Настройка ChangeMyIP WireGuard на Windows: полный туннель и раздельная маршрутизация

Обзор

ChangeMyIP предлагает WireGuard наряду с эндпоинтами HTTP, HTTPS, SOCKS5, Shadowsocks и Trojan. В Windows WireGuard работает как фоновая служба, поэтому как только туннель активен, каждое приложение выходит через выход ChangeMyIP, а не через ваше домашнее подключение. Это делает его самым простым способом сменить IP-адрес в Windows, когда вы не хотите настраивать прокси для каждой программы.

Вы выполните:

1. Создадите туннель WireGuard из данных подключения ChangeMyIP.
2. Подтвердите рукопожатие, новый публичный IP и разрешение DNS.
3. Выберете между маршрутизацией через полный туннель и раздельной маршрутизацией по назначению.
4. Диагностируете сбои, из-за которых чаще всего ломаются конфигурации.

Что вам понадобится

• Windows 10 или Windows 11 с правами администратора.
• Тариф ChangeMyIP, включающий доступ к WireGuard, а также его данные подключения: хост эндпоинта и UDP-порт, публичный ключ сервера, ваш приватный ключ, назначенный адрес туннеля и значение DNS.
• Официальный клиент WireGuard для Windows со страницы загрузки WireGuard.
• Любой сервис отображения публичного IP для проверки (в примерах ниже используется один; подойдёт любой аналогичный).

Полный туннель или раздельный туннель?

WireGuard решает, что туннелировать, по IP-адресу назначения, а не по программе. Если вам нужно, чтобы "только этот браузер шёл через прокси", правильный инструмент — настройка прокси, а не интерфейс WireGuard.

Исходные данные: запишите текущий IP и DNS

# Публичный IP до туннеля
curl.exe -s https://ifconfig.co/ip

# DNS-серверы, используемые в данный момент
Get-DnsClientServerAddress -AddressFamily IPv4 |
  Where-Object { $_.ServerAddresses } |
  Select-Object InterfaceAlias, ServerAddresses

Сохраните оба вывода. Вам нужно известное значение «до», чтобы сравнить с ним после включения туннеля.

Шаги

1. Соберите значения WireGuard от ChangeMyIP

Войдите в свою учётную запись ChangeMyIP и найдите данные подключения WireGuard. Конфигурация WireGuard один к одному соответствует этим полям:

• Interface > PrivateKey — приватный ключ, назначенный вашему устройству
• Interface > Address — адрес туннеля для вашего устройства, обычно /32
• Interface > DNS — DNS-сервер для использования внутри туннеля
• Peer > PublicKey — публичный ключ сервера ChangeMyIP
• Peer > Endpoint — имя хоста или IP-адрес плюс UDP-порт
• Peer > AllowedIPs — 0.0.0.0/0, ::/0 для полного туннеля

Если ChangeMyIP предоставляет загружаемый файл .conf, вы можете импортировать его напрямую на шаге 3. В любом случае откройте его один раз, чтобы проверить строки DNS и AllowedIPs.

2. Установите WireGuard для Windows

1. Скачайте установщик с официального сайта WireGuard.
2. Запустите его от имени администратора и завершите работу мастера.
3. Убедитесь, что фоновая служба запущена:

Get-Service -Name 'WireGuardManager' |
  Select-Object Name, Status, StartType

Если в вашей сборке нет службы с таким именем, откройте services.msc и найдите службу, имя которой начинается с WireGuard.

3. Создайте туннель

Если вы получили файл конфигурации, выберите Импорт туннеля (туннелей) из файла и перейдите к шагу 4. В противном случае вставьте свои значения в новый туннель:

[Interface]
PrivateKey = <client-private-key-from-changemyip>
Address = 10.7.0.2/32
DNS = <dns-server-from-your-changemyip-config>

[Peer]
PublicKey = <changemyip-server-public-key>
Endpoint = <endpoint-host-or-ip>:<udp-port>
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

1. Откройте WireGuard и выберите Добавить туннель > Добавить пустой туннель.
2. Назовите его по расположению выхода, например changemyip-de-frankfurt, чтобы позже было очевидно, как переключаться между городами.
3. Замените каждый <placeholder> своими значениями. Не добавляйте кавычки, запятые или точку с запятой в конце.
4. Сохраните туннель.

Значение Address — это ваш адрес внутри зашифрованного соединения, а не IP, который увидят сайты. Публичный IP — это IP эндпоинта ChangeMyIP.

4. Активируйте и подтвердите рукопожатие

1. Выберите туннель и нажмите Активировать.
2. Следите за строкой состояния: она должна перейти от Ожидание рукопожатия к отметке свежего рукопожатия в течение нескольких секунд.
3. При желании проверьте из терминала. Утилита wg.exe поставляется вместе с клиентом для Windows:

& 'C:\Program Files\WireGuard\wg.exe' show

Найдите строку latest handshake. Ненулевые счётчики transfer подтверждают, что трафик идёт в обоих направлениях. Если wg.exe отсутствует в каталоге установки, ориентируйтесь на состояние, показанное в окне WireGuard.

5. Проверьте новый публичный IP

curl.exe -s https://ifconfig.co/ip

Затем подтвердите все три пункта:

• Значение отличается от исходного, записанного ранее.
• Страна, которую показывает сервис определения IP, соответствует импортированному эндпоинту.
• Браузер в новом приватном окне показывает тот же адрес. Обычное окно может использовать кэшированную геолокацию и устаревшие результаты DNS.

6. Проверьте DNS и IPv6

1. Сравните DNS-серверы до и после активации:

Get-DnsClientServerAddress -AddressFamily IPv4 |
  Where-Object { $_.ServerAddresses } |
  Select-Object InterfaceAlias, ServerAddresses

2. Если строка DNS в вашей конфигурации была пустой, запросы всё равно идут на DNS-сервер вашего провайдера. На практике это утечка DNS, даже если туннель активен. Добавьте значение DNS, предоставленное ChangeMyIP, и активируйте заново.
3. Запустите в браузере проверку подключения по IPv6. Туннель, в котором в AllowedIPs указано только 0.0.0.0/0, оставляет трафик IPv6 вне туннеля. Добавьте ::/0 или отключите IPv6 на активном адаптере.
4. Запустите тест на утечку WebRTC. Если он показывает адрес вашего провайдера, отключите WebRTC в этом браузере или используйте браузер, который по умолчанию не раскрывает локальные кандидаты.

7. Необязательно: разделите туннель по назначению

1. Деактивируйте туннель.
2. Измените строку AllowedIPs пира, оставив только диапазоны, которые нужно туннелировать, например 198.51.100.0/24, 203.0.113.10/32.
3. Оставьте строку DNS, только если вы также хотите туннелировать эти запросы. В противном случае удалите её и позвольте системному DNS-серверу обрабатывать всё.
4. Активируйте заново, затем снова проверьте публичный IP. При обычном просмотре сохраняется ваш исходный адрес, а запросы к перечисленным диапазонам идут через выход ChangeMyIP.

8. Переключение расположений выхода

Каждый импортированный эндпоинт ChangeMyIP становится отдельным туннелем. Сохраните по одной конфигурации для каждого города, затем деактивируйте текущий туннель и активируйте другой. Публичный IP меняется вместе с эндпоинтом, что делает этот способ самым быстрым для сравнения того, как страница ведёт себя из разных стран.

Устранение неполадок

• Статус так и не выходит из Ожидание рукопожатия. Обычно блокируется UDP, что часто встречается в корпоративных, студенческих и гостиничных сетях. Проверьте в брандмауэре Windows правило для WireGuard, запросите у ChangeMyIP другой эндпоинт или порт, а если UDP полностью заблокирован, переключитесь на один из вариантов ChangeMyIP на основе TCP, например на его эндпоинты HTTP, HTTPS или SOCKS5.
• Рукопожатие проходит, но страницы не загружаются. Проверьте, что AllowedIPs содержит 0.0.0.0/0, ::/0, что указано значение DNS и что MTU в разумных пределах. В сетях с необычной инкапсуляцией добавьте MTU = 1280 в раздел [Interface] и активируйте заново.
• Публичный IP не изменился. Возможно, туннель на самом деле не активен, тестовая страница закэширована или второй VPN- или прокси-клиент на машине переопределяет маршруты. Проверьте с помощью curl.exe в новом терминале.
• IP меняется, но сайт всё ещё показывает вашу домашнюю страну. Сайт использует кэшированную геолокацию, язык браузера или настройку учётной записи, а не ваш адрес. Проверьте в приватном окне с очищенным кэшем.
• Всё останавливается в момент падения туннеля. При конфигурации с полным туннелем у Windows нет другого пути наружу, кроме туннеля, поэтому неудачное рукопожатие выглядит точно как отключение интернета. Это более безопасный режим отказа; деактивируйте туннель, чтобы восстановить обычное подключение.
• Частые CAPTCHA или блокировки. Адрес выхода является общим и, возможно, уже помечен. Импортируйте конфигурацию для другого города или используйте резидентные эндпоинты ChangeMyIP, когда для задачи нужен более чистый IP.
• Низкая пропускная способность. Попробуйте другой эндпоинт ближе к вам, уменьшите MTU и сравните Wi-Fi с Ethernet, прежде чем винить провайдера.

Итог

• WireGuard в Windows маршрутизирует трафик на уровне всей системы, поэтому он меняет IP сразу для всех приложений.
• Импортируйте или вставьте данные подключения ChangeMyIP в именованный туннель, затем подтвердите рукопожатие, прежде чем проверять что-либо ещё.
• Всегда проверяйте публичный IP, DNS-сервер и путь IPv6. Статус «подключено» не доказывает отсутствие утечки.
• WireGuard разделяет по IP-адресу назначения, а не по приложению. Используйте эндпоинты SOCKS5 или HTTP от ChangeMyIP с маршрутизатором для отдельных приложений, когда нужен контроль на уровне процессов.
• Сохраняйте по одному туннелю для каждого города, чтобы переключать расположения выхода без повторной настройки.