Cara Memasang WireGuard VPN + Antara Muka Web di Ubuntu

Apabila anda menyambung ke WiFi di kedai kopi atau mengakses internet dari mana-mana rangkaian awam, data anda bergerak melalui infrastruktur yang anda tidak mengawal. Sesiapa sahaja yang berada di antara anda dan laman web yang anda lawati berpotensi untuk mencegat lalu lintas anda, walaupun di rangkaian rumah anda, penyedia perkhidmatan internet anda boleh melihat setiap laman yang anda layari.

VPN menyelesaikan masalah ini dengan mewujudkan terowong yang disulitkan antara peranti anda dan pelayan yang anda percayai. Daripada trafik anda terus ke internet, ia terlebih dahulu melalui terowong selamat ini ke pelayan VPN anda, yang kemudian menghantarnya ke destinasi, jadi sesiapa sahaja yang memantau rangkaian hanya akan melihat data yang disulitkan menuju ke pelayan VPN anda, tiada yang lain.

WireGuard adalah protokol VPN moden yang melakukan tugas ini dengan sangat baik. Berbeza dengan teknologi VPN lama yang memerlukan ratusan ribu baris kod, WireGuard melaksanakan tugas yang sama dengan hanya kira-kira 4,000 baris, yang bermakna lebih sedikit pepijat, prestasi yang lebih baik, dan audit keselamatan yang lebih mudah.

Tetapi ini yang penting: walaupun WireGuard itu sendiri adalah mudah, menguruskan pelbagai klien VPN, menghasilkan fail konfigurasi, dan menjejaki siapa yang mempunyai akses boleh menjadi melecehkan hanya melalui baris perintah, itulah sebabnya mempunyai antara muka web sangat berguna.

Dalam panduan ini, kami akan menyediakan sebuah pelayan WireGuard VPN lengkap dengan antara muka web mesra yang membolehkan anda menguruskan segala-galanya melalui pelayar anda seperti menambah peranti baru, menjana kod QR untuk klien mudah alih dan memantau sambungan tanpa menyentuh sebarang fail konfigurasi secara manual.

Apa Yang Anda Perlukan

Sebelum kita mula, pastikan anda mempunyai:

• Sebuah pelayan Linux dengan alamat IP awam (VPS daripada pembekal seperti DigitalOcean, Linode, atau AWS berfungsi dengan sempurna).
• Akses root atau keistimewaan sudo pada pelayan ini.
• Pemahaman asas tentang SSH (anda sepatutnya tahu cara untuk menyambung ke pelayan anda).

Panduan ini mengandaikan anda menggunakan Ubuntu 22.04 atau Ubuntu 24.04, tetapi langkah-langkahnya berfungsi secara serupa pada Debian dan pengedaran lain dengan sedikit penyesuaian.

Memahami Seni Bina

Mari luangkan masa sejenak untuk memahami apa yang kita bina sebelum kita mula menaip arahan.

Satu tetapan WireGuard terdiri daripada rakan sebaya – peranti yang boleh berkomunikasi antara satu sama lain melalui terowong yang disulitkan.

Dalam kes kami, kami akan mempunyai:

• Pelayan: Mesin Linux anda dengan alamat IP awam, yang bertindak sebagai hab utama yang disambungkan oleh semua peranti anda.
• Para Pelanggan: Komputer riba, telefon, tablet, atau sebarang peranti lain yang anda ingin lindungi, setiap pelanggan mendapat pasangan kunci kriptografi dan konfigurasi mereka sendiri.
• Antara Muka Web: Aplikasi web ringan (kami akan menggunakan WireGuard-UI) yang dijalankan di pelayan anda dan memberi anda papan pemuka untuk menguruskan segala-galanya.

Apabila seorang pelanggan ingin sambung, ia menubuhkan terowong terenkripsi terus ke pelayan dan kemudian pelayan menghala lalu lintas internet pelanggan atau hanya membenarkan akses kepada sumber di rangkaian tempatan pelayan, bergantung pada cara anda mengkonfigurasikannya.

Langkah 1: Memasang WireGuard pada Pelayan Ubuntu

Pertama, mari pastikan sistem anda dikemas kini dan mempunyai alat yang diperlukan dipasang menggunakan arahan berikut, yang akan mengemas kini senarai pakej anda dan menaik taraf sebarang perisian yang ketinggalan zaman.

sudo apt update && sudo apt upgrade -y

Seterusnya, pasang WireGuard itu sendiri:

sudo apt install wireguard -y

Oleh kerana WireGuard dibina ke dalam kernel Linux (untuk kernel 5.6 dan ke atas), arahan ini terutamanya memasang alat pengguna yang diperlukan untuk mengkonfigurasi dan menguruskan antara muka WireGuard.

Langkah 2: Menghidupkan IP Forwarding di Ubuntu

Secara lalai, Ubuntu tidak menghantar paket antara antara muka rangkaian, yang merupakan ciri keselamatan di mana pelayan anda tidak akan bertindak sebagai penghala melainkan anda memberitahunya secara jelas, tetapi bagi pelayan VPN, kita memerlukan fungsi ini.

Apabila telefon anda menyambung ke VPN dan cuba melawat sebuah laman web, pelayan perlu menghantar permintaan itu dari antara muka WireGuard ke antara muka rangkaian awamnya, dan kemudian menghantar semula tindak balas itu.

Untuk membolehkan pemajuan IP secara kekal, kita perlu mengedit fail konfigurasi sistem:

sudo nano /etc/sysctl.conf

Cari baris ini (ia mungkin dikomenkan dengan # di depan):

#net.ipv4.ip_forward=1

Buang # untuk menyahkomenkannya, atau tambah baris itu jika ia tidak wujud:

net.ipv4.ip_forward=1

Simpan fail tersebut dan kemudian terapkan perubahan tanpa memulakan semula:

sudo sysctl -p

Langkah 3: Konfigurasikan Firewall dan Penalaan Laluan untuk WireGuard

Pelayan VPN anda perlu menerima sambungan masuk pada port yang digunakan oleh WireGuard (secara lalai, port UDP 51820). Ia juga perlu mengarahkan trafik dengan betul antara antara muka VPN dan antara muka rangkaian awam anda.

Pertama, mari kita kenal pasti antara muka rangkaian awam anda:

ip route | grep default

Anda akan melihat output seperti:

default via 192.168.1.1 dev eth0 proto dhcp src 192.168.1.100 metric 100

Nama antara muka di sini ialah `eth0`, tetapi ia mungkin berbeza pada sistem anda, ia boleh jadi `ens3`, `enp0s3`, atau sesuatu yang serupa.

Sekarang mari kita konfigurasikan firewall ufw (firewall lalai Ubuntu):

# Allow SSH (if you haven't already)
sudo ufw allow 22/tcp

# Allow WireGuard
sudo ufw allow 51820/udp

# Allow the web interface (we'll use port 5000)
sudo ufw allow 5000/tcp

Seterusnya, kita perlu menambah peraturan NAT (Terjemahan Alamat Rangkaian) yang memberitahu pelayan anda untuk menyamarkan trafik VPN seolah-olah ia datang daripada pelayan itu sendiri apabila diteruskan ke internet.

sudo nano /etc/ufw/before.rules

Tambahkan baris-baris ini di bahagian atas fail, tepat selepas komen tajuk, tetapi sebelum baris *filter dan gantikan eth0 dengan nama antara muka sebenar anda:

# NAT table rules for WireGuard
*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE
COMMIT

Ini maksudnya:

• *nat: Kami sedang bekerja dengan jadual NAT.
• -s 10.0.0.0/24: Untuk paket yang datang dari rangkaian VPN kami (10.0.0.0/24 adalah subnet yang akan kami beri kepada klien VPN).
• -o eth0: Keluar melalui antara muka eth0.
• -j MASQUERADE: Tulis semula IP sumber supaya menjadi IP awam pelayan.

Simpan dan keluar, kemudian aktifkan dan muat semula UFW:

sudo ufw enable
sudo ufw reload

Langkah 4: Memasang WireGuard-UI pada Pelayan Ubuntu

Kini tiba bahagian yang menarik, iaitu menyusun antara muka web menggunakan WireGuard-UI, yang merupakan aplikasi web yang bersih dan sederhana yang ditulis dalam Go.

Pertama, buat direktori untuk WireGuard-UI:

sudo mkdir -p /opt/wireguard-ui
cd /opt/wireguard-ui

Seterusnya, muat turun keluaran terbaru WireGuard-UI dari halaman keluaran GitHub, tetapi pada masa penulisan, arahan wget mendapatkan versi stabil terkini:

sudo wget https://github.com/ngoduykhanh/wireguard-ui/releases/download/v0.6.2/wireguard-ui-v0.6.2-linux-amd64.tar.gz

Setelah dimuat turun, nyahpepijatkan dan jadikan ia boleh dijalankan:

sudo tar -xzf wireguard-ui-v0.6.2-linux-amd64.tar.gz
sudo chmod +x wireguard-ui

Sebelum kita memulakan antara muka, mari kita buat perkhidmatan systemd supaya ia berjalan secara automatik semasa boot.

sudo nano /etc/systemd/system/wireguard-ui.service

Tampal konfigurasi ini:

[Unit]
Description=WireGuard UI
After=network.target

[Service]
Type=simple
WorkingDirectory=/opt/wireguard-ui
ExecStart=/opt/wireguard-ui/wireguard-ui
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

Simpan dan keluar, kemudian dayakan dan mulakan perkhidmatan:

sudo systemctl daemon-reload
sudo systemctl enable wireguard-ui
sudo systemctl start wireguard-ui

Periksa bahawa ia sedang berjalan:

sudo systemctl status wireguard-ui

Langkah 5: Mengakses Wireguard-UI

Buka pelayar web anda dan pergi ke URL berikut, pastikan untuk menggantikan YOUR_SERVER_IP dengan alamat IP awam sebenar server anda.

http://YOUR_SERVER_IP:5000

Anda akan melihat halaman log masuk, di mana anda boleh menggunakan kelayakan lalai berikut:

Username: admin
Password: admin

Langkah 6: Mengkonfigurasi Pelayan WireGuard Anda

Setelah anda log masuk, anda akan dibawa ke papan pemuka WireGuard-UI. Untuk mula mengkonfigurasi pelayan anda, klik pada “Pelayan WireGuard” di bar sisi kiri dan tetapkan Nama Antara Muka kepada 10.0.0.1/24 (antara muka WireGuard lalai), dan Pelabuhan Dengar kepada 51820.

Dalam medan Post Up Script, masukkan:

iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

dan di medan Post Down Script, masukkan:

iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Pastikan untuk menggantikan eth0 dengan nama antara muka rangkaian sebenar anda jika ia berbeza dan tetapkan Address kepada 10.0.0.1/24, yang akan menjadi alamat IP VPN dalaman pelayan.

Apabila anda klik Apply Config, WireGuard akan membuat antara muka wg0, mendengar sambungan VPN pada port 51820, menetapkan IP VPN bagi pelayan anda, dan mengkonfigurasi peraturan firewall untuk meneruskan trafik VPN dengan betul.

UI juga akan menjana kunci peribadi dan awam server anda secara automatik. Selepas menerapkan tetapan, antara muka sepatutnya menunjukkan Aktif, menandakan bahawa server WireGuard anda sedang berjalan.

Langkah 7: Tambahkan Klien WireGuard Pertama Anda

Sekarang mari kita tambah satu peranti ke VPN anda, yang boleh jadi komputer riba, telefon, atau mana-mana peranti klien lain. Dari bar sisi kiri, klik “Clients”, kemudian klik “Add New Client.”

Berikan klien nama yang deskriptif seperti “My Laptop” atau “iPhone”, dan secara pilihan masukkan emel untuk membantu mengenal pasti peranti kemudian. Klik “Auto” untuk secara automatik menetapkan alamat IP seterusnya yang tersedia (kemungkinan 10.0.0.2).

Untuk IP yang Dibenarkan, masukkan 0.0.0.0/0, ::/0, yang memastikan semua trafik klien dialihkan melalui VPN; jika anda hanya mahu akses ke rangkaian dalaman pelayan, anda boleh sebaliknya menyatakan subnet itu (contohnya, 10.0.0.0/24).

Setelah semuanya disediakan, klik “Hantar” dan antara muka web akan secara automatik menjana konfigurasi WireGuard lengkap untuk klien ini, termasuk pasangan kunci kriptografi sendiri.

Langkah 8: Menyambungkan Peranti Pelanggan Anda

Sekarang anda perlu memuat naik konfigurasi ke peranti anda dan WireGuard-UI memudahkan ini dengan kod QR untuk peranti mudah alih dan fail konfigurasi yang boleh dimuat turun untuk komputer.

Untuk Peranti Mudah Alih (Telefon/Tablet):

• Pasang aplikasi WireGuard dari kedai aplikasi anda (ia tersedia untuk iOS dan Android).
• Dalam antara muka web WireGuard-UI, cari klien yang baru anda cipta dan klik ikon kod QR.
• Buka aplikasi WireGuard di telefon anda, ketik butang "+", dan pilih “Buat dari kod QR“.
• Imbas kod QR yang dipaparkan di pelayar anda.
• Berikan sambungan anda nama dan ketik “Buat Terowong“.

Itu sahaja! Togol suis untuk menyambung, dan peranti mudah alih anda kini menyalurkan semua trafiknya melalui pelayan VPN anda.

Untuk Desktop/Laptop:

• Pasang WireGuard dari wireguard.com/install.
• Dalam antara muka WireGuard-UI, klik ikon muat turun di sebelah klien anda untuk memuat turun fail .conf.
• Buka aplikasi WireGuard di komputer anda, klik “Import tunnel(s) from file“, dan pilih fail konfigurasi yang telah dimuat turun.
• Klik “Aktifkan” untuk menyambung.

Langkah 9: Menguji VPN Anda

Mari pastikan semuanya berfungsi dengan baik. Pertama, semasa VPN anda tidak disambungkan, lawati whatismyipaddress.com dan catat alamat IP yang dipaparkan.

Kemudian, sambungkan ke WireGuard VPN anda dan segarkan halaman, alamat IP anda kini sepatutnya memaparkan IP awam pelayan anda dan bukan IP asal anda, mengesahkan bahawa trafik sedang dihantar melalui VPN.

Untuk mengesahkan bahawa DNS berfungsi dengan betul, anda boleh menjalankan arahan berikut pada peranti yang disambungkan anda:

ping google.com

Jika anda melihat tindak balas, VPN anda sedang menghala trafik dengan betul.

Untuk melihat sambungan aktif pada pelayan anda, sambung melalui SSH dan jalankan:

sudo wg show

Anda akan melihat output seperti:

interface: wg0
  public key: [your server's public key]
  private key: (hidden)
  listening port: 51820

peer: [client's public key]
  endpoint: [client's IP]:random_port
  allowed ips: 10.0.0.2/32
  latest handshake: 45 seconds ago
  transfer: 2.50 MiB received, 15.23 MiB sent

Ini menunjukkan klien anda disambungkan, bila kali terakhir ia berkomunikasi dengan pelayan, dan berapa banyak data telah dipindahkan.

Langkah 10: Gunakan HTTPS untuk WireGuard-UI

Sekarang, apabila anda mengakses antara muka web WireGuard anda di http://YOUR_SERVER_IP:5000, kelayakan log masuk dan semua data konfigurasi anda dihantar melalui internet dalam teks biasa dan sesiapa yang mencegat trafik antara pelayar anda dan pelayan boleh melihat kata laluan pentadbir anda dan berpotensi mengambil alih sesi anda.

Penyelesaiannya adalah dengan meletakkan antara muka web anda di belakang proksi songsang dengan HTTPS diaktifkan dan proksi songsang duduk di hadapan aplikasi anda, mengendalikan semua sambungan HTTPS yang disulitkan dari klien, dan kemudian menghantar permintaan ke aplikasi anda melalui rangkaian tempatan di mana pencegahan tidak menjadi kebimbangan.

Kami akan menggunakan Nginx (pelayan web berprestasi tinggi) sebagai proksi terbalik kami dan Let’s Encrypt untuk mendapatkan sijil SSL percuma supaya anda boleh mengakses antara muka WireGuard anda di https://vpn.yourdomain.com dan bukannya menggunakan alamat IP dengan HTTP.

Pasang Pelayan Web Nginx

Pertama, anda perlu membuat rekod DNS untuk domain anda (https://vpn.yourdomain.com) yang menunjuk ke alamat IP pelayan anda dan kemudian pasang pelayan web Nginx.

sudo apt update
sudo apt install nginx -y

Selepas pemasangan, anda boleh melawat http://vpn.yourdomain.com dalam pelayar anda dan anda akan melihat halaman sambutan Nginx lalai, yang bermakna Nginx berfungsi dan boleh diakses dari internet.

Pasang Certbot untuk Let’s Encrypt

Seterusnya, pasang Let’s Encrypt, yang merupakan pihak berkuasa sijil percuma yang menyediakan sijil SSL dan certbot ialah alat yang mengautomasikan proses mendapatkan dan memperbaharui sijil-sijil ini.

sudo apt install certbot python3-certbot-nginx -y

Pakej python3-certbot-nginx termasuk satu plugin yang boleh secara automatik mengkonfigurasi Nginx untuk anda, menjadikan proses itu lebih mudah.

Konfigurasikan Nginx sebagai Proksi Terbalik

Sekarang, mari kita buat konfigurasi Nginx yang meneruskan permintaan dari https://vpn.yourdomain.com ke aplikasi WireGuard-UI anda yang berjalan di localhost:5000.

Buat fail konfigurasi baru.

sudo nano /etc/nginx/sites-available/wireguard-ui

Tampal konfigurasi ini (ganti vpn.yourdomain.com dengan domain sebenar anda):

server {
    listen 80;
    listen [::]:80;
    server_name vpn.yourdomain.com;

    # This will be used by Certbot for the SSL certificate challenge
    location /.well-known/acme-challenge/ {
        root /var/www/html;
    }

    # Redirect all other HTTP traffic to HTTPS
    location / {
        return 301 https://$host$request_uri;
    }
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name vpn.yourdomain.com;

    # SSL certificate paths (Certbot will fill these in)
    ssl_certificate /etc/letsencrypt/live/vpn.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/vpn.yourdomain.com/privkey.pem;

    # Modern SSL configuration
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    # Security headers
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;

    # Proxy settings
    location / {
        proxy_pass http://127.0.0.1:5000;
        proxy_http_version 1.1;
        
        # WebSocket support (if WireGuard-UI uses it)
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        
        # Forward real client information
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # Timeouts
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
}

Sekarang aktifkan konfigurasi ini dengan membuat pautan simbolik:

sudo ln -s /etc/nginx/sites-available/wireguard-ui /etc/nginx/sites-enabled/

Uji konfigurasi Nginx anda untuk ralat sintaks:

sudo nginx -t

Anda harus melihat:

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

Jika anda melihat sebarang kesilapan, kembali dan semak fail konfigurasi anda untuk kesalahan taip.

Dapatkan Sijil SSL

Setelah semuanya dikonfigurasi dengan betul, kini tiba masanya untuk menjalankan perintah certbot yang akan secara automatik mendapatkan sijil SSL dari Let’s Encrypt dan mengkonfigurasi Nginx untuk menggunakannya.

sudo certbot --nginx -d vpn.yourdomain.com

Keseluruhan proses mengambil masa kira-kira 30 saat, dan apabila ia selesai, anda akan melihat mesej kejayaan:

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/vpn.yourdomain.com/fullchain.pem
Key is saved at: /etc/letsencrypt/live/vpn.yourdomain.com/privkey.pem

Sekarang muat semula Nginx untuk menerapkan semuanya:

sudo systemctl reload nginx

Pembaharuan Automatik Sijil

Sijil Let’s Encrypt hanya sah selama 90 hari, yang dilakukan dengan sengaja untuk menggalakkan pembaharuan secara berkala dan mengehadkan kerosakan yang berpotensi sekiranya kunci peribadi terdedah.

Nasib baik, Certbot secara automatik menetapkan pemasa pembaharuan apabila dipasang, dan anda boleh mengesahkan bahawa perkhidmatan pembaharuan sedang aktif dengan menjalankan:

sudo systemctl status certbot.timer

dan anda sepatutnya melihatnya disenaraikan sebagai aktif (berjalan), pemasa ini memeriksa dua kali sehari dan secara automatik akan memperbaharui sebarang sijil yang hampir tamat dalam masa 30 hari.

Untuk mengesahkan bahawa semuanya berfungsi tanpa melakukan pembaharuan sebenar, jalankan:
sudo certbot renew –dry-run

Jika ujian selesai dengan jayanya, pembaharuan sijil automatik anda telah dikonfigurasikan sepenuhnya, dan anda tidak perlu risau tentang sijil anda tamat tempoh.

Kemas kini Firewall Anda

Memandangkan kita kini mengakses WireGuard-UI melalui Nginx pada port HTTPS standard (443), kita perlu membenarkan ini dalam firewall kita dan boleh secara pilihan menutup akses langsung ke port 5000.

sudo ufw allow 443/tcp

Secara opsyenal, jika anda ingin mengelakkan akses langsung ke WireGuard-UI pada port 5000 (memaksa semua orang menggunakan antara muka HTTPS), anda boleh membuang peraturan itu:

sudo ufw delete allow 5000/tcp

Muat semula firewall:

sudo ufw reload

Langkah 11: Konfigurasikan WireGuard-UI untuk Hanya Mendengar di Localhost

Memandangkan Nginx kini mengendalikan semua sambungan luaran, kita harus mengkonfigurasi WireGuard-UI supaya hanya menerima sambungan daripada mesin tempatan, yang menghalang sesiapa daripada mengaksesnya terus pada port 5000, walaupun mereka mengetahui port itu terbuka.

Hentikan perkhidmatan WireGuard-UI:

sudo systemctl stop wireguard-ui

Sunting fail perkhidmatan:

sudo nano /etc/systemd/system/wireguard-ui.service

Ubah baris ExecStart supaya hanya terikat pada localhost:

[Unit]
Description=WireGuard UI
After=network.target

[Service]
Type=simple
WorkingDirectory=/opt/wireguard-ui
Environment="BIND_ADDRESS=127.0.0.1:5000"
ExecStart=/opt/wireguard-ui/wireguard-ui
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

Simpan dan keluar, kemudian muat semula systemd dan mulakan semula perkhidmatan:

sudo systemctl daemon-reload
sudo systemctl start wireguard-ui
sudo systemctl status wireguard-ui

Akhirnya, buka pelayar anda dan pergi ke:

https://vpn.yourdomain.com

Anda sepatutnya melihat ikon mangga kunci di bar alamat pelayar anda, anda boleh klik ikon mangga kunci itu untuk melihat butiran sijil. Anda akan lihat ia dikeluarkan oleh Let’s Encrypt dan sah untuk 90 hari.

Ringkasan

Setakat ini, anda telah berjaya menyiapkan pelayan WireGuard VPN yang berfungsi sepenuhnya dengan antara muka pengurusan berasaskan web yang selamat. Daripada menguruskan kunci, fail konfigurasi, dan peraturan laluan secara manual, WireGuard-UI memberikan anda papan pemuka yang mudah untuk menambah peranti baru, menjana kod QR, dan memantau sambungan yang aktif.