1. Отредактируйте параметры (Jc, S1-S4, H1-H4, I1-I5) в /etc/amnezia/amneziawg/awg0.conf в секции [Interface]; имена ключей пишите ровно как в файле.
2. Перезапустите сервис: sudo systemctl restart awg-quick@awg0.
3. Перегенерируйте конфиги всех клиентов: sudo bash /root/awg/manage_amneziawg.sh regen. regen читает актуальные значения прямо из awg0.conf.
4. Раздайте новые .conf / QR-коды / vpn:// URI клиентам.

• AmneziaWG ставится модулем ядра (DKMS), без Docker - нет постоянного демона и его расхода RAM/CPU.
• Весь сервер оптимизируется под железо: sysctl-буферы, swap, BBR, срез лишних пакетов.
• Поверхность атаки минимальна: UFW deny-all, Fail2Ban, строгие права, sysctl-хардненинг, один сервис вместо стека.
• Доступна тонкая настройка: пресет для мобильных сетей и прямой доступ к параметрам AmneziaWG.
• Управление из CLI (manage add/remove/list/--expires), готовые сборки под ARM, headless-режим для автоматизации.

• ручной правке клиентских .conf со снятием S3/S4;
• импорте серверного preset в WireGuard-клиент без AWG-расширений (обычный wg-quick на старом ядре, без amneziawg-модуля);
• миграции с AWG 1.x setup, где клиенты намеренно использовали S3=0/S4=0.

1. apt hook /etc/apt/apt.conf.d/99-amneziawg-post-kernel — после apt upgrade хелпер /usr/local/sbin/amneziawg-ensure-module --hook пересобирает DKMS под новое ядро. Лог: /var/log/amneziawg-ensure-module.log (weekly rotate, 4 копии).
2. systemd unit amneziawg-ensure-module.service — на boot перед awg-quick@awg0 хелпер итерирует ядра с уже установленными headers, пересобирает DKMS под текущее ядро, делает modprobe amneziawg и проверяет загрузку через lsmod. Если headers ещё не установлены — пишет WARN и завершает успехом, не блокируя загрузку. Логи в journal: journalctl -u amneziawg-ensure-module.service.
3. manage repair-module — явный fallback: sudo bash /root/awg/manage_amneziawg.sh repair-module доустановит kernel-headers (с AWG_ALLOW_APT_IN_ENSURE=1), пересоберёт DKMS, перезапустит awg-quick.

sudo apt install linux-headers-$(uname -r)
sudo dkms autoinstall
sudo modprobe amneziawg
sudo systemctl restart awg-quick@awg0

• ARM prebuilt (Raspberry Pi, Hetzner CAX, Oracle Ampere) использует готовый .deb, а не DKMS - auto-repair не задействован. После kernel upgrade запустите установщик повторно: он подберёт новый prebuilt или перейдёт на DKMS. manage repair-module недостающий готовый модуль не заменит.
• Облачные ядра (Azure / AWS / GCP / Oracle / Debian-cloud) — installer определяет meta-package по суффиксу uname -r (например, linux-headers-azure). Если у вас custom kernel или нестандартный flavor — manage repair-module сделает то же самое в reactive-режиме.

sudo bash install_amneziawg.sh --preset=mobile --yes

1. Откройте /etc/amnezia/amneziawg/awg0.conf и замените Jc на 3. Если I1 вида <r N> с N больше 64, замените его на строку формы DNS (где её взять - в разборе) или на <r 64>. I1 формы DNS, который пишут установки v5.33.0 и новее, не трогайте.
2. sudo systemctl restart awg-quick@awg0
3. sudo bash /root/awg/manage_amneziawg.sh regen <имя_клиента> для каждого клиента.
4. Раздайте обновлённые конфиги.

1. Открой /etc/sysctl.d/99-amneziawg-security.conf
2. Замени rp_filter = 1 на rp_filter = 2 (обе строки: conf.all и conf.default)
3. Добавь строку kernel.printk = 3 4 1 3
4. sudo sysctl -p /etc/sysctl.d/99-amneziawg-security.conf

1. Открой входящее на awg0 в UFW:

   sudo ufw allow in on awg0
   sudo ufw reload

   Это разрешает входящие на интерфейс туннеля целиком — узкая фильтрация ICMP делается через -i в before.rules (см. ниже).
2. Если ты правил /etc/ufw/before.rules, добавь -i <public_iface> ко всем DROP-строкам ICMP:

   # вместо
   -A ufw-before-input -p icmp --icmp-type echo-request -j DROP
   # так (ens3 — твой публичный интерфейс)
   -A ufw-before-input -i ens3 -p icmp --icmp-type echo-request -j DROP

   То же самое для destination-unreachable, time-exceeded, parameter-problem. Имя публичного интерфейса: ip route get 8.8.8.8 | awk '{for(i=1;i<=NF;i++) if($i=="dev") print $(i+1)}'. Применить: sudo ufw reload.