我实践:wireguard多场景安装配置指导.md

2024-03-13 03:50

本文主要是介绍我实践:wireguard多场景安装配置指导.md,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

我实践:wireguard多场景安装配置指导.md

文章目录

  • 我实践:wireguard多场景安装配置指导.md
    • 介绍
    • 安装
    • 配置
      • server
      • client
      • 使用场景
        • 场景1:PC-to-LAN
        • 场景2:LAN-to-LAN
      • 手机端
      • 防火墙策略
    • 日常使用
    • 客户端使用wg-quick的反应
    • 配置文件解析
    • 另:ip rule,ip route,iptables 三者之间的关系
    • wg-quick
    • wg

介绍

wireguard与openVPN、strongswanVPN、ipsecVPN的优劣请自行百度,总的一句wireguard很好用,配置简单,短小精悍,Linus很喜欢,多平台支持,你值得拥有。唯一不好的是可能容易被墙。
本文主要介绍在几种场景下的配置方法。

安装

参考:

https://www.wireguard.com/install/
https://www.wireguard.com/quickstart/

以下为在centos下的安装方法:

yum update -y
yum install epel-release https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpm
yum install yum-plugin-elrepo
yum install kmod-wireguard wireguard-tools
reboot

配置

服务器信息:
公网信息:5.5.5.5:51820 (dnat)
vpn peer ip: 172.30.0.1
服务器内部网段:10.1.0.0/16
公钥: dLssYxxxxxxxxxxxxxxxxxZq98NQKOivi3MN/VM=

客户端信息:
客户端在adsl内网,不能公网访问
vpn peer ip: 172.30.0.2
客户端内部网段:192.168.0.0/16
公钥: PTr03Yp2MxxxxxxxxxxxxxxxxxFwVRUl2ZNXfLTA=

server

# 1、设置网卡
ip link add wg0 type wireguard    # 自动处理内核模块加载
ip address add 172.30.0.1/24 dev wg0# 2、生成秘钥
wg genkey > private.key
wg pubkey < private.key   # 查看公钥># 用法:Usage: wg set <interface> [listen-port <port>] [fwmark <mark>] [private-key <file path>]  [peer <base64 public key> [remove] [preshared-key <file path>] [endpoint <ip>:<port>] [persistent-keepalive <interval seconds>] [allowed-ips <ip1>/<cidr1>[,<ip2>/<cidr2>]...] ]...# 3、设置本地wg0网卡侦听端口与私钥
wg  set wg0  listen-port 51820  private-key ./private.key# 4、设置客户端公钥及允许客户端访问服务器的ip范围,多个时以逗号分隔(客户端需要生成相关信息才可执行下面的命令,方法同上);设置保持连接(peer在nat防火墙后面的或者是动态地址的需要加上,服务器端一般有固定地址,所以不需要)
wg  set wg0  peer PTr03Yp2Mhd2GEUN2KjrRJMVAn0JbFwVRUl2ZNXfLTA=  allowed-ips 172.30.0.2/32# 5、激活网卡
ip link set wg0 up
wg

client

# 1、设置网卡
ip link add wg0 type wireguard    # 自动处理内核模块加载
ip address add 172.30.0.2/24 dev wg0# 2、生成秘钥
wg genkey > private.key
wg pubkey < private.key  # 查看公钥># 3、设置本地wg0网卡侦听端口与私钥,侦听端口不用设置,因为客户端不需要被别人主动连接,会自动使用一个随机端口
wg  set wg0  private-key ./private.key
# 以上部分和服务器端设置是一样的# 4、设置服务器端公钥;设置允许服务器访问客户端的ip范围(服务器端需要生成相关信息才可执行下面的命令);设置保持连接(nat防火墙后面需要加上);设置服务器地址与端口
wg  set wg0  peer dLssY8xxxxxxxxxxxxxxxxx8NQKOivi3MN/VM=  persistent-keepalive 25  allowed-ips 172.30.0.1/32  endpoint 5.5.5.5:51820# 5、激活网卡
ip link set wg0 up
wg

使用场景

前面只是点到点的基本场景,是最简单的使用场景,下面我们再探讨下其他使用场景

场景1:PC-to-LAN
# 允许客户端访问服务器端所有局域网(即PC-to-LAN,一般采用这种模式)
# 基于基本场景还需执行以下设置:## on server:
# 添加vpn网段路由到服务器端企业路由器
# 172.30.0.0/24 via [本机的局域网ip]## on client:
# 添加server端网段到本机路由表
ip route add 10.1.0.0/16 via 172.30.0.1
...
# 允许server端网络访问client端(无需ip link down + up;这里0.0.0.0/0代表所有网络)
wg  set wg0  peer dLssxxxxxxxxxxxxxxxxxq98NQKOivi3MN/VM=  persistent-keepalive 25  allowed-ips 172.30.0.1/32,0.0.0.0/0  endpoint 192.168.11.29:51820
场景2:LAN-to-LAN
# 将两边的局域网连成一个整体的局域网(即LAN-to-LAN)
# 基于基本场景还需执行以下设置:## on server:
# 添加vpn网段路由到服务器端企业路由器
# 172.30.0.0/24  via [本机的局域网ip]
# 添加client端网段路由到服务器端企业路由器
# 192.168.2.0/24 via [本机的局域网ip]
# ...
# 添加client端网段路由到本机路由表
ip route add 192.168.0.0/16  via 172.30.0.2
...
# 允许client端访问server端网络(无需ip link down + up)
wg  set wg0  peer VbR3Kxgxxxxxxxxxxxxxxxxxzq3H4ebdgTng=  allowed-ips 172.30.0.2/32,192.168.0.0/24## on client:
# 添加vpn网段路由到客户端企业路由器
# 172.30.0.0/24  via [本机的局域网ip]
# 添加server端网段路由到客户端企业路由器
# 10.1.0.0/16 via [本机的局域网ip]
# ...
# 添加server端网段路由到本机路由表
ip route add 10.1.0.0/16 via 172.30.0.1
...
# 允许server端访问client端网络(无需ip link down + up;0.0.0.0/0代表所有网络)
wg  set wg0  peer dLssxxxxxxxxxxxxxxxxx98NQKOivi3MN/VM=  persistent-keepalive 25  allowed-ips 172.30.0.1/32,0.0.0.0/0  endpoint 5.5.5.5:51820

手机端

  • 路由的ip地址(段):就是allowed-ips,不仅仅是字面意义的路由表
  • persistent-keepalive连接保活间隔建议开启:25,否则从服务器端ping手机端地址ping不通:
# ping  172.30.0.12
PING 172.30.0.12 (172.30.0.12) 56(84) bytes of data.
From 172.30.0.1 icmp_seq=1 Destination Host Unreachable
ping: sendmsg: Destination address required
  • 其他:略

防火墙策略

# 如果server端启用了系统防火墙,比如:firewalld.service,你可能需要开启一些端口,比如:# 将网卡加入到public区域,默认策略允许ping:
firewall-cmd --zone=public --add-interface=wg0
# 开放wireguard侦听端口51820/udp
firewall-cmd --zone=public --add-port=51820/udp# 允许客户端172.30.0.2访问服务器端局域网的10.1.3.77:80
firewall-cmd --direct --add-rule   ipv4 filter FORWARD 1 -p tcp -d 10.1.3.77 --dport 80 -s 172.30.0.2 -j ACCEPT
# 允许客户端172.30.0.2访问服务器端局域网的所有服务器的80端口
firewall-cmd --direct --add-rule   ipv4 filter FORWARD 1 -p tcp --dport 80 -s 172.30.0.2 -j ACCEPT
# 允许客户端172.30.0.2访问服务器端局域网的所有服务器的所有端口
firewall-cmd --direct --add-rule   ipv4 filter FORWARD 1 -p tcp  -s 172.30.0.2 -j ACCEPT# 允许客户端172.30.0.2访问服务器端的81端口
firewall-cmd --add-rich-rule='rule family=ipv4 source address=172.30.0.2   port port=81 protocol=tcp accept'# 允许所有人访问服务器端的82端口
firewall-cmd --add-port=82/tcp

日常使用

用法:Usage: wg-quick [ up | down | save | strip ] [ CONFIG_FILE | INTERFACE ]

# 保存配置,这种指令行方式更加可控,最好不要直接编辑/etc/wireguard/wg0.conf中的配置文件
touch  /etc/wireguard/wg0.conf
wg-quick save wg0#或: wg showconf wg0 > /etc/wireguard/wg0.conf #如果peer在nat后面的可能需要删除相关Endpoint信息,因为那是不能被主动访问的# 启动/停止
wg-quick up   wg0                #自动选择配置文件'/etc/wireguard/wg0.conf'
wg-quick up   /path/to/wg0.conf  #指定路径
wg-quick down wg0# 删除peer
wg set wg0 peer $(cat cpublickey1) remove

客户端使用wg-quick的反应

他拥有wg没有的功能,wg-quick是一个sh脚本
以下是使用wg-quick前后的变化

# cat /etc/wireguard/wg5.conf 
[Interface]
Address = 172.30.5.11/24
ListenPort = 52235
PrivateKey = kET16oZ4DOmsvflMxxxxxxxxxxxxxxxxxYZK0RdF0s=
DNS = 8.8.8.8
[Peer]
PublicKey = dLssY8S+xxxxxxxxxxxxxxxxxq98NQKOivi3MN/VM=
AllowedIPs = 0.0.0.0/0
Endpoint = 11.21.31.94:51820
PersistentKeepalive = 25
#
# wg-quick up wg5
[#] ip link add wg5 type wireguard
[#] wg setconf wg5 /dev/fd/63
[#] ip -4 address add 172.30.5.11/24 dev wg5
[#] ip link set mtu 1420 up dev wg5
[#] resolvconf -a tun.wg5 -m 0 -x
[#] wg set wg5 fwmark 51820
[#] ip -4 route add 0.0.0.0/0 dev wg5 table 51820
[#] ip -4 rule add not fwmark 51820 table 51820
[#] ip -4 rule add table main suppress_prefixlength 0
[#] sysctl -q net.ipv4.conf.all.src_valid_mark=1
[#] iptables-restore -n
#
# cat /etc/resolv.conf 
# Dynamic resolv.conf(5) file for glibc resolver(3) generated by resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 8.8.8.8      #---新加的
nameserver 127.0.1.1
#
# ip rule list
0:	from all lookup local 
218:	from all lookup main suppress_prefixlength 0    #---新加的 
219:	not from all fwmark 0xca6c lookup 51820         #---新加的,0xca6c即51820
32766:	from all lookup main 
32767:	from all lookup default
#
# ip route list table 51820
default dev wg5  scope link       #---新加的
#
# ip route list     #---即:ip route list table main
default via 192.168.43.1 dev wlp2s0  proto static  metric 600 
172.17.0.0/16 dev docker0  proto kernel  scope link  src 172.17.0.1 linkdown 
172.18.0.0/16 dev br-542d8a49cc45  proto kernel  scope link  src 172.18.0.1 linkdown 
172.30.5.0/24 dev wg5  proto kernel  scope link  src 172.30.5.11                      #---新加的 
192.168.43.0/24 dev wlp2s0  proto kernel  scope link  src 192.168.43.19  metric 600 
192.168.122.0/24 dev virbr0  proto kernel  scope link  src 192.168.122.1 linkdown 
#
# iptables -t mangle -L 
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
CONNMARK   udp  --  anywhere             anywhere             /* wg-quick(8) rule for wg5 */ CONNMARK restore      #---新加的Chain INPUT (policy ACCEPT)
target     prot opt source               destination         Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
CONNMARK   udp  --  anywhere             anywhere             mark match 0xca6c /* wg-quick(8) rule for wg5 */ CONNMARK save      #---新加的
CHECKSUM   udp  --  anywhere             anywhere             udp dpt:bootpc CHECKSUM fill
#
# wg-quick down wg5
[#] ip -4 rule delete table 51820
[#] ip -4 rule delete table main suppress_prefixlength 0
[#] ip link delete dev wg5
[#] resolvconf -d tun.wg5 -f
[#] iptables-restore -n

配置文件解析

参考:https://manpages.debian.org/unstable/wireguard-tools/wg-quick.8.en.html
文件默认路径为/etc/wireguard/,文件名为接口名.conf,比如wg0.conf
如下:

[Interface] 
Address = 10.200.100.1/24   #接口IP(v4或v6),可以多次指定,逗号分隔
ListenPort = 51820          #侦听端口
PrivateKey = oK56DE9Uexxxxxxxxxxxxxxxxx6lm7cXXsQKrQM=     #私钥
DNS = 8.8.8.8               #多个则以逗号分隔,增加dns服务器在/etc/resolv.conf中,通过resolvconf命令进行配置,需要安装此包
MTU = 1420                  #设置mtu,默认为自动设置
#
# PreUp,  PostUp,  PreDown,  PostDown : 里面的内容会在bash中执行,'%i'代表接口,这些都是wg-quick的功能
# 以加密形式存储私钥,例如通过使用pass(1):
PostUp = wg set %i private-key <(pass WireGuard/private-keys/%i)
#
# 当[peer]里设置了'AllowedIPs = 0.0.0.0/0'时,可能会被'kill-switch'攻击,为了防止非加密数据包通过non-WireGuard接口,添加以下两行:
PostUp =  iptables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT 
PreDown = iptables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT
#
# Table  : 保存到哪个路由表。off|auto,“off”禁用路由的创建,“auto”(默认)将路由添加到默认表中,这是wg-quick的功能。
# Table,PostUp和PreDown字段的组合也可以用于策略路由
# 参考:https://www.cnblogs.com/EasonJim/p/8424731.html(Linux下ip route、ip rule、iptables的关系)
Table = 1234 
PostUp =  ip rule add    ipproto tcp dport 22 table 1234
PreDown = ip rule delete ipproto tcp dport 22 table 1234
#
SaveConfig = false    #如果设置为“true”,则在关闭时从接口的当前状态保存配置[Peer] 
PublicKey = GtL7fZc/bLnqZldpxxxxxxxxxxxxxxxxxdLx+qtKU=       #对端公钥
PresharedKey = /UwcSPgxxxxxxxxxxxxxxxxxuURMbS0sesJEP5ak=    #设置两端[peer]预共享key,wg genpsk
AllowedIPs = 0.0.0.0/0                  #对端可以访问的地址范围,如果多个则用逗号分隔。如果是0.0.0.0/0,则会自动添加ip rule,并配置为该rule的默认网关,这是wg-quick的功能
Endpoint = demo.wireguard.com:51820     #对端的地址信息,代表主动连接对端,客户端必须设置
PersistentKeepalive = 25                #保持连接

另:ip rule,ip route,iptables 三者之间的关系

参考:https://www.cnblogs.com/EasonJim/p/8424731.html
例:公司内网要求192.168.0.100 以内的使用 10.0.0.1 网关上网 (电信),其他IP使用 20.0.0.1 (网通)上网。

  1. 首先要在网关服务器上添加一个默认路由,当然这个指向是绝大多数的IP的出口网关:ip route add default gw 20.0.0.1
  2. 之后通过 ip route 添加一个路由表:ip route add table 3 via 10.0.0.1 dev ethX #—(ethx 是 10.0.0.1 所在的网卡, 3 是路由表的编号)
  3. 之后添加 ip rule 规则:ip rule add fwmark 3 table 3 #—(fwmark 3 是标记,table 3 是路由表3 上边。 意思就是凡事标记了 3 的数据使用 table3 路由表)
  4. 之后使用 iptables 给相应的数据打上标记:iptables -A PREROUTING -t mangle -i eth0 -s 192.168.0.1-192.168.0.100 -j MARK --set-mark 3
    Network图

wg-quick

$ wg-quick --help
Usage: wg-quick [ up | down | save | strip ] [ CONFIG_FILE | INTERFACE ]CONFIG_FILE is a configuration file, whose filename is the interface namefollowed by '.conf'. Otherwise, INTERFACE is an interface name, withconfiguration found at /etc/wireguard/INTERFACE.conf. It is to be readableby wg(8)'s 'setconf' sub-command, with the exception of the following additionsto the [Interface] section, which are handled by wg-quick:- Address: may be specified one or more times and contains one or moreIP addresses (with an optional CIDR mask) to be set for the interface.- DNS: an optional DNS server to use while the device is up.- MTU: an optional MTU for the interface; if unspecified, auto-calculated.- Table: an optional routing table to which routes will be added; ifunspecified or 'auto', the default table is used. If 'off', no routesare added.- PreUp, PostUp, PreDown, PostDown: script snippets which will be executedby bash(1) at the corresponding phases of the link, most commonly usedto configure DNS. The string '%i' is expanded to INTERFACE.- SaveConfig: if set to 'true', the configuration is saved from the currentstate of the interface upon shutdown.
See wg-quick(8) for more info and examples.

wg

$ wg --help
Usage: wg <cmd> [<args>]Available subcommands:show: Shows the current configuration and device informationshowconf: Shows the current configuration of a given WireGuard interface, for use with 'setconf'set: Change the current configuration, add peers, remove peers, or change peerssetconf: Applies a configuration file to a WireGuard interfaceaddconf: Appends a configuration file to a WireGuard interfacesyncconf: Synchronizes a configuration file to a WireGuard interfacegenkey: Generates a new private key and writes it to stdoutgenpsk: Generates a new preshared key and writes it to stdoutpubkey: Reads a private key from stdin and writes a public key to stdout
You may pass '--help' to any of these subcommands to view usage.$ wg setconf --help
Usage: wg setconf <interface> <configuration filename>wg addconf wg0 <(wg-quick strip wg0)   # ??

这篇关于我实践:wireguard多场景安装配置指导.md的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/803556

相关文章

Spring Boot Maven 插件如何构建可执行 JAR 的核心配置

《SpringBootMaven插件如何构建可执行JAR的核心配置》SpringBoot核心Maven插件,用于生成可执行JAR/WAR,内置服务器简化部署,支持热部署、多环境配置及依赖管理... 目录前言一、插件的核心功能与目标1.1 插件的定位1.2 插件的 Goals(目标)1.3 插件定位1.4 核

虚拟机Centos7安装MySQL数据库实践

《虚拟机Centos7安装MySQL数据库实践》用户分享在虚拟机安装MySQL的全过程及常见问题解决方案,包括处理GPG密钥、修改密码策略、配置远程访问权限及防火墙设置,最终通过关闭防火墙和停止Net... 目录安装mysql数据库下载wget命令下载MySQL安装包安装MySQL安装MySQL服务安装完成

RabbitMQ消息总线方式刷新配置服务全过程

《RabbitMQ消息总线方式刷新配置服务全过程》SpringCloudBus通过消息总线与MQ实现微服务配置统一刷新,结合GitWebhooks自动触发更新,避免手动重启,提升效率与可靠性,适用于配... 目录前言介绍环境准备代码示例测试验证总结前言介绍在微服务架构中,为了更方便的向微服务实例广播消息,

SpringBoot整合(ES)ElasticSearch7.8实践

《SpringBoot整合(ES)ElasticSearch7.8实践》本文详细介绍了SpringBoot整合ElasticSearch7.8的教程,涵盖依赖添加、客户端初始化、索引创建与获取、批量插... 目录SpringBoot整合ElasticSearch7.8添加依赖初始化创建SpringBoot项

Zabbix在MySQL性能监控方面的运用及最佳实践记录

《Zabbix在MySQL性能监控方面的运用及最佳实践记录》Zabbix通过自定义脚本和内置模板监控MySQL核心指标(连接、查询、资源、复制),支持自动发现多实例及告警通知,结合可视化仪表盘,可有效... 目录一、核心监控指标及配置1. 关键监控指标示例2. 配置方法二、自动发现与多实例管理1. 实践步骤

MySQL 迁移至 Doris 最佳实践方案(最新整理)

《MySQL迁移至Doris最佳实践方案(最新整理)》本文将深入剖析三种经过实践验证的MySQL迁移至Doris的最佳方案,涵盖全量迁移、增量同步、混合迁移以及基于CDC(ChangeData... 目录一、China编程JDBC Catalog 联邦查询方案(适合跨库实时查询)1. 方案概述2. 环境要求3.

JAVA中安装多个JDK的方法

《JAVA中安装多个JDK的方法》文章介绍了在Windows系统上安装多个JDK版本的方法,包括下载、安装路径修改、环境变量配置(JAVA_HOME和Path),并说明如何通过调整JAVA_HOME在... 首先去oracle官网下载好两个版本不同的jdk(需要登录Oracle账号,没有可以免费注册)下载完

Linux进程CPU绑定优化与实践过程

《Linux进程CPU绑定优化与实践过程》Linux支持进程绑定至特定CPU核心,通过sched_setaffinity系统调用和taskset工具实现,优化缓存效率与上下文切换,提升多核计算性能,适... 目录1. 多核处理器及并行计算概念1.1 多核处理器架构概述1.2 并行计算的含义及重要性1.3 并

nginx 负载均衡配置及如何解决重复登录问题

《nginx负载均衡配置及如何解决重复登录问题》文章详解Nginx源码安装与Docker部署,介绍四层/七层代理区别及负载均衡策略,通过ip_hash解决重复登录问题,对nginx负载均衡配置及如何... 目录一:源码安装:1.配置编译参数2.编译3.编译安装 二,四层代理和七层代理区别1.二者混合使用举例

Java JDK1.8 安装和环境配置教程详解

《JavaJDK1.8安装和环境配置教程详解》文章简要介绍了JDK1.8的安装流程,包括官网下载对应系统版本、安装时选择非系统盘路径、配置JAVA_HOME、CLASSPATH和Path环境变量,... 目录1.下载JDK2.安装JDK3.配置环境变量4.检验JDK官网下载地址:Java Downloads