Jc, Jmin, Jmax — параметры обфускации (jitter). Влияют на маскировку трафика.
• S1, S2, H1-H4 — дополнительные параметры обфускации для AWG 1.5 (Legacy).
• PublicKey — публичный ключ сервера (для WARP — это ключ Cloudflare).
• AllowedIPs — маршруты, которые пойдут через туннель. 0.0.0.0/0 означает весь IPv4-трафик.
• Endpoint — адрес сервера: hostname или IP:порт.
• PersistentKeepalive — интервал keepalive для поддержания соединения.

AWG 1.5 (Legacy) и AWG 2.0: в чём разница

AmneziaWG поддерживает две версии протокола: 1.5 (Legacy) и 2.0. Они отличаются уровнем обфускации и совместимостью.

AWG 1.5 (Legacy) использует статические параметры обфускации (Jc, S1-S4, H1-H4). Он маскирует только начало соединения, но после установки туннеля трафик выглядит как обычный WireGuard. Это проще для реализации и работает со старыми клиентами.

AWG 2.0 — более новая версия, которая использует динамические заголовки и случайный padding во всех пакетах. Она имитирует QUIC/DNS на протяжении всей сессии, что делает трафик практически неотличимым от обычного. Однако AWG 2.0 требует клиент AmneziaVPN версии не ниже 4.8.12.9.

Для Cloudflare WARP сервер не требуется — оба режима работают с публичным сервером Cloudflare. Но если вы используете собственный сервер, для AWG 2.0 потребуется обновлённое ядро с модулем amneziawg-linux-kernel-module.

При выборе версии ориентируйтесь на ваш клиент: если у вас старая версия AmneziaWG, используйте Legacy. Если клиент обновлён, можно попробовать AWG 2.0 — он устойчивее к DPI.

Настройка AllowedIPs: полный туннель или выборочные маршруты

AllowedIPs определяет, какой трафик пойдёт через туннель. По умолчанию генераторы устанавливают 0.0.0.0/0 (весь IPv4) и ::/0 (весь IPv6) — это режим полного туннеля. Он прост, но может замедлять доступ к локальным ресурсам и вызывать конфликты с некоторыми приложениями.

Альтернатива — использовать route presets: наборы CIDR-диапазонов, которые направляют через туннель только нужные подсети. Например, можно включить маршруты для YouTube, Discord, ChatGPT, оставив остальной трафик напрямую.

Генераторы позволяют выбрать несколько пресетов, но нужно следить за количеством CIDR. Рекомендуемый лимит — 1000 IPv4-маршрутов. Превышение может привести к тому, что роутеры или мобильные клиенты молча обрежут таблицу маршрутов.

Если вы используете полный туннель, но хотите исключить некоторые сайты (например, чтобы работал Сбербанк), можно вручную добавить маршруты в AllowedIPs. Однако это требует понимания CIDR-нотации.

Endpoint: hostname или прямой IP

Endpoint — это адрес сервера, к которому подключается клиент. В конфиге можно указать hostname (например, engage.cloudflareclient.com) или прямой IP-адрес.

Hostname удобен тем, что Cloudflare использует anycast-адреса, которые могут меняться. Клиент резолвит домен через локальный DNS перед установкой туннеля. Если DNS заблокирован или возвращает неверный ответ, подключение не состоится.

Прямой IP устраняет зависимость от DNS, но если конкретный IP перестанет быть активным anycast-узлом, соединение не установится. В этом случае придётся менять IP вручную.

Некоторые пользователи делятся списками рабочих IP-адресов для WARP. Например, в комментариях к гайдам встречаются такие адреса: 188.114.97.66:500, 162.159.192.255:1010, 188.114.97.170:2408. Эти IP можно использовать, если стандартный endpoint не работает.

Рекомендация: начните с hostname. Если не работает — попробуйте заменить на прямой IP из актуальных списков.

DNS и UDP: частые причины неработоспособности

Одна из самых частых проблем — неправильная настройка DNS. Если DNS-сервер недоступен или возвращает неверные ответы, сайты не будут открываться, даже если туннель установлен.

По умолчанию в конфиге WARP используется DNS Cloudflare (1.1.1.1). Однако в некоторых сетях этот DNS может быть заблокирован. В этом случае можно использовать альтернативные DNS-серверы, например, Comss.one DNS:

83.220.169.155
195.133.25.16

Некоторые пользователи сообщают, что замена DNS на эти адреса позволяет открывать ChatGPT и другие сервисы, которые блокируют российские IP.

UDP-фильтрация — ещё одна распространённая причина проблем. AmneziaWG использует UDP, и если провайдер блокирует UDP-трафик на определённых портах, туннель не поднимется. В этом случае помогает смена порта в endpoint. Например, вместо стандартного 2408 можно попробовать 500, 854, 859, 4500 и другие.

Симптомы, указывающие на UDP-проблемы:

• Туннель подключается, но интернет не работает.
• Работает через LTE, но не через Wi-Fi.
• Подключение устанавливается только после нескольких попыток.

Мобильный профиль и импорт через vpn://

Для смартфонов и нестабильных сетей генераторы предлагают мобильный профиль. Он использует низкие значения Jc/Jmax, MTU 1280 и отключает IPv6. Это снижает количество ретрансмиссий и делает туннель более предсказуемым при плохом сигнале.

Мобильный профиль не гарантирует работу в любой сети, но уменьшает вероятность сбоев.

Импорт конфига на телефон можно выполнить двумя способами:

1. Скачать .conf файл и передать его на устройство.
2. Использовать ссылку vpn://, которая содержит весь конфиг в сжатом base64-формате. Приложение AmneziaVPN на Android и iOS распознаёт эту схему и предлагает импортировать конфиг одним касанием.

Ссылку vpn:// можно скопировать из генератора и отправить себе в мессенджер или открыть на телефоне.

Автозапуск AmneziaWG в Windows

Чтобы AmneziaWG автоматически подключался при входе в систему, можно использовать планировщик Windows. Генераторы предоставляют готовые .bat файлы, которые создают задачу в планировщике.

Инструкция:

1. Сгенерируйте конфиг и сохраните его в папку «Загрузки» с именем AmneziaWarp.conf (или AmneziaWarp-AWG2.conf для AWG 2.0).
2. Скачайте соответствующий .bat файл (для версии 1.5 или 2.0).
3. Запустите .bat от имени администратора один раз.
4. Задача будет создана, и при следующем входе в систему AmneziaWG автоматически подключится.

Если вы меняете версию клиента, удалите старую задачу в планировщике или используйте другой .bat (имена задач внутри файлов различаются).

Путь к amneziawg.exe в .bat может потребовать правки, если вы установили программу не в стандартную папку.

Диагностика: что делать, если конфиг не работает

Если конфиг не работает, не спешите искать новый. Сначала проверьте основные параметры.

1. Проверьте endpoint и порт. Попробуйте заменить hostname на прямой IP или сменить порт. Список рабочих IP можно найти в Telegram-каналах или на форумах.

2. Проверьте DNS. Замените DNS на альтернативные (например, Comss.one). Убедитесь, что DNS-сервер доступен.

3. Проверьте AllowedIPs. Если используется полный туннель, попробуйте временно включить только нужные маршруты. Иногда проблема в конфликте маршрутов.

4. Проверьте версию клиента. Для AWG 2.0 нужен клиент не ниже 4.8.12.9. Если у вас старая версия, используйте Legacy.

5. Проверьте права администратора. AmneziaWG может требовать запуска от имени администратора. Если появляется ошибка "may only be used by users who are members of the builtin Administrators group", запустите программу от имени администратора или добавьте пользователя в группу администраторов.

6. Проверьте антивирус и брандмауэр. Некоторые антивирусы блокируют AmneziaWG. Добавьте программу в исключения.

7. Проверьте сеть. Если работает через LTE, но не через Wi-Fi, проблема в UDP-фильтрации или NAT. Попробуйте другой порт или мобильный профиль.

Если ничего не помогает, сгенерируйте новый конфиг — возможно, старый просто устарел.

Вопросы и ответы