Yggdrasil: установка, настройка и приватные сети

Визуализация сети Yggdrasil

Yggdrasil — это IPv6 overlay-сеть с шифрованием и децентрализованной топологией «mesh», которая позволяет быстро собирать приватные или публично-доступные VPN-подключения. В статье подробно объяснено: как установить Yggdrasil на Debian/Ubuntu, Fedora и Arch, как создать публичный узел и как ограничить доступ по публичным ключам.

Что такое mesh‑сеть и Yggdrasil

Yggdrasil представляет узлы сети как листья двоичного дерева: каждый узел может ретранслировать трафик для других узлов, поэтому логика маршрутизации напоминает «сеть‑ячейку» (mesh). Проще: вместо одного центрального маршрутизатора трафик проходит по множеству взаимосвязанных узлов, и пакеты находят кратчайший или доступный путь по дереву.

Ключевые определения в одну строку

Overlay‑сеть — виртуальная сеть, построенная поверх существующей IP‑инфраструктуры.
Узел (node) — машина или устройство с запущенным демоном Yggdrasil.
Peers / списки пиров — адреса/URI, к которым ваш узел может устанавливать исходящие соединения.

Схема дерева узлов Yggdrasil

Yggdrasil использует IPv6‑адреса, генерируемые из публичных ключей узлов. Это значит, что каждый узел получает стабильный адрес в пределах Yggdrasil‑анонимности, и соединения между узлами могут быть зашифрованы (TLS) или незащищённы (TCP) по выбору.

Important: Yggdrasil — это overlay и не заменяет маршрутизацию в вашей локальной сети. Оно добавляет ещё один слой адресации и шифрования поверх существующей сети.

Почему стоит выбрать Yggdrasil

Yggdrasil привлекателен по нескольким причинам:

Децентрализация: нет единого сервера, все узлы равноправны.
Шифрование: поддержка TLS и SOCKS для исходящих подключений; приватность зависит от конфигурации.
Простота: относительно лёгкая установка и настройка на популярных дистрибутивах.
Универсальность: можно собрать полностью приватную сеть или подключиться к публичной сети сообщества.

Ментальная модель (как думать о Yggdrasil)

Представьте глобальную карту: вместо одного магистрального шлейфа — множество локальных троп, и пакеты выбирают маршруты по дереву. Если один путь недоступен, пакет обходит его через другие листья.

Контрпример/когда это не подходит

Если вам нужна совместимость с IPv4‑only сервисами без проксирования — Yggdrasil сам по себе этого не решит.
Если у вас строгая корпоративная политика, запрещающая overlay‑сети — использование может быть запрещено.

Пример маршрутизации в Yggdrasil

Подготовка: требования и понятия

Требования

Рабочий интернет‑канал для узла (может быть за NAT; но для публичного узла нужен публичный адрес/перенаправление портов).
Владелец узла должен иметь права sudo/root для установки и изменения /etc/yggdrasil.conf.
Базовые навыки работы с Linux: редактирование файлов, systemctl, диагностика сети.

Ключевые файлы и команды

/etc/yggdrasil.conf — главный конфигурационный файл.
yggdrasilctl — утилита управления и получения информации об узлах.
systemctl enable/start/restart yggdrasil — управление сервисом.

Как установить Yggdrasil

Yggdrasil присутствует в большинстве популярных дистрибутивов, но на некоторых нужно добавить репозиторий.

Установка в Debian и Ubuntu

Импортируйте GPG‑ключ репозитория:

gpg --fetch-keys https://neilalexander.s3.dualstack.eu-west-2.amazonaws.com/deb/key.txt
gpg --export 569130E8CA20FBC4CB3FDE555898470A764B32C9 | sudo apt-key add -

Добавьте репозиторий в apt:

echo 'deb http://neilalexander.s3.dualstack.eu-west-2.amazonaws.com/deb/ debian yggdrasil' | sudo tee /etc/apt/sources.list.d/yggdrasil.list

Обновите индексы и установите пакет:

sudo apt update && sudo apt install yggdrasil

Импорт GPG‑ключа Yggdrasil

Заметка: некоторые новые версии Debian/Ubuntu помечают apt‑key как устаревший; в таком случае добавляйте ключи в /etc/apt/trusted.gpg.d/ или используйте официальный способ для вашего релиза.

Также читайте: Как использовать Python для базового администрирования Linux и сетевых задач

Установка в Fedora

В Fedora Yggdrasil доступен в Community Packages. Чтобы установить из COPR:

sudo dnf copr enable rany/yggdrasil
sudo dnf install yggdrasil

Установка в Arch Linux

В Arch Yggdrasil уже есть в официальных community‑репозиториях:

sudo pacman -Syu yggdrasil

Первичная конфигурация

После установки основной файл конфигурации будет находиться в /etc/yggdrasil.conf. Если файла нет, сгенерируйте пример конфигурации:

sudo sh -c 'yggdrasil -genconf > /etc/yggdrasil.conf'

Откройте файл в любимом редакторе (пример):

sudo nano -w /etc/yggdrasil.conf

Пример yggdrasil.conf

Файл содержит секции, которые определяют слушатели (Listen), список пиров (Peers), список разрешённых публичных ключей (AllowedPublicKeys) и другие параметры.

Блок Peers: подключение к публичной сети

Блок Peers задаёт внешние адреса/URI для исходящих подключений. Форматы URI:

tls://host:port — TLS‑шифрование
tcp://host:port — без шифрования
socks://addr/peeraddr — SOCKS прокси формат

Пример:

{
  # Список строк подключения для исходящих peer‑соединений в формате URI,
  # например tls://адрес:порт или socks://адрес/peer. Эти соединения
  # будут следовать таблице маршрутизации ОС.
  Peers: [
    tls://address.domain:port
    tcp://1.2.3.4:port
    socks://[aaaa:...:ffff]/[1111:...:9999]
  ]
}

Пример Peers в конфигурации

Совет: для надежности добавьте несколько публичных пиров; если один недоступен, соединение установится с другим.

Включение и запуск сервиса

После сохранения конфигурации включите и запустите сервис:

sudo systemctl enable yggdrasil
sudo systemctl start yggdrasil

Проверка статуса:

sudo systemctl status yggdrasil

Проверить подключение к сообществу можно также открыв страницу статуса публичного списка узлов (если такая страница предоставлена сообществом) или используя yggdrasilctl.

Yggdrasil сервис активен

Создание собственной приватной сети

Если вам нужна закрытая VPN‑сеть из нескольких машин, процесс включает:

Наличие публично доступного узла (с публичным IP или с проброшенным портом).
Добавление приватных узлов, которые соединяются с этим публичным узлом или между собой.
Ограничение доступа через AllowedPublicKeys для белого списка.

Настройка публичного узла (listen)

Чтобы публичный узел принимал входящие соединения, добавьте слушатели в секцию Listen:

# Примеры слушателей для входящих подключений
Listen: [
  tls://your.ipv4.address.here:12345
  tcp://[your:ipv6:address:here]:12345
]

В примере IPv4 слушатель использует TLS, а IPv6 настроен на TCP без шифрования (такой выбор может быть осознанным при ограничении возможностей устройств).

Пример Listen в конфигурации

Важно: для публичного узла убедитесь, что порт открыт в межсетевом экране и проброшен на роутере, если устройство стоит за NAT.

Обнаружение адреса и публичного ключа

Каждый узел при установке генерирует пару ключей и получает IPv6‑адрес в пространстве Yggdrasil. Команда для просмотра собственного адреса и ключа:

sudo yggdrasilctl getself

Вы увидите IPv6‑адрес, обычно начинающийся с 20xx:…, и публичный ключ узла. Публичный ключ используется для формирования белого списка.

Результат yggdrasilctl getself

Ограничение доступа: AllowedPublicKeys

Чтобы публичный узел принимал только определённые подключения, внесите публичные ключи доверенных машин в AllowedPublicKeys:

# Список публичных ключей пиров, которым разрешено входящее peering‑соединение
AllowedPublicKeys: [
  "publickey1"
  "publickey2"
  "publickey3"
]

Если список пустой или не задан, по умолчанию будут разрешены все входящие подключения.

После изменения конфигурации примените её:

sudo systemctl restart yggdrasil

Поздравляем — базовая приватная сеть настроена.

Отладка и распространённые проблемы

Чеклист для быстрого поиска неисправностей

Проверить статус сервиса: sudo systemctl status yggdrasil
Проверить подключенные пиры: sudo yggdrasilctl getpeers
Проверить собственный адрес и публичный ключ: sudo yggdrasilctl getself
Убедиться, что Listen‑порт доступен из внешней сети (telnet/ nc)
Убедиться, что Peers в конфиге содержат реальные IP/URI, а не Yggdrasil‑адреса (для исходящих соединений через разные интерфейсы)

Типичные причины отсутствия соединения

Оба узла за NAT без проброса портов и без реле — не могут установить прямое соединение.
Неправильно указанный адрес или порт в блоке Peers/Listen.
Межсетевой экран блокирует порты.
AllowedPublicKeys настроен неправильно — не включает ключ удалённого узла.

Диагностика через yggdrasilctl

sudo yggdrasilctl getpeers — показывает текущих пиров и их статус.
sudo journalctl -u yggdrasil -f — смотреть логи демона в реальном времени.

Пример распространённой ошибки и решения

Симптом: getpeers показывает 0 подключений, но сервис активен. Решение: проверить reachability Peers (telnet/ nc к каждому указанному URI), проверить маршрутизацию ОС и таблицы ip route, проверить, не блокирует ли провайдер трафик на указанный порт.

Практические рекомендации и лучшие практики

Для приватной сети используйте белый список AllowedPublicKeys — это самый надёжный способ ограничить доступ.
Используйте комбинированный подход: TLS для надёжных устройств и TCP только для очень ограниченных встроенных систем.
Поддерживайте резервные peers: добавьте 2–3 публичных адреса в Peers.
Логи и мониторинг: подключите базовую систему логирования, настройте ротацию логов и alert на падение сервиса.

Ролевые чеклисты

Администратор публичного узла:

Убедиться, что порт слушается и проброшен.
Собрать публичные ключи доверенных машин.
Настроить AllowedPublicKeys и перезапустить сервис.
Настроить бэкап конфигурации.

Пользователь приватного узла:

Получить публичный ключ и адрес у администратора.
Добавить публичный адрес администратора в Peers.
Проверить подключение командой getpeers.

Альтернативы и совместимость

Альтернативные решения mesh/overlay:

Tailscale/ZeroTier — коммерчески ориентированные простые решения с централизованным контролем (Tailscale использует WireGuard, требует учетной записи).
WireGuard — быстрый VPN, но требует явной настройки пиров и маршрутизации.

Когда Yggdrasil предпочтителен

Нужна полностью децентрализованная сеть без единой централизованной инфраструктуры.
Требуется построить IPv6‑overlay быстро и с возможностью разнообразной маршрутизации.

Когда лучше выбрать альтернативу

Если требуется нативная поддержка IPv4 без дополнительных проксей — стоит рассмотреть WireGuard или Tailscale.

Метод простого внедрения (микро‑SOP)

На тестовой машине сгенерируйте конфигурацию: sudo sh -c ‘yggdrasil -genconf > /etc/yggdrasil.conf’.
Добавьте один публичный Peer (из списка сообщества) для быстрого теста.
Запустите сервис, проверьте getself и getpeers.
На публичном сервере добавьте Listen и пробросьте порт в роутере/фаерволе.
Соберите публичные ключи клиентов, внесите в AllowedPublicKeys.
Перезапустите сервис и проверьте подключение всех участников.

Диагностическое дерево решений (Mermaid)

flowchart TD
  A[Нет соединения] --> B{Проброс портов?}
  B -- Да --> C{Peers указаны верно?}
  B -- Нет --> D[Настроить NAT/проброс портов]
  C -- Да --> E{AllowedPublicKeys пуст или неверен?}
  C -- Нет --> F[Исправить Peers и перезапустить]
  E -- Да --> G[Добавить публичный ключ в AllowedPublicKeys]
  E -- Нет --> H[Проверить liveness сервиса и логи]
  G --> H
  H --> I[Проверка: sudo yggdrasilctl getpeers]

Часто задаваемые вопросы

1. Я добавил адрес друга в конфигурацию, но не могу подключиться. Что не так?

Причины могут быть разные. Самые распространённые:

Оба узла находятся за NAT без проброса портов или реле, поэтому невозможно установить прямое соединение.
Блоки Peers и Listen настроены неправильно — убедитесь, что вы используете реальные IPv4/IPv6 адреса для Peers/Listen, а не Yggdrasil‑адреса, если соединение должно устанавливаться через конкретный интерфейс.
Межсетевой экран или провайдер блокирует порт.

Действия: проверьте проброс портов, проверьте, что Listen привязан к правильному интерфейсу, используйте telnet/nc для проверки доступности порта.

2. Как понять, что машины правильно peer‑ятся?

Выполните:

sudo yggdrasilctl getpeers

Эта команда покажет список текущих пиров и их статус. Также полезно смотреть логи демона: sudo journalctl -u yggdrasil -f.

3. Можно ли создать «сильный» адрес Yggdrasil с особыми префиксами?

Да. Для этого используют генераторы адресов (address miners), которые перебирают ключи в поиске публичной части с желаемыми префиксами или количеством ведущих нулей. Одним из известных инструментов является Simple Yggdrasil Generator (SYG). Такие инструменты могут значительно замедлить процесс генерации и потребовать времени и ресурсов.

Безопасность и конфиденциальность

По умолчанию Yggdrasil шифрует трафик между узлами при использовании TLS/ SOCKS. TCP‑соединения — нешифрованные.
Белый список AllowedPublicKeys — ключевой механизм контроля доступа.
Логи содержат информацию о peering‑событиях; храните их в защищённом месте и настройте ротацию.

Вывод

Yggdrasil — удобный инструмент для быстрого развертывания децентрализованной IPv6‑overlay сети. Он подходит как для энтузиастов, так и для небольших команд, которым нужен лёгкий способ связи между удалёнными машинами. Для корпоративных сценариев следует дополнительно продумывать политику безопасности и интеграцию с существующими инструментами мониторинга.

Краткое резюме:

Yggdrasil строит mesh‑сеть с адресацией на базе публичных ключей.
Можно подключиться к публичной сети сообщества или организовать собственную приватную сеть.
Ограничение доступа достигается через AllowedPublicKeys.
Диагностика — через yggdrasilctl и systemctl/journalctl.

Также читайте: Как управлять Wi‑Fi сетью в Linux

Image credit: Unsplash

Сеть Yggdrasil: установка, настройка и приватные сети