WireGuard 协议深度指南：从零搭建全平台 VPN 网络

[Interface]
# 服务端的私钥（由 wg genkey 生成）
PrivateKey = oJVqJq2j5z...（32 字节 Base64 编码）

# 服务端在 VPN 网络内的 IP 地址（CIDR 格式）
Address = 10.0.0.1/24, fd00::1/64

# 监听端口（UDP，默认 51820）
ListenPort = 51820

# NAT 转发后处理（把 VPN 流量映射到公网出口）
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# ============== 客户端 1 ==============
[Peer]
# 客户端 1 的公钥
PublicKey = P3z7k2D...

# 可选：预共享密钥（额外安全层）
PresharedKey = ABCDEFG...

# 允许来自该客户端的源 IP（CIDR）
AllowedIPs = 10.0.0.2/32, fd00::2/128

# ============== 客户端 2 ==============
[Peer]
PublicKey = M8n3lKp...
PresharedKey = HIJKLMN...
AllowedIPs = 10.0.0.3/32, fd00::3/128

[Interface]
# 客户端私钥
PrivateKey = eJ7n2Qp...

# 客户端在 VPN 网络内的 IP
Address = 10.0.0.2/32, fd00::2/128

# DNS 服务器（可选，建议设置）
DNS = 1.1.1.1, 8.8.8.8

# ============== 服务端 ==============
[Peer]
# 服务端公钥
PublicKey = c2Bz8Kq...

# 服务端公网 IP 和端口（Endpoint）
Endpoint = 203.0.113.45:51820

# 允许通过该 Peer 的流量（0.0.0.0/0 表示所有 IPv4，::/0 表示所有 IPv6）
AllowedIPs = 0.0.0.0/0, ::/0

# 保持连接（NAT 穿透，每隔 25 秒发送一次心跳包）
PersistentKeepalive = 25

# 方法一：wg 工具生成
wg genkey | tee server_private.key | wg pubkey > server_public.key

# 方法二：wg-quick 一键生成
umask 077  # 确保文件权限严格
wg genkey > server_private.key
wg pubkey < server_private.key > server_public.key

# 方法三：生成预共享密钥（可选，用于 PSK 模式）
wg genpsk > preshared.key

$ cat server_private.key
oJVqJq2j5zN1R5x...（44 个字符的 Base64）

$ cat server_public.key
P3z7k2D8nM5pKqL...（同样 44 个字符）

# 验证私钥和公钥是否匹配
echo "私钥生成的公钥应为："
cat server_private.key | wg pubkey
echo "文件中的公钥："
cat server_public.key
# 如果两者相同，则匹配

# 检查 Linux 内核版本（需 >= 5.6，或安装模块）
uname -r
# 5.15.0-76-generic  ← 5.15 已经包含

# 检查内核模块是否可用
modprobe wireguard
# 如果无错误，说明模块已加载

# 确认模块已加载
lsmod | grep wireguard
# wireguard  221184  0

# Debian / Ubuntu
apt update
apt install -y wireguard wireguard-tools

# CentOS / RHEL / Fedora
yum install epel-release elrepo-release
yum install kmod-wireguard wireguard-tools

# Arch Linux
pacman -S wireguard-tools

# 验证安装
wg --version
# wireguard-tools v1.0.20210914

# 创建配置目录并设置权限
mkdir -p /etc/wireguard
chmod 700 /etc/wireguard
cd /etc/wireguard

# 生成服务端密钥
umask 077
wg genkey | tee server_private.key | wg pubkey > server_public.key

# 查看密钥
echo "=== 服务端私钥 ==="
cat server_private.key
echo ""
echo "=== 服务端公钥 ==="
cat server_public.key

# 创建 wg0.conf
cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
PrivateKey = 你的服务端私钥
Address = 10.0.0.1/24, fd00::1/64
ListenPort = 51820

# NAT 转发（适用于大多数 VPS，把出站网卡改为你的实际网卡名）
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
EOF

# 设置文件权限
chmod 600 /etc/wireguard/wg0.conf

# 临时启用
sysctl -w net.ipv4.ip_forward=1
sysctl -w net.ipv6.conf.all.forwarding=1

# 永久启用（写入 sysctl 配置）
cat >> /etc/sysctl.conf << 'EOF'
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1
EOF

# 确认生效
sysctl net.ipv4.ip_forward
# net.ipv4.ip_forward = 1

# 如果使用 UFW
ufw allow 51820/udp
ufw reload

# 如果使用 iptables
iptables -A INPUT -p udp --dport 51820 -j ACCEPT
iptables-save

# 检查 VPS 供应商的防火墙面板，确保 UDP 51820 已放行
# 很多云服务商（阿里云/腾讯云/AWS）需要在控制台单独配置

# 启动接口
wg-quick up wg0

# 查看状态
wg show wg0

# 预期输出：
# interface: wg0
#   public key: (服务端公钥)
#   listening port: 51820
#   peer: (客户端公钥，尚未配置，此时为空)

# 设置为开机自启
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

# 测试接口
ip addr show wg0
# 应该能看到 10.0.0.1/24 和 fd00::1/64

# 在 VPS 上生成客户端密钥（也可以在客户端生成，只把公钥发给服务器）
cd /etc/wireguard
umask 077
wg genkey | tee client1_private.key | wg pubkey > client1_public.key
wg genpsk > client1_psk.key

# 把 Peer 配置追加到服务端配置文件
cat >> /etc/wireguard/wg0.conf << EOF

[Peer]
# Client 1 - 我的笔记本
PublicKey = $(cat client1_public.key)
PresharedKey = $(cat client1_psk.key)
AllowedIPs = 10.0.0.2/32, fd00::2/128
EOF

# 重新加载 WireGuard 配置（不中断现有连接）
wg syncconf wg0 <(wg-quick strip wg0)

# 生成客户端配置（可以直接导入客户端软件）
cat > /etc/wireguard/wg0-client1.conf << EOF
[Interface]
PrivateKey = $(cat client1_private.key)
Address = 10.0.0.2/32, fd00::2/128
DNS = 1.1.1.1, 8.8.8.8

[Peer]
PublicKey = $(cat server_public.key)
PresharedKey = $(cat client1_psk.key)
Endpoint = $(curl -s ifconfig.me):51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
EOF

# 生成 QR Code（方便移动端扫码）
apt install -y qrencode
qrencode -t ansiutf8 < /etc/wireguard/wg0-client1.conf
# 屏幕上会出现一个二维码，手机 WireGuard App 可直接扫描

# 或者生成 PNG 文件
qrencode -o /etc/wireguard/client1_qr.png < /etc/wireguard/wg0-client1.conf

# 1. 安装
apt install -y wireguard wireguard-tools

# 2. 把客户端配置文件放到 /etc/wireguard/wg0.conf
#    从 VPS 下载或手动创建

# 3. 启动
wg-quick up wg0

# 4. 设置开机自启
systemctl enable wg-quick@wg0

# 通过 Homebrew 安装
brew install wireguard-tools

# 配置文件路径
# /usr/local/etc/wireguard/wg0.conf

# 启动
sudo wg-quick up wg0

# 检查端口是否被占用
ss -ulnp | grep 51820

# 检查内核模块
modprobe wireguard
# 如果失败，可能需要安装内核头文件
# apt install linux-headers-$(uname -r)

# 检查配置文件语法
wg-quick strip wg0  # 会提示语法错误

# 检查密钥格式
# 私钥和公钥必须是 32 字节（44 字符 Base64）
# 可以用以下命令验证
echo "你的私钥" | base64 -d | wc -c
# 应该输出 32

[Interface]
PrivateKey = 服务端私钥
Address = 10.0.0.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# Client 1
PublicKey = 客户端1公钥
AllowedIPs = 10.0.0.2/32

[Peer]
# Client 2
PublicKey = 客户端2公钥
AllowedIPs = 10.0.0.3/32

[Peer]
# Client 3
PublicKey = 客户端3公钥
AllowedIPs = 10.0.0.4/32

# 客户端 1 上执行
ping 10.0.0.3   # ping 客户端 2
# 应该可以通（流量通过服务端转发）

[Interface]
PrivateKey = 旁路由私钥
Address = 10.0.0.2/32
# 不设置 DNS（由内网 DNS 负责）

# 开启转发
PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -A FORWARD -i eth0 -j ACCEPT
PostUp = iptables -A FORWARD -o %i -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o %i -j MASQUERADE

[Peer]
PublicKey = VPS公钥
Endpoint = VPS公网IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

[Interface]
PrivateKey = A私钥
Address = 10.0.0.1/32
ListenPort = 51820

PostUp = iptables -A FORWARD -i %i -j ACCEPT
PostUp = iptables -A FORWARD -o %i -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = B公钥
Endpoint = B的公网IP:51820
AllowedIPs = 10.0.0.2/32, 192.168.2.0/24  # 关键：允许对端的整个内网
PersistentKeepalive = 25

[Interface]
PrivateKey = B私钥
Address = 10.0.0.2/32
ListenPort = 51820

PostUp = iptables -A FORWARD -i %i -j ACCEPT
...

[Peer]
PublicKey = A公钥
Endpoint = A的公网IP:51820
AllowedIPs = 10.0.0.1/32, 192.168.1.0/24
PersistentKeepalive = 25

# 在办公室 A 的某台设备上
ping 192.168.2.100   # 访问办公室 B 的设备
# 应该可以通

# 安装 udp2raw
wget https://github.com/wangyu-/udp2raw-tunnel/releases/download/20230206.0/udp2raw_binaries.tar.gz
tar -xzvf udp2raw_binaries.tar.gz
cd udp2raw_binaries

# 启动 udp2raw 服务端（把收到的 TCP 8080 转发到本地 UDP 51820）
./udp2raw_amd64 -s -l0.0.0.0:8080 -r 127.0.0.1:51820 -k "你的密码" --raw-mode faketcp

./udp2raw_amd64 -c -l127.0.0.1:51820 -r VPS公网IP:8080 -k "你的密码" --raw-mode faketcp

[Peer]
PublicKey = VPS公钥
Endpoint = 127.0.0.1:51820  # 指向本地 udp2raw
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

# 安装 wg-easy（最流行的 WireGuard 管理面板）
docker run -d \
  --name=wg-easy \
  -e WG_HOST=你的VPS公网IP \
  -e PASSWORD=管理员密码 \
  -v ~/.wg-easy:/etc/wireguard \
  -p 51820:51820/udp \
  -p 51821:51821/tcp \
  --cap-add=NET_ADMIN \
  --cap-add=SYS_MODULE \
  --sysctl="net.ipv4.conf.all.src_valid_mark=1" \
  --sysctl="net.ipv4.ip_forward=1" \
  --restart unless-stopped \
  weejewel/wg-easy

# 访问管理面板
# https://你的VPS公网IP:51821
# 可以：添加/删除客户端、查看状态、下载配置、生成 QR Code

{
  "outbounds": [
    {
      "type": "wireguard",
      "tag": "wg-out",
      "server": "VPS公网IP",
      "server_port": 51820,
      "local_address": [
        "10.0.0.2/32",
        "fd00::2/128"
      ],
      "private_key": "客户端私钥",
      "peer_public_key": "服务端公钥",
      "pre_shared_key": "预共享密钥（可选）",
      "mtu": 1420
    }
  ]
}

proxies:
  - name: "WireGuard-VPS"
    type: wireguard
    server: VPS公网IP
    port: 51820
    ip: 10.0.0.2
    private-key: 客户端私钥
    public-key: 服务端公钥
    pre-shared-key: 预共享密钥（可选）
    udp: true
    mtu: 1420

# 1. 调整 MTU（根据网络环境）
# 大多数情况下 1420 是比较安全的值
# 在客户端 [Interface] 中添加
MTU = 1380

# 2. 使用 AES-NI（如果 CPU 支持）
# WireGuard 默认使用 ChaCha20，但 CPU 支持 AES-NI 时可以切换
# 通过内核模块参数调整（高级用法）

# 3. 内核参数调优
cat >> /etc/sysctl.conf << 'EOF'
net.core.rmem_max = 67108864
net.core.wmem_max = 67108864
net.ipv4.tcp_rmem = 4096 87380 67108864
net.ipv4.tcp_wmem = 4096 65536 67108864
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr
EOF

sysctl -p

# 4. 启用 TCP BBR
# 对通过 WireGuard 隧道的 TCP 流量有显著提升
# （已包含在上面的配置中）

# 1. 设置严格的文件权限
chmod 700 /etc/wireguard
chmod 600 /etc/wireguard/*.conf
chmod 600 /etc/wireguard/*.key

# 2. 限制配置文件的读取
chown root:root /etc/wireguard/*.conf
chown root:root /etc/wireguard/*.key

# 3. 启用预共享密钥（PSK）
# 每个 Peer 都可以配置独立的 PSK
wg genpsk

# 4. 限制 AllowedIPs
# 只给客户端它真正需要的 IP 范围，不要使用 0.0.0.0/0
# 在服务端使用 /32 的精确 IP 限制

# 5. 定期更换端口
# 使用非默认端口可以避开简单的端口扫描
ListenPort = 51820  # 默认
# 可以尝试 1-65535 之间的任意端口

# 6. 使用防火墙限制 WireGuard 端口
# 只允许来自特定 IP 段的连接（可选）
iptables -A INPUT -p udp -s 114.0.0.0/8 --dport 51820 -j ACCEPT
iptables -A INPUT -p udp --dport 51820 -j DROP