基于树莓派的WireGuard安装配置与使用
关于WireGuard
简介
WireGuard 是新一代的虚拟专用网协议，相比于 IPSec 和 OpenVPN 等软件，特点是简单、安全、高效，源码总共不到四千行代码。由于过于优秀，已经被吸收进了 Linux 5.6+ 的内核中。
工作原理
WireGuard 以 UDP 实现，但是运行在第三层 —— IP 层。每个 Peer 都会生成一个 wg0 虚拟网卡，同时服务端会在物理网卡上监听 UDP 51820 端口。应用程序的包发送到内核以后，如果地址是虚拟专用网内部的，那么就会交给 wg0 设备，WireGuard 就会把这个 IP 包封装成 WireGuard 的包，然后在 UDP 中发送出去，对方的 Peer 的内核收到这个 UDP 包后再反向操作，解包成为 IP 包，然后交给对应的应用程序。
WireGuard 项目官方网站 https://www.wireguard.com/
在服务器端部署WireGuard(本例为基于Oracle Cloud的Ubuntu 20.04)
WireGuard 跨平台参照官方给出的快速安装指南
https://www.wireguard.com/install/
注：如果安装失败请尝试一下升级更新
sudo apt-get update
sudo apt-get upgrade
sudo apt-get install wireguard
服务器端环境以Ubuntu系统为例
生成公钥、私钥
sudo mkdir -p /etc/wireguard && sudo chmod 0777 /etc/wireguard && cd /etc/wireguard
umask 077
wg genkey | tee privatekey | wg pubkey > publickey | wg genpsk > presharedkey
打印输出私钥
cat privatekey
+Cr59JzbCKz9rESqimHGi5C2QfIRYZ5xVMssiTAEqV4=
打印输出公钥
cat publickey
bco6xIgfp++iFBj6vmDr27tAXfgYsppn/wyUJRcFgUc=
编辑并保存 wg0 配置文件 wg0.conf
sudo vi wg0.conf
wg0.conf 配置文件内容如下：
Address = 10.200.200.1（可根据需要自行设定）
ListenPort = 监听端口 51820（根据自己需求设定）
PrivateKey = 服务器私钥
PublicKey = 连接节点公钥（由客户端生成）
AllowedIPs = VPN 隧道的内网 IP 段（必须与服务器自行设定的Address在同一网络段内）
[Interface]
Address = 10.200.200.1
ListenPort = 51820
PrivateKey = <服务端私钥>
?
[Peer]
PublicKey = <客户端公钥>
AllowedIPs = 10.200.200.2/32
?
#如有多个客户端，则只需要如上填写对应连接节点公钥与VPN隧道的内网IP段即可
[Peer]
……
设置服务器的 NAT 流量转发
sudo vi /etc/sysctl.conf
找到这一行 net.ipv4.ip_forward = 1去掉注释符“#”（如无对应选项，自行添加即可）
net.ipv4.ip_forward = 1
执行sysctl并生效
sudo sysctl -p
在服务器端添加虚拟网卡 wg0，设置隧道 IP 和 iptables 规则
#添加虚拟网卡
sudo ip link add dev wg0 type wireguard
//10.200.200.1为wg0.conf中服务器端自行设定的Address段，根据你的设定对应修改
sudo ip address add dev wg0 10.200.200.1/24
sudo ip link set wg0 up
sudo wg setconf wg0 /etc/wireguard/wg0.conf
//以上四条命令也可直接用'sudo wg-quick up wg0'代替执行
#设置IP和iptables规则
sudo iptables -A FORWARD -i wg0 -j ACCEPT
sudo iptables -A FORWARD -o wg0 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
//'eth0'为服务器本地网卡名称，可用'ifconfig'命令查看
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
注：iptables设置不完全仅包含以上指令，需执行'sudo iptables -L'查看当前防火墙状态，如有对应端口未打开或拒绝icmp报文访问等规则，需要自行打开或删除，否则wireguard将不能正常使用，现将本例使用的服务器防火墙INPUT和FORWARD链粘贴如下
ubuntu@instance-20210821-wg:/etc/wireguard$ sudo iptables -L -n --line-number
Chain INPUT (policy ACCEPT)
num target ? ? prot opt source ? ? ? ? ? ? ? destination ? ? ? ?
1 ? ACCEPT ? ? icmp -- 0.0.0.0/0 ? ? ? ? ? 0.0.0.0/0 ? ? ? ? ?
2 ? ACCEPT ? ? all -- 0.0.0.0/0 ? ? ? ? ? 0.0.0.0/0 ? ? ? ? ?
3 ? ACCEPT ? ? udp -- 0.0.0.0/0 ? ? ? ? ? 0.0.0.0/0 ? ? ? ? ? udp spt:123
4 ? ACCEPT ? ? tcp -- 0.0.0.0/0 ? ? ? ? ? 0.0.0.0/0 ? ? ? ? ? state NEW tcp dpt:22
5 ? ACCEPT ? ? udp -- 0.0.0.0/0 ? ? ? ? ? 0.0.0.0/0 ? ? ? ? ? udp dpt:51820 ctstate NEW
?
Chain FORWARD (policy ACCEPT)
num target ? ? prot opt source ? ? ? ? ? ? ? destination ? ? ? ?
1 ? ACCEPT ? ? all -- 0.0.0.0/0 ? ? ? ? ? 0.0.0.0/0 ?
另：服务器使用的端口一般还需在后台打开；阿里云及腾讯云的国内服务器也可能会出现不能正常使用wireguard的情况
配置完毕后，可用以下指令保存防火墙设置
apt-get install iptables-persistent
systemctl enable netfilter-persistent
systemctl start netfilter-persistent
netfilter-persistent save
检查wg设置是否正常
sudo wg show
正常情况下应该输出以下内容
interface: wg0
?public key: <服务端公钥>
?private key: (hidden)
?listening port: 51820
?
peer: <客户端公钥>
?//此为连接节点的IP及端口，不一定与下述情况一致
?endpoint: 12.34.56.78:61353
?allowed ips: 10.200.200.2/32
?//客服端启动完毕后才会出现以下两条信息
?latest handshake: 0 days, 8 minutes, 19 seconds ago
?transfer: 0.60 GiB received, 0.93 GiB sent
服务器端设置完成
另：可执行以下命令，设置为开机自动启动
sudo systemctl enable wg-quick@wg0.service
在客户端部署WireGuard
生成公钥、私钥
sudo mkdir -p /etc/wireguard && sudo chmod 077 /etc/wireguard && cd /etc/wireguard
umask 077
wg genkey | tee privatekey | wg pubkey > publickey
打印输出私钥
cat privatekey
SHBjWA3uAYAZc+TUvr6PcTA5SVQnt+aSVkdlZhlg1Hk=
打印输出公钥
cat publickey
8+9jGlxuwyGUWtUk8/NZMAl1Ax577KAvnXJY0EeuNkQ=
wg0.conf 配置文件内容如下
ListenPort = 监听端口 51820
PrivateKey = 本地客户端私钥
PublicKey = 服务器端公钥（由服务器端生成）
AllowedIPs = VPN 隧道的内网 IP 段
Endpoint = 远程服务器的公网 IP（即ssh连接服务器时用的IP地址） 和端口
PersistentKeepalive = 连接心跳包的唤醒间隔（可不设置）
[Interface]
Address = 10.200.200.2/32
ListenPort = 51820
PrivateKey = <客户端私钥>
?
[Peer]
PublicKey = <服务端公钥>
AllowedIPs = 0.0.0.0/0
Endpoint = 150.136.105.97:51820
PersistentKeepalive = 25
在客户端，添加虚拟网卡 wg0
sudo ip link add dev wg0 type wireguard
//10.200.200.2为wg0.conf中客户端自行设定的Address段，根据你的设定对应修改
sudo ip address add dev wg0 10.200.200.2/32
sudo ip link set wg0 up
sudo wg setconf wg0 /etc/wireguard/wg0.conf
//以上命令也可由sudo wg-quick up wg0代替
设置 IP 和路由
这一部分根据各自路由情况的不同，执行的命令也有所不同，但是一般来说默认的路由表是可以直接使用的，不需要配置；如不能正常使用，则使用'ip route'+'add或del'，自行更改至可使用的状态即可，以下粘贴出本例使用到的树莓派（IP为192.168.3.242）的路由情况
pi@raspberrypi:~ $ route -n
Kernel IP routing table
Destination ? ? Gateway ? ? ? ? Genmask ? ? ? ? Flags Metric Ref ? Use Iface
0.0.0.0 ? ? ? ? 0.0.0.0 ? ? ? ? 0.0.0.0 ? ? ? ? U ? ? 0 ? ? 0 ? ? ? 0 wg0
150.136.105.97 192.168.3.1 ? ? 255.255.255.255 UGH ? 0 ? ? 0 ? ? ? 0 eth0
192.168.3.0 ? ? 0.0.0.0 ? ? ? ? 255.255.255.0 ? U ? ? 202 ? 0 ? ? ? 0 eth0
注：150.136.105.97为服务器的公网IP
客户端设置完成，Ping 测试 VPN 隧道
ping 10.200.200.1
ping输出如下
PING 10.200.200.1 (10.200.200.1) 56(84) bytes of data.
64 bytes from 10.200.200.1: icmp_seq=1 ttl=64 time=253 ms
64 bytes from 10.200.200.1: icmp_seq=2 ttl=64 time=253 ms
64 bytes from 10.200.200.1: icmp_seq=3 ttl=64 time=252 ms
^C
--- 10.200.200.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 5ms
rtt min/avg/max/mdev = 251.782/252.699/253.364/0.886 ms
说明 VPN 隧道已通
用 curl 命令测试隧道的流量转发状态
curl ifconfig.me
显示 IP 为服务器的公网 IP
150.136.105.97
curl 获取到了服务器的公网 IP，流量转发成功。
参考在 Ubuntu 部署 VPN 隧道 WireGuard — Steemit
有任何问题欢迎留言，本人看到后会第一时间帮忙解决，非常感谢观看，祝配置顺利。另外转载请注明出处，谢谢。
|