Pevnost

Jak nastavit WireGuard VPN na Windows, iPhonu, Androidu, macOS a Linuxu.

Návod · 17. 10. 2026 · 8 min

Stav k 17. 10. 2026: Pevnost je v soukromé betě. Účet jde založit a zaplatit převodem; Bitcoin a Lightning přibudou po připojení peněženky k našemu BTCPay, Monero a hotovost poštou později. První server se instaluje a zatím neběží.

Pevnost je obyčejný WireGuard. Žádný vlastní protokol, žádná povinná aplikace. Pro každé zařízení si na stránce účtu vytvoříte klíč, stáhnete jeden malý konfigurační soubor a naimportujete ho do oficiální aplikace WireGuard. Naše vlastní aplikace pro Windows dělá totéž s hezčím rozhraním a kill switchem; všude jinde je cesta oficiální aplikace.

1. Založení účtu

  1. Otevřete app.pevnost.net a stiskněte Create an account. Bez jména, e‑mailu a hesla.
  2. Zapište si 24znakové ID účtu. Je to jediný klíč k účtu; obnovit ho neumíme.
  3. Zaplaťte 30 dní nebo rok. Stránka ukáže číslo účtu, variabilní symbol a částku. Účet aktivujeme do jednoho pracovního dne od připsání peněz. Co která platební metoda prozrazuje, je v samostatném návodu.

2. Klíč zařízení

Po aktivaci se na stránce objeví Generate device key. Stiskněte jednou pro každé zařízení. Prohlížeč vytvoří pár klíčů WireGuard lokálně (knihovna tweetnacl, bez síťového požadavku). K nám odchází jen veřejná polovina; soukromá existuje jen v té záložce a v souboru, který si stáhnete. Po obnovení stránky je pryč, což je záměr. Aktivních může být najednou pět zařízení; stará odeberete tamtéž.

Pro každý server dostanete soubor typu pevnost-prg1.conf. Obsahuje váš soukromý klíč, adresu v tunelu, náš DNS resolver (10.8.0.1 uvnitř tunelu), veřejný klíč a adresu serveru a AllowedIPs = 0.0.0.0/0, ::/0, tedy směrování veškerého provozu do tunelu.

3a. Windows

Naše aplikace (beta). Stáhněte zip ze stránky Aplikace, rozbalte, spusťte Pevnost.exe jako správce, zadejte ID účtu, stiskněte Connect. Aplikace si klíč zařízení generuje a obměňuje sama a nese v sobě tunel i ovladač WireGuard, takže nic dalšího není potřeba. Kill switch je zapnutý vždy, když tunel běží.

Oficiální aplikace. Nainstalujte WireGuard z wireguard.com/install. Otevřete, stiskněte Import tunnel(s) from file, vyberte .conf, stiskněte Activate. Protože konfigurace směruje všechen provoz, oficiální aplikace zapne i své firewallové pravidlo (v editaci tunelu volba Block untunneled traffic (kill‑switch); je aktivní, když AllowedIPs pokrývá vše).

3b. iPhone a iPad

  1. Nainstalujte WireGuard z App Storu.
  2. Dostaňte soubor do telefonu: AirDropem, uložením do Souborů, nebo otevřete stránku účtu přímo v telefonu a stáhněte tam.
  3. Ve WireGuardu: + → Create from file or archive a vyberte .conf. Jde to i QR kódem (Create from QR code), když konfiguraci zobrazíte na jiné obrazovce; stačí libovolný generátor QR, který běží offline.
  4. Zapněte tunel. iOS se jednou zeptá na přidání VPN konfigurace.

Kill switch na iOS: aplikace má v nastavení tunelu On‑demand activation. Zapněte pro mobilní síť i Wi‑Fi; iOS pak tunel sám obnovuje a drží. Absolutní blokování provozu mimo VPN iOS aplikacím třetích stran neumožňuje.

3c. Android

  1. Nainstalujte WireGuard z Google Play nebo F‑Droidu.
  2. Zkopírujte .conf do telefonu (nebo ho tam stáhněte).
  3. Ve WireGuardu: + → Import from file or archive, vyberte soubor, zapněte.

Kill switch na Androidu: v nastavení systému Síť a internet → VPN, ozubené kolo u WireGuardu, zapnout Trvale zapnutá VPN a Blokovat připojení bez VPN. To je nejsilnější kill switch, jaký na telefonu existuje.

3d. macOS

Nainstalujte WireGuard z Mac App Storu. Import tunnel(s) from file, vybrat .conf, aktivovat. Verze z App Storu běží jako síťové rozšíření a dobře přežívá uspání. Funguje i balík wireguard-tools z Homebrew (viz Linux), aplikace je ale jednodušší. Naše vlastní aplikace pro macOS je v plánu, zatím není.

3e. Linux

sudo apt install wireguard            # Debian/Ubuntu; jinde balík "wireguard-tools"
sudo cp pevnost-prg1.conf /etc/wireguard/pevnost.conf
sudo chmod 600 /etc/wireguard/pevnost.conf
sudo wg-quick up pevnost
sudo wg                               # ukáže handshake a počítadla přenosu
sudo wg-quick down pevnost

S NetworkManagerem jde soubor naimportovat příkazem nmcli connection import type wireguard file pevnost-prg1.conf. Kill switch na Linuxu znamená pravidla nftables, která pustí provoz jen rozhraním pevnost a na adresu serveru; wg-quick to sám nedělá.

4. Ověření

5. Výměna klíčů a odebrání zařízení

Klíč zařízení je náhodný a nic o vás neříká, přesto ho občas vyměňte, a po ztrátě telefonu určitě. Na stránce účtu staré zařízení odeberte a vytvořte nový klíč; starý přestane fungovat okamžitě. Naše aplikace pro Windows klíč obměňuje sama a serveru řekne, který klíč nový nahrazuje, takže nevzniká výpadek.

Když něco nefunguje, napište na support@pevnost.net platformu a výstup wg show (žádná tajemství neobsahuje).