网站导航
> 文档中心 > 我实践：wireguard多场景安装配置指导.md

我实践：wireguard多场景安装配置指导.md

网友: 文档中心 2022-04-02 11:31:49

我实践：wireguard多场景安装配置指导.md

文章目录

  • 我实践：wireguard多场景安装配置指导.md
    • 介绍
    • 安装
    • 配置
      • server
      • client
      • 使用场景
        • 场景1：PC-to-LAN
        • 场景2：LAN-to-LAN
      • 手机端
      • 防火墙策略
    • 日常使用
    • 客户端使用wg-quick的反应
    • 配置文件解析
    • 另：ip rule，ip route，iptables 三者之间的关系
    • wg-quick
    • wg

介绍

wireguard与openVPN、strongswanVPN、ipsecVPN的优劣请自行百度，总的一句wireguard很好用，配置简单，短小精悍，Linus很喜欢，多平台支持，你值得拥有。唯一不好的是可能容易被墙。
本文主要介绍在几种场景下的配置方法。

安装

参考：

https://www.wireguard.com/install/https://www.wireguard.com/quickstart/

以下为在centos下的安装方法：

yum update -yyum install epel-release https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpmyum install yum-plugin-elrepoyum install kmod-wireguard wireguard-toolsreboot

配置

服务器信息：
公网信息：5.5.5.5:51820 (dnat)
vpn peer ip： 172.30.0.1
服务器内部网段：10.1.0.0/16
公钥： dLssYxxxxxxxxxxxxxxxxxZq98NQKOivi3MN/VM=

客户端信息：
客户端在adsl内网，不能公网访问
vpn peer ip： 172.30.0.2
客户端内部网段：192.168.0.0/16
公钥： PTr03Yp2MxxxxxxxxxxxxxxxxxFwVRUl2ZNXfLTA=

server

# 1、设置网卡ip link add wg0 type wireguard    # 自动处理内核模块加载ip address add 172.30.0.1/24 dev wg0# 2、生成秘钥wg genkey > private.keywg pubkey < private.key   # 查看公钥># 用法：Usage: wg set  [listen-port ] [fwmark ] [private-key ]  [peer  [remove] [preshared-key ] [endpoint :] [persistent-keepalive ] [allowed-ips /[,/]...] ]...# 3、设置本地wg0网卡侦听端口与私钥wg  set wg0  listen-port 51820  private-key ./private.key# 4、设置客户端公钥及允许客户端访问服务器的ip范围，多个时以逗号分隔（客户端需要生成相关信息才可执行下面的命令，方法同上）；设置保持连接（peer在nat防火墙后面的或者是动态地址的需要加上，服务器端一般有固定地址，所以不需要）wg  set wg0  peer PTr03Yp2Mhd2GEUN2KjrRJMVAn0JbFwVRUl2ZNXfLTA=  allowed-ips 172.30.0.2/32# 5、激活网卡ip link set wg0 upwg

client

# 1、设置网卡ip link add wg0 type wireguard    # 自动处理内核模块加载ip address add 172.30.0.2/24 dev wg0# 2、生成秘钥wg genkey > private.keywg pubkey < private.key  # 查看公钥># 3、设置本地wg0网卡侦听端口与私钥，侦听端口不用设置，因为客户端不需要被别人主动连接，会自动使用一个随机端口wg  set wg0  private-key ./private.key# 以上部分和服务器端设置是一样的# 4、设置服务器端公钥；设置允许服务器访问客户端的ip范围（服务器端需要生成相关信息才可执行下面的命令）；设置保持连接（nat防火墙后面需要加上）；设置服务器地址与端口wg  set wg0  peer dLssY8xxxxxxxxxxxxxxxxx8NQKOivi3MN/VM=  persistent-keepalive 25  allowed-ips 172.30.0.1/32  endpoint 5.5.5.5:51820# 5、激活网卡ip link set wg0 upwg

使用场景

前面只是点到点的基本场景，是最简单的使用场景，下面我们再探讨下其他使用场景

场景1：PC-to-LAN

# 允许客户端访问服务器端所有局域网（即PC-to-LAN，一般采用这种模式）# 基于基本场景还需执行以下设置：## on server：# 添加vpn网段路由到服务器端企业路由器# 172.30.0.0/24 via [本机的局域网ip]## on client：# 添加server端网段到本机路由表ip route add 10.1.0.0/16 via 172.30.0.1...# 允许server端网络访问client端（无需ip link down + up；这里0.0.0.0/0代表所有网络）wg  set wg0  peer dLssxxxxxxxxxxxxxxxxxq98NQKOivi3MN/VM=  persistent-keepalive 25  allowed-ips 172.30.0.1/32,0.0.0.0/0  endpoint 192.168.11.29:51820

场景2：LAN-to-LAN

# 将两边的局域网连成一个整体的局域网（即LAN-to-LAN）# 基于基本场景还需执行以下设置：## on server：# 添加vpn网段路由到服务器端企业路由器# 172.30.0.0/24  via [本机的局域网ip]# 添加client端网段路由到服务器端企业路由器# 192.168.2.0/24 via [本机的局域网ip]# ...# 添加client端网段路由到本机路由表ip route add 192.168.0.0/16  via 172.30.0.2...# 允许client端访问server端网络（无需ip link down + up）wg  set wg0  peer VbR3Kxgxxxxxxxxxxxxxxxxxzq3H4ebdgTng=  allowed-ips 172.30.0.2/32,192.168.0.0/24## on client：# 添加vpn网段路由到客户端企业路由器# 172.30.0.0/24  via [本机的局域网ip]# 添加server端网段路由到客户端企业路由器# 10.1.0.0/16 via [本机的局域网ip]# ...# 添加server端网段路由到本机路由表ip route add 10.1.0.0/16 via 172.30.0.1...# 允许server端访问client端网络（无需ip link down + up；0.0.0.0/0代表所有网络）wg  set wg0  peer dLssxxxxxxxxxxxxxxxxx98NQKOivi3MN/VM=  persistent-keepalive 25  allowed-ips 172.30.0.1/32,0.0.0.0/0  endpoint 5.5.5.5:51820

手机端

  • 路由的ip地址（段）：就是allowed-ips，不仅仅是字面意义的路由表
  • persistent-keepalive连接保活间隔建议开启：25，否则从服务器端ping手机端地址ping不通：
# ping  172.30.0.12PING 172.30.0.12 (172.30.0.12) 56(84) bytes of data.From 172.30.0.1 icmp_seq=1 Destination Host Unreachableping: sendmsg: Destination address required
  • 其他：略

防火墙策略

# 如果server端启用了系统防火墙，比如：firewalld.service，你可能需要开启一些端口，比如：# 将网卡加入到public区域，默认策略允许ping：firewall-cmd --zone=public --add-interface=wg0# 开放wireguard侦听端口51820/udpfirewall-cmd --zone=public --add-port=51820/udp# 允许客户端172.30.0.2访问服务器端局域网的10.1.3.77:80firewall-cmd --direct --add-rule   ipv4 filter FORWARD 1 -p tcp -d 10.1.3.77 --dport 80 -s 172.30.0.2 -j ACCEPT# 允许客户端172.30.0.2访问服务器端局域网的所有服务器的80端口firewall-cmd --direct --add-rule   ipv4 filter FORWARD 1 -p tcp --dport 80 -s 172.30.0.2 -j ACCEPT# 允许客户端172.30.0.2访问服务器端局域网的所有服务器的所有端口firewall-cmd --direct --add-rule   ipv4 filter FORWARD 1 -p tcp  -s 172.30.0.2 -j ACCEPT# 允许客户端172.30.0.2访问服务器端的81端口firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.30.0.2   port port=81 protocol=tcp accept'# 允许所有人访问服务器端的82端口firewall-cmd --add-port=82/tcp

日常使用

用法：Usage: wg-quick [ up | down | save | strip ] [ CONFIG_FILE | INTERFACE ]

# 保存配置，这种指令行方式更加可控，最好不要直接编辑/etc/wireguard/wg0.conf中的配置文件touch  /etc/wireguard/wg0.confwg-quick save wg0    #或: wg showconf wg0 > /etc/wireguard/wg0.conf     #如果peer在nat后面的可能需要删除相关Endpoint信息，因为那是不能被主动访问的# 启动/停止wg-quick up   wg0  #自动选择配置文件'/etc/wireguard/wg0.conf'wg-quick up   /path/to/wg0.conf  #指定路径wg-quick down wg0# 删除peerwg set wg0 peer $(cat cpublickey1) remove

客户端使用wg-quick的反应

他拥有wg没有的功能，wg-quick是一个sh脚本
以下是使用wg-quick前后的变化

# cat /etc/wireguard/wg5.conf [Interface]Address = 172.30.5.11/24ListenPort = 52235PrivateKey = kET16oZ4DOmsvflMxxxxxxxxxxxxxxxxxYZK0RdF0s=DNS = 8.8.8.8[Peer]PublicKey = dLssY8S+xxxxxxxxxxxxxxxxxq98NQKOivi3MN/VM=AllowedIPs = 0.0.0.0/0Endpoint = 11.21.31.94:51820PersistentKeepalive = 25## wg-quick up wg5[#] ip link add wg5 type wireguard[#] wg setconf wg5 /dev/fd/63[#] ip -4 address add 172.30.5.11/24 dev wg5[#] ip link set mtu 1420 up dev wg5[#] resolvconf -a tun.wg5 -m 0 -x[#] wg set wg5 fwmark 51820[#] ip -4 route add 0.0.0.0/0 dev wg5 table 51820[#] ip -4 rule add not fwmark 51820 table 51820[#] ip -4 rule add table main suppress_prefixlength 0[#] sysctl -q net.ipv4.conf.all.src_valid_mark=1[#] iptables-restore -n## cat /etc/resolv.conf # Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTENnameserver 8.8.8.8      #---新加的nameserver 127.0.1.1## ip rule list0:from all lookup local 218:from all lookup main suppress_prefixlength 0    #---新加的 219:not from all fwmark 0xca6c lookup 51820  #---新加的，0xca6c即5182032766:from all lookup main 32767:from all lookup default## ip route list table 51820default dev wg5  scope link#---新加的## ip route list     #---即:ip route list table maindefault via 192.168.43.1 dev wlp2s0  proto static  metric 600 172.17.0.0/16 dev docker0  proto kernel  scope link  src 172.17.0.1 linkdown 172.18.0.0/16 dev br-542d8a49cc45  proto kernel  scope link  src 172.18.0.1 linkdown 172.30.5.0/24 dev wg5  proto kernel  scope link  src 172.30.5.11 #---新加的 192.168.43.0/24 dev wlp2s0  proto kernel  scope link  src 192.168.43.19  metric 600 192.168.122.0/24 dev virbr0  proto kernel  scope link  src 192.168.122.1 linkdown ## iptables -t mangle -L Chain PREROUTING (policy ACCEPT)target     prot opt source destination  CONNMARK   udp  --  anywhere      anywhere      /* wg-quick(8) rule for wg5 */ CONNMARK restore      #---新加的Chain INPUT (policy ACCEPT)target     prot opt source destination  Chain FORWARD (policy ACCEPT)target     prot opt source destination  Chain OUTPUT (policy ACCEPT)target     prot opt source destination  Chain POSTROUTING (policy ACCEPT)target     prot opt source destination  CONNMARK   udp  --  anywhere      anywhere      mark match 0xca6c /* wg-quick(8) rule for wg5 */ CONNMARK save      #---新加的CHECKSUM   udp  --  anywhere      anywhere      udp dpt:bootpc CHECKSUM fill## wg-quick down wg5[#] ip -4 rule delete table 51820[#] ip -4 rule delete table main suppress_prefixlength 0[#] ip link delete dev wg5[#] resolvconf -d tun.wg5 -f[#] iptables-restore -n

配置文件解析

参考：https://manpages.debian.org/unstable/wireguard-tools/wg-quick.8.en.html
文件默认路径为/etc/wireguard/，文件名为接口名.conf，比如wg0.conf
如下：

[Interface] Address = 10.200.100.1/24   #接口IP（v4或v6），可以多次指定，逗号分隔ListenPort = 51820   #侦听端口PrivateKey = oK56DE9Uexxxxxxxxxxxxxxxxx6lm7cXXsQKrQM=     #私钥DNS = 8.8.8.8 #多个则以逗号分隔，增加dns服务器在/etc/resolv.conf中，通过resolvconf命令进行配置，需要安装此包MTU = 1420    #设置mtu，默认为自动设置## PreUp,  PostUp,  PreDown,  PostDown : 里面的内容会在bash中执行，'%i'代表接口，这些都是wg-quick的功能# 以加密形式存储私钥，例如通过使用pass（1）：PostUp = wg set %i private-key <(pass WireGuard/private-keys/%i)## 当[peer]里设置了'AllowedIPs = 0.0.0.0/0'时，可能会被'kill-switch'攻击，为了防止非加密数据包通过non-WireGuard接口，添加以下两行：PostUp =  iptables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT PreDown = iptables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT## Table  : 保存到哪个路由表。off|auto，“off”禁用路由的创建，“auto”（默认）将路由添加到默认表中，这是wg-quick的功能。# Table，PostUp和PreDown字段的组合也可以用于策略路由# 参考：https://www.cnblogs.com/EasonJim/p/8424731.html（Linux下ip route、ip rule、iptables的关系）Table = 1234 PostUp =  ip rule add    ipproto tcp dport 22 table 1234PreDown = ip rule delete ipproto tcp dport 22 table 1234#SaveConfig = false    #如果设置为“true”，则在关闭时从接口的当前状态保存配置[Peer] PublicKey = GtL7fZc/bLnqZldpxxxxxxxxxxxxxxxxxdLx+qtKU=#对端公钥PresharedKey = /UwcSPgxxxxxxxxxxxxxxxxxuURMbS0sesJEP5ak=    #设置两端[peer]预共享key，wg genpskAllowedIPs = 0.0.0.0/0    #对端可以访问的地址范围，如果多个则用逗号分隔。如果是0.0.0.0/0，则会自动添加ip rule，并配置为该rule的默认网关，这是wg-quick的功能Endpoint = demo.wireguard.com:51820     #对端的地址信息，代表主动连接对端，客户端必须设置PersistentKeepalive = 25  #保持连接

另：ip rule，ip route，iptables 三者之间的关系

参考：https://www.cnblogs.com/EasonJim/p/8424731.html
例：公司内网要求192.168.0.100 以内的使用 10.0.0.1 网关上网 （电信），其他IP使用 20.0.0.1 （网通）上网。

  1. 首先要在网关服务器上添加一个默认路由，当然这个指向是绝大多数的IP的出口网关：ip route add default gw 20.0.0.1
  2. 之后通过 ip route 添加一个路由表：ip route add table 3 via 10.0.0.1 dev ethX #—(ethx 是 10.0.0.1 所在的网卡, 3 是路由表的编号)
  3. 之后添加 ip rule 规则：ip rule add fwmark 3 table 3 #—（fwmark 3 是标记，table 3 是路由表3 上边。 意思就是凡事标记了 3 的数据使用 table3 路由表）
  4. 之后使用 iptables 给相应的数据打上标记：iptables -A PREROUTING -t mangle -i eth0 -s 192.168.0.1-192.168.0.100 -j MARK --set-mark 3
    我实践：wireguard多场景安装配置指导.md

wg-quick

$ wg-quick --helpUsage: wg-quick [ up | down | save | strip ] [ CONFIG_FILE | INTERFACE ]  CONFIG_FILE is a configuration file, whose filename is the interface name  followed by '.conf'. Otherwise, INTERFACE is an interface name, with  configuration found at /etc/wireguard/INTERFACE.conf. It is to be readable  by wg(8)'s 'setconf' sub-command, with the exception of the following additions  to the [Interface] section, which are handled by wg-quick:  - Address: may be specified one or more times and contains one or more    IP addresses (with an optional CIDR mask) to be set for the interface.  - DNS: an optional DNS server to use while the device is up.  - MTU: an optional MTU for the interface; if unspecified, auto-calculated.  - Table: an optional routing table to which routes will be added; if    unspecified or 'auto', the default table is used. If 'off', no routes    are added.  - PreUp, PostUp, PreDown, PostDown: script snippets which will be executed    by bash(1) at the corresponding phases of the link, most commonly used    to configure DNS. The string '%i' is expanded to INTERFACE.  - SaveConfig: if set to 'true', the configuration is saved from the current    state of the interface upon shutdown.See wg-quick(8) for more info and examples.

wg

$ wg --helpUsage: wg <cmd> [<args>]Available subcommands:  show: Shows the current configuration and device information  showconf: Shows the current configuration of a given WireGuard interface, for use with 'setconf'  set: Change the current configuration, add peers, remove peers, or change peers  setconf: Applies a configuration file to a WireGuard interface  addconf: Appends a configuration file to a WireGuard interface  syncconf: Synchronizes a configuration file to a WireGuard interface  genkey: Generates a new private key and writes it to stdout  genpsk: Generates a new preshared key and writes it to stdout  pubkey: Reads a private key from stdin and writes a public key to stdoutYou may pass '--help' to any of these subcommands to view usage.$ wg setconf --helpUsage: wg setconf <interface> <configuration filename>wg addconf wg0 <(wg-quick strip wg0)   # ??

网络标签：

相关问题