3x-ui и панели управления WireGuard

Да, 3X-UI поддерживает WireGuard — но это не тот WireGuard, которым управляет wg-quick. В разделе Features официального README панель перечисляет WireGuard среди входящих протоколов рядом с VLESS, VMess, Trojan и Shadowsocks. Сама 3X-UI описана там же как веб-панель управления серверами Xray-core, поэтому WireGuard живёт в ней как inbound ядра Xray, а не как служба ОС.

Коротко. По документации Xray это реализация в пользовательском пространстве: файла /etc/wireguard/wg0.conf она не создаёт и команде wg show не видна. Релиз 3X-UI v3.4.2 от 29.06.2026 сделал такие инбаунды многоклиентскими, а 3X-UI v3.6.0 от 30.07.2026 снял ограничение пула адресов подсетью /24. Веб-интерфейс к системному WireGuard дают wg-easy (51821/tcp) и WGDashboard (10086). Панель — ещё один сетевой сервис: CVE-2026-44343 закрыта только в 4.3.2.

Поддерживает ли 3X-UI протокол WireGuard?

Поддерживает: WireGuard указан и в README панели, и в документации ядра — среди inbound- и outbound-протоколов Xray. Совет «3X-UI — это только Xray, WireGuard там нет» устарел. Релиз 3X-UI v3.4.2 от 29 июня 2026 года перевёл такие инбаунды в многоклиентскую модель с нативным списком users и адресами клиентов внутри подсети пира.

Путаница измерима: по Вордстату у «3x ui wireguard настройка» около 88 показов в месяц, у «wireguard ui настройка» — 98. Люди ищут веб-интерфейс к WireGuard, а попадают в панель для Xray.

Чем инбаунд Xray отличается от системного wg-quick?

Тем, что это реализация внутри процесса ядра Xray, а не сетевой интерфейс Linux. Параметры лежат в базе панели, поэтому в /etc/wireguard пусто, службы wg-quick@wg0 нет, а wg show ничего не выводит. Набор полей минимальный:

{ "secretKey": "ПРИВАТНЫЙ_КЛЮЧ", "mtu": 1420,
  "peers": [{ "publicKey": "КЛЮЧ_КЛИЕНТА", "allowedIPs": ["0.0.0.0/0", "::/0"] }] }

secretKey обязателен, mtu по умолчанию 1420. Там же документация предупреждает: протокол не проектировался под сети с глубоким анализом трафика, признаки его узнаваемы, и сервер может попасть под ограничения. Нужна маскировка — поднимают Xray с VLESS и Reality.

Какие веб-панели существуют именно для WireGuard?

Самых распространённых — два. wg-easy упаковывает WireGuard и веб-интерфейс в один контейнер (AGPL-3.0-only): клиенты, QR-коды, графики Tx/Rx, одноразовые ссылки, 2FA, вход через OIDC. WGDashboard — надстройка на Python и Vue.js поверх готовых конфигураций (Apache 2.0): автор писал её потому, что иначе за туннелем приходится следить через wg show на сервере.

WGDashboard читает тот же каталог, куда пишет ручная настройка WireGuard на VPS: он не заменяет понимание wg0.conf, а надстраивается над ним. Настройки лежат в wg-dashboard.ini: app_ip, app_port, auth_req.

Как установить wg-easy на своём сервере?

Установка занимает около 10 минут. Понадобится VPS с Linux и root-доступом — как его выбрать, разобрано в сравнении VPS.

Шаг 1. Подготовить сервер и Docker

apt update && apt install docker.io docker-compose-v2 -y

Шаг 2. Описать сервис в docker-compose.yml

Ключевые части официального файла; веб-порт здесь намеренно сужен до localhost:

services:
  wg-easy:
    image: ghcr.io/wg-easy/wg-easy:15
    volumes:
      - etc_wireguard:/etc/wireguard
      - /lib/modules:/lib/modules:ro
    ports:
      - "51820:51820/udp"
      - "127.0.0.1:51821:51821/tcp"
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1

Шаг 3. Запустить контейнер и открыть только UDP

Управляйте сервисом парой up / down: документация предупреждает, что start / stop оставляют его в несогласованном состоянии.

docker compose up -d
ufw allow 51820/udp

Шаг 4. Закрыть веб-интерфейс от интернета

Порт 51821 наружу не публикуйте. Без обратного прокси вендор прямым текстом называет доступ небезопасным и требует ограничить его локальной сетью. Вариантов два: прокси с TLS (рекомендация документации) либо проброс порта по SSH — это уже общая практика, а не цитата из доков:

ssh -L 51821:127.0.0.1:51821 root@ВАШ_IP_СЕРВЕРА

По http панель вход не даёт: INSECURE в v15 равна false.

Чем опасен открытый в интернет порт панели?

Цена ошибки уже измерена: CVE-2026-44343 (advisory GHSA-rrf5-q4fp-qvgm, severity Critical) затрагивал WGDashboard ниже 4.3.2 и позволял неаутентифицированной стороне обратиться к файловой системе хоста; риску, по тексту advisory, подвержены экземпляры в публичной сети.

• Версия ниже 4.3.2 — непропатченная критическая уязвимость. Обновление упирается во второй капкан: с 4.3.3 нужен Python 3.12+, а страница Requirements всё ещё называет 3.10–3.13. Верить надо release notes.
• admin / admin и app_ip = 0.0.0.0. Пара по умолчанию задокументирована публично, а панель слушает все интерфейсы.
• TLS внутри WGDashboard нет. Автор отказался от SSL на Gunicorn как нестабильного и советует терминировать TLS на nginx.

Что делать, если панель не открывается?

Почти все отказы сводятся к шести сочетаниям.

Какую панель выбрать под свою задачу?

Выбор определяет то, что уже стоит на сервере. Работает Xray и нужен второй протокол в той же панели — берите WireGuard-инбаунд 3X-UI. Сервер чистый и нужен классический WireGuard с QR-кодами без консоли — ставьте wg-easy: релиз v15.4.0 вышел 14 августа 2026 года. Конфигурации написаны руками и не хватает наблюдения — подойдёт WGDashboard не ниже 4.3.2 за nginx с TLS. Сравнение протоколов — в разделе «Настройка защищённого канала».

Частые вопросы

Ниже — то, что спрашивают чаще всего при первом знакомстве с панелями.