SSH, panoul bazei de date, Grafana și orice interfață de administrare nu au ce căuta pe internet, chiar protejate cu parolă și 2FA. Un VPN WireGuard le mută într-o rețea privată la care ajung doar oamenii cu o cheie, iar de pe internet serverul arată închis.
Fiecare serviciu expus pe internet e un serviciu care poate avea o vulnerabilitate mâine: un panou de administrare al bazei de date, o interfață Grafana, un Docker API. Chiar SSH cu chei rămâne expus la un bug în sshd. Cu WireGuard, singurul lucru vizibil de afară e un port UDP care nu răspunde deloc pachetelor fără o cheie validă. Toate serviciile administrative ascultă pe adresa privată din tunel.
WireGuard nu are conturi și parole; identitatea e cheia publică. De aceea fiecare persoană primește propria pereche de chei, generată pe laptopul ei, și propria adresă din rețeaua tunelului. AllowedIPs pe server, pentru fiecare peer, e adresa aceea /32 și nimic altceva: așa un peer nu poate pretinde adresa altuia. Pe client, AllowedIPs listează doar rețelele interne, iar PersistentKeepalive = 25 ține tunelul deschis prin NAT. Configurația serverului stă în Git, ca revocarea să fie un commit.
Controlul accesului la sistemele care prelucrează date personale e cerut de art. 32 GDPR, iar la un incident ANSPDCP întreabă cine putea ajunge la server și cum. Pentru entitățile de sub OUG 155/2024, transpunerea NIS2 aprobată prin Legea 124/2025, art. 13 cere explicit politici de control al accesului (lit. f) și autentificare multi-factor (lit. j), iar retragerea drepturilor la plecarea unui angajat face parte din gestionarea accesului. Accesul administrativ printr-un VPN nu e cerut ca atare de ordonanță, dar e felul obișnuit în care se demonstrează ambele: un VPN cu o cheie per persoană produce automat lista de cine are acces — fișierul de configurare al serverului.
| Criteriu | WireGuard | OpenVPN |
|---|---|---|
| Protocol și transport | UDP, criptografie fixă modernă (Noise, ChaCha20) | UDP sau TCP, TLS cu suite configurabile |
| Dimensiune și audit | Cod mic, în kernelul Linux din 5.6 | Cod mare, în spațiul utilizatorului |
| Identitate | Chei publice statice, un peer per persoană | Certificate X.509, PKI proprie |
| Revocare | Ștergi peer-ul din configurație | CRL sau reemitere de certificate |
| Vizibilitate de pe internet | Nu răspunde fără cheie validă | Port care răspunde la handshake |
| Când îl alegi | Acces administrativ, site-to-site simplu | Nevoie de TCP/443 prin firewall-uri restrictive, PKI existentă |
sudo apt install -y wireguard
umask 077
wg genkey | tee server.key | wg pubkey > server.pub[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <conținutul server.key>
[Peer]
# ana, laptop de lucru
PublicKey = <cheia publică a Anei>
AllowedIPs = 10.8.0.2/32
[Peer]
# server de monitorizare
PublicKey = <cheia publică a mașinii de monitorizare>
AllowedIPs = 10.8.0.10/32sudo ufw allow 51820/udp
sudo ufw allow in on wg0 to any port 22 proto tcp
sudo ufw delete allow 22/tcp # abia după ce ai testat tunelul dintr-o a doua sesiune
sudo systemctl enable --now wg-quick@wg0
# revocare: ștergi blocul [Peer] din wg0.conf, apoi
sudo wg syncconf wg0 <(sudo wg-quick strip wg0)Cinci colaboratori aveau chei SSH pe servere de client și nimeni nu ținea lista. Agenția a pus WireGuard pe un VPS de acces, a mutat SSH-ul tuturor serverelor pe rețeaua tunelului și a dat fiecărui colaborator un peer. Plecarea unui freelancer înseamnă acum ștergerea unui bloc de patru linii.
Interfața de administrare a bazei de date era pe internet, protejată de parolă. După ce un scaner a găsit-o, a fost legată de adresa din tunelul WireGuard, iar personalul o accesează prin VPN, fără ca portul să mai fie vizibil.
Intri prin consola din panoul furnizorului, care nu depinde de rețea, și repari configurația. De aceea testezi întâi cu SSH încă deschis pe internet, dintr-o a doua sesiune, și abia apoi închizi portul public. Păstrezi și o copie a configurației WireGuard în afara serverului.
Cheia WireGuard de pe laptop plus cheia SSH sunt deja două lucruri pe care trebuie să le ai. Riscul rămas e laptopul furat deblocat; îl reduci cu criptarea discului și cu frază de acces pe cheia SSH. Pentru echipe mari, o soluție peste WireGuard adaugă identitate centralizată și 2FA.
Da, pentru un server sau două e cel mai simplu. Când ai mai multe mașini, pui WireGuard pe un VPS mic de acces, iar toate celelalte servere acceptă SSH doar din rețeaua acelui tunel. Așa ai un singur loc unde gestionezi peer-ii.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.