Wireguard

Wireguard 简介

用 Wireguard 可以做什么

• 预配置的全隧道模式

  生成的客户端使用 AllowedIPs = 0.0.0.0/0,全部 IPv4 流量都经由 VPS 转发。客户端 DNS 设置为 1.1.1.1。

• 客户端配置与二维码

  /root/wg-client.conf 可原样导入各平台的 WireGuard 客户端。/root/wg-client-qr.txt 中的二维码可直接在终端显示,供手机应用扫描。

• 每个对端一把预共享密钥

  由 wg genpsk 生成的密钥会叠加在公钥交换之上,进一步加固连接。敏感文件均以 600 权限创建。

• 开机自动启动

  wg-quick@wg0 服务已通过 systemd 设为开机启用。服务器重启后,隧道会自动恢复。

• NAT 与转发已就绪

  IPv4 转发在 /etc/sysctl.d/99-wireguard.conf 中启用。FORWARD 与 masquerade 的 iptables 规则会在 wg0 启动时添加,停止时移除。

Wireguard 快速上手

从下单到上线，只需几分钟。

1. 1

   下单并勾选 WireGuard

   选择位于巴黎或法兰克福的 Linux VPS(Debian 12、Debian 13、Ubuntu 20.04、22.04 或 24.04)。在订单表单的“应用”选项卡中勾选 WireGuard。

2. 2

   登录服务器并取得客户端配置

   服务器交付后,使用收到的登录信息通过 SSH 连接。先确认隧道正在运行,然后显示二维码,或把配置文件复制到本机。

   Bash
   1ssh root@SERVER_IP
   2systemctl status wg-quick@wg0
   3cat /root/wg-client-qr.txt
   4# 在本机执行:
   5scp root@SERVER_IP:/root/wg-client.conf .

3. 3

   导入配置并测试连接

   用手机版 WireGuard 应用扫描二维码,或在桌面版应用中导入 wg-client.conf。在 Linux 上一条命令即可启动,随后检查是否已完成握手。

   Bash
   1sudo wg-quick up ./wg-client.conf
   2sudo wg show

4. 4

   加固配置以用于生产环境

   确认 UDP 51820 端口已开放,并限制其他对外暴露的端口。如果希望用域名代替 IP,请先添加 DNS 记录,再把客户端的 Endpoint 改为 YOUR_DOMAIN:51820。同时把 /etc/wireguard 备份到服务器之外。

   Bash
   1tar czf wg-backup.tgz /etc/wireguard /root/wg-client.conf

Wireguard 的使用场景

• 保护公共 Wi-Fi 下的流量

  在酒店、火车或咖啡馆里,您的 IPv4 流量会先通过加密隧道到达 VPS,再进入互联网。

• 获得固定的出口 IP

  您的出口 IP 就是 VPS 的 IP,因此可以在防火墙、数据库或管理 API 上只放行这一个地址。

• 把自己的设备连成一个网络

  电脑、手机和远程主机加入 10.8.0.0/24 网段后,可以通过内网地址互相访问,服务器充当中心节点。

• 在巴黎与法兰克福之间选择

  下单时选择 VPS 所在站点,就决定了流量的出口区域,例如用来从法国或德国的网络环境测试某项服务。

Wireguard 常见问题

深入了解 Wireguard

Bash
1cd /etc/wireguard
2umask 077
3wg genkey | tee client2.key | wg pubkey > client2.pub
4wg genpsk > client2.psk

Bash
1wg syncconf wg0 <(wg-quick strip wg0)