Подключение к WireGuard с iPhone: пошаговая инструкция

MAATRIX

На iPhone WireGuard настраивается быстрее, чем на десктопе: официальное приложение из App Store умеет сканировать QR-код с конфигурацией и поднимает туннель за один тап, без ручного ввода ключей и адресов. Сложности обычно возникают не с самим приложением, а с тем, как правильно подготовить и передать конфиг на телефон, и что делать, если после переключения тумблера трафик не идёт. Разберём весь путь — от установки до диагностики.

Что понадобится перед началом

Прежде чем открывать App Store, убедитесь, что у вас есть:

• Сервер с поднятым WireGuard — свой VPS с настроенным wg-quick, либо готовый конфиг от провайдера. Если сервера ещё нет, сначала разберитесь с установкой и настройкой WireGuard на VPS — там же описано, как сгенерировать клиентский профиль.
• Клиентская конфигурация — файл .conf с приватным ключом клиента, публичным ключом сервера, адресом интерфейса и списком AllowedIPs. Обычно генерируется на сервере вместе с QR-кодом для этого же клиента.
• QR-код конфигурации (желательно) — самый удобный способ передать конфиг на iPhone, потому что не нужно пересылать файл с приватным ключом через почту или мессенджер.
• Камеру телефона со свободным доступом — приложению WireGuard понадобится разрешение на использование камеры для сканирования.

Если конфиг уже лежит у вас в виде .conf-файла без QR-кода, это тоже не проблема — ниже есть отдельный способ импорта без сканирования.

Установка приложения WireGuard из App Store

Официальное приложение публикует WireGuard Development Team, оно бесплатное и без рекламы:

1. Откройте App Store, введите в поиске WireGuard.
2. Найдите приложение с иконкой в виде щита и разработчиком WireGuard Development Team — это единственная официальная сборка, других доверенных клиентов для iOS у проекта нет.
3. Установите и откройте приложение.

При первом запуске приложение попросит разрешение на добавление VPN-конфигураций — это системный диалог iOS, а не что-то специфичное для WireGuard. Без этого разрешения ни один VPN-клиент на iPhone работать не будет. Подтвердите Face ID или пароль экрана блокировки, когда появится запрос.

Само приложение — это просто интерфейс поверх системного механизма Network Extension: WireGuard на iOS не эмулирует туннель в userspace через постоянный процесс, а использует официальный API Apple для VPN-провайдеров, поэтому расход батареи сопоставим со встроенным IKEv2.

Импорт конфигурации через QR-код

Это основной и самый удобный способ на iOS — весь профиль передаётся одним сканированием, без набора текста на маленькой клавиатуре.

Сначала нужно получить сам QR-код. Если конфиг уже готов в виде .conf-файла на сервере, сгенерировать код можно прямо в терминале:

sudo apt install qrencode -y
qrencode -t ansiutf8 < /etc/wireguard/clients/iphone.conf

Команда выведет QR-код прямо в терминал ASCII-символами — можно навести камеру iPhone на экран ноутбука или сервера по SSH через терминал с графическим выводом. Если удобнее получить картинку:

qrencode -o iphone-qr.png < /etc/wireguard/clients/iphone.conf

Файл iphone-qr.png можно открыть на любом экране — компьютере, планшете — и отсканировать с телефона.

Дальше в приложении WireGuard на iPhone:

1. Нажмите + в правом верхнем углу.
2. Выберите Create from QR Code.
3. Разрешите доступ к камере, если приложение запросит его впервые.
4. Наведите камеру на QR-код — распознавание происходит автоматически, без отдельной кнопки «сканировать».
5. После распознавания откроется экран с именем туннеля — можно оставить по умолчанию или переименовать (например, «Домашний сервер» или «US-VPS»), затем нажать Save.

Туннель появится в списке на главном экране приложения, пока ещё неактивный.

Импорт конфигурации без QR-кода

Если QR-код недоступен — например, конфиг прислали файлом в почте или мессенджере, — используйте один из альтернативных способов:

Через приложение Файлы. Сохраните .conf-файл в приложение Files (например, в iCloud Drive), затем в WireGuard нажмите + → Create from file or archive, выберите файл. Приложение само распарсит текст и создаст туннель.

Через AirDrop. Если конфиг лежит на Mac, отправьте .conf-файл на iPhone через AirDrop — система предложит открыть его приложением WireGuard напрямую, без промежуточного сохранения в Files.

Через буфер обмена. Скопируйте текст конфигурации целиком, откройте WireGuard, нажмите + → Create from clipboard. Работает, если весь текст .conf-файла оказался у вас в буфере — например, вставили его в заметки, скопировали оттуда.

Ручной ввод. Крайний случай — создать туннель вручную через Add empty tunnel и вписать все параметры по одному: PrivateKey, Address, PublicKey сервера, Endpoint, AllowedIPs. Долго и легко ошибиться в ключах, поэтому используйте только если остальные способы недоступны.

Независимо от способа импорта, конфигурация должна содержать оба блока — [Interface] с параметрами клиента и [Peer] с параметрами сервера. Если в файле есть только один из блоков, приложение либо откажется его импортировать, либо создаст туннель, который не сможет установить соединение.

Включение туннеля и проверка подключения

После того как туннель появился в списке:

1. Нажмите на тумблер справа от имени туннеля.
2. При первом включении iOS покажет системный запрос «WireGuard» пытается добавить конфигурации VPN — нажмите Разрешить, подтвердите Face ID или Touch ID.
3. Тумблер станет зелёным, статус сменится на Active.

Откройте туннель тапом по названию — на экране деталей видно:

• Status — Active/Inactive.
• Latest handshake — время последнего успешного рукопожатия с сервером. Если поле пустое или не обновляется дольше 2-3 минут — соединение не установлено, туннель поднят только локально.
• Transfer — счётчики отправленных и полученных байт. Растущий счётчик получения — надёжный признак того, что сервер действительно отвечает.

Проверить реальный выход в интернет через туннель можно, открыв в браузере любой сервис определения IP — адрес должен смениться на адрес сервера. Если держите несколько серверов в разных локациях и создали под каждый отдельный туннель, учтите: активным на iPhone может быть только один туннель одновременно, включение второго автоматически выключает первый.

Автозапуск, on-demand и биометрическая защита

По умолчанию туннель нужно включать вручную каждый раз. Для автоматизации в приложении есть режим On-Demand Activation — открывается через экран деталей туннеля, свайп до конца вниз:

• Wi-Fi — активировать при подключении к Wi-Fi (можно указать конкретные SSID, которые исключить, например домашнюю сеть).
• Cellular — активировать при подключении к сотовой сети.
• Оба флажка можно включить одновременно, чтобы туннель поднимался автоматически при любом типе соединения.

Это удобно для постоянного использования, но у механизма есть нюанс: on-demand в iOS иногда переустанавливает туннель заново при смене сети (переход Wi-Fi → LTE), из-за чего на пару секунд связь обрывается — это поведение системного VPN-фреймворка Apple, а не баг приложения.

Для защиты конфигурации от посторонних, если телефон окажется в чужих руках, включите в настройках приложения (значок шестерёнки → Настройки) требование Face ID или Touch ID перед просмотром содержимого туннеля — приватный ключ не получится увидеть или экспортировать без подтверждения личности.

Отдельная рекомендация для мобильной сети: если конфиг создавался вручную, добавьте в блок [Peer] параметр PersistentKeepalive = 25. Сотовые операторы и NAT на мобильных сетях агрессивно закрывают неактивные UDP-сессии, и без keepalive туннель может «зависать» — статус Active, а трафик не идёт, пока не переподключишься вручную.

Частые вопросы