基于树莓派的WireGuard安装配置与使用

关于WireGuard

简介

WireGuard 是新一代的虚拟专用网协议，相比于 IPSec 和 OpenVPN 等软件，特点是简单、安全、高效，源码总共不到四千行代码。由于过于优秀，已经被吸收进了 Linux 5.6+ 的内核中。

工作原理

WireGuard 以 UDP 实现，但是运行在第三层 —— IP 层。每个 Peer 都会生成一个 wg0 虚拟网卡，同时服务端会在物理网卡上监听 UDP 51820 端口。应用程序的包发送到内核以后，如果地址是虚拟专用网内部的，那么就会交给 wg0 设备，WireGuard 就会把这个 IP 包封装成 WireGuard 的包，然后在 UDP 中发送出去，对方的 Peer 的内核收到这个 UDP 包后再反向操作，解包成为 IP 包，然后交给对应的应用程序。

WireGuard 项目官方网站 https://www.wireguard.com/

在服务器端部署WireGuard(本例为基于Oracle Cloud的Ubuntu 20.04)

WireGuard 跨平台参照官方给出的快速安装指南

https://www.wireguard.com/install/

注：如果安装失败请尝试一下升级更新

sudo apt-get update
sudo apt-get upgrade
sudo apt-get install wireguard 

---

服务器端环境以Ubuntu系统为例

生成公钥、私钥

sudo mkdir -p /etc/wireguard && sudo chmod 0777 /etc/wireguard && cd /etc/wireguard
umask 077
wg genkey | tee privatekey | wg pubkey > publickey | wg genpsk > presharedkey

打印输出私钥

cat privatekey
+Cr59JzbCKz9rESqimHGi5C2QfIRYZ5xVMssiTAEqV4=

打印输出公钥

cat publickey
bco6xIgfp++iFBj6vmDr27tAXfgYsppn/wyUJRcFgUc=

编辑并保存 wg0 配置文件 wg0.conf

sudo vi wg0.conf

wg0.conf 配置文件内容如下：

Address = 10.200.200.1（可根据需要自行设定）

ListenPort = 监听端口 51820（根据自己需求设定）

PrivateKey = 服务器私钥

PublicKey = 连接节点公钥（由客户端生成）

AllowedIPs = VPN 隧道的内网 IP 段（必须与服务器自行设定的Address在同一网络段内）

[Interface]
Address = 10.200.200.1
ListenPort = 51820
PrivateKey = <服务端私钥>
​
[Peer]
PublicKey = <客户端公钥>
AllowedIPs = 10.200.200.2/32
  
#如有多个客户端，则只需要如上填写对应连接节点公钥与VPN隧道的内网IP段即可
[Peer]
……

设置服务器的 NAT 流量转发

sudo vi /etc/sysctl.conf

找到这一行 net.ipv4.ip_forward = 1去掉注释符“#”（如无对应选项，自行添加即可）

net.ipv4.ip_forward = 1

执行sysctl并生效

sudo sysctl -p

在服务器端添加虚拟网卡 wg0，设置隧道 IP 和 iptables 规则

#添加虚拟网卡
sudo ip link add dev wg0 type wireguard
//10.200.200.1为wg0.conf中服务器端自行设定的Address段，根据你的设定对应修改
sudo ip address add dev wg0 10.200.200.1/24
sudo ip link set wg0 up
sudo wg setconf wg0 /etc/wireguard/wg0.conf
//以上四条命令也可直接用'sudo wg-quick up wg0'代替执行
#设置IP和iptables规则
sudo iptables -A FORWARD -i wg0 -j ACCEPT
sudo iptables -A FORWARD -o wg0 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE
//'eth0'为服务器本地网卡名称，可用'ifconfig'命令查看
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

注：iptables设置不完全仅包含以上指令，需执行'sudo iptables -L'查看当前防火墙状态，如有对应端口未打开或拒绝icmp报文访问等规则，需要自行打开或删除，否则wireguard将不能正常使用，现将本例使用的服务器防火墙INPUT和FORWARD链粘贴如下

ubuntu@instance-20210821-wg:/etc/wireguard$ sudo iptables -L -n  --line-number 
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           
2    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
3    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp spt:123
4    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            state NEW tcp dpt:22
5    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:51820 ctstate NEW
​
Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0   

另：服务器使用的端口一般还需在后台打开；阿里云及腾讯云的国内服务器也可能会出现不能正常使用wireguard的情况

配置完毕后，可用以下指令保存防火墙设置

apt-get install iptables-persistent
systemctl enable netfilter-persistent
systemctl start netfilter-persistent
netfilter-persistent save

检查wg设置是否正常

sudo wg show

正常情况下应该输出以下内容

interface: wg0
  public key: <服务端公钥>
  private key: (hidden)
  listening port: 51820
​
peer: <客户端公钥>
  //此为连接节点的IP及端口，不一定与下述情况一致
  endpoint: 12.34.56.78:61353
  allowed ips: 10.200.200.2/32
  //客服端启动完毕后才会出现以下两条信息
  latest handshake: 0 days, 8 minutes, 19 seconds ago
  transfer: 0.60 GiB received, 0.93 GiB sent

服务器端设置完成

另：可执行以下命令，设置为开机自动启动

sudo systemctl enable wg-quick@wg0.service

在客户端部署WireGuard

生成公钥、私钥

sudo mkdir -p /etc/wireguard && sudo chmod 077 /etc/wireguard && cd /etc/wireguard
umask 077
wg genkey | tee privatekey | wg pubkey > publickey

打印输出私钥

cat privatekey
SHBjWA3uAYAZc+TUvr6PcTA5SVQnt+aSVkdlZhlg1Hk=

打印输出公钥

cat publickey
8+9jGlxuwyGUWtUk8/NZMAl1Ax577KAvnXJY0EeuNkQ=

wg0.conf 配置文件内容如下

ListenPort = 监听端口 51820

PrivateKey = 本地客户端私钥

PublicKey = 服务器端公钥（由服务器端生成）

AllowedIPs = VPN 隧道的内网 IP 段

Endpoint = 远程服务器的公网 IP（即ssh连接服务器时用的IP地址） 和端口

PersistentKeepalive = 连接心跳包的唤醒间隔（可不设置）

[Interface]
Address = 10.200.200.2/32
ListenPort = 51820
PrivateKey = <客户端私钥>
​
[Peer]
PublicKey = <服务端公钥>
AllowedIPs = 0.0.0.0/0
Endpoint = 150.136.105.97:51820
PersistentKeepalive = 25

在客户端，添加虚拟网卡 wg0

sudo ip link add dev wg0 type wireguard
//10.200.200.2为wg0.conf中客户端自行设定的Address段，根据你的设定对应修改
sudo ip address add dev wg0 10.200.200.2/32
sudo ip link set wg0 up
sudo wg setconf wg0 /etc/wireguard/wg0.conf
//以上命令也可由sudo wg-quick up wg0代替

设置 IP 和路由

这一部分根据各自路由情况的不同，执行的命令也有所不同，但是一般来说默认的路由表是可以直接使用的，不需要配置；如不能正常使用，则使用'ip route'+'add或del'，自行更改至可使用的状态即可，以下粘贴出本例使用到的树莓派（IP为192.168.3.242）的路由情况

pi@raspberrypi:~ $ route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         0.0.0.0         0.0.0.0         U     0      0        0 wg0
150.136.105.97  192.168.3.1     255.255.255.255 UGH   0      0        0 eth0
192.168.3.0     0.0.0.0         255.255.255.0   U     202    0        0 eth0

注：150.136.105.97为服务器的公网IP

客户端设置完成，Ping 测试 VPN 隧道

ping 10.200.200.1

ping输出如下

PING 10.200.200.1 (10.200.200.1) 56(84) bytes of data.
64 bytes from 10.200.200.1: icmp_seq=1 ttl=64 time=253 ms
64 bytes from 10.200.200.1: icmp_seq=2 ttl=64 time=253 ms
64 bytes from 10.200.200.1: icmp_seq=3 ttl=64 time=252 ms
^C
--- 10.200.200.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 5ms
rtt min/avg/max/mdev = 251.782/252.699/253.364/0.886 ms

说明 VPN 隧道已通

用 curl 命令测试隧道的流量转发状态

curl ifconfig.me

显示 IP 为服务器的公网 IP

150.136.105.97

curl 获取到了服务器的公网 IP，流量转发成功。

---

参考在 Ubuntu 部署 VPN 隧道 WireGuard — Steemit

有任何问题欢迎留言，本人看到后会第一时间帮忙解决，非常感谢观看，祝配置顺利。另外转载请注明出处，谢谢。