5.10 WireGuard VPN 搭建

预计阅读时间：14 分钟

学习目标

完成本章后，你将能够：

• 理解 WireGuard 相对于 OpenVPN、IPSec 的核心优势
• 安装 WireGuard 并生成服务端/客户端密钥对
• 搭建点对点（Point-to-Point）VPN 隧道
• 配置中心辐射型（Hub-and-Spoke）拓扑实现多分支互连
• 部署 Roaming Warrior 场景使远程员工安全接入公司内网
• 理解 WireGuard 的 NAT 穿透和自动漫游机制
• 对生产环境 WireGuard 进行安全加固与监控

核心知识

• Noise 协议：WireGuard 基于 Noise_IK 协议，一次握手同时完成身份认证与密钥协商
• 加密套件固定：Curve25519（ECDH）+ ChaCha20（对称加密）+ Poly1305（MAC），无协商选项
• 无连接设计：WireGuard 使用 UDP，不存在 TCP 隧道中层层重传的"TCP over TCP"问题
• Crypto Key Routing：通过公钥与 AllowedIPs 的绑定决定数据包转发策略，无需动态路由协议
• 自动漫游：对端 IP 变化时自动更新端点地址，无需重新握手

知识关联

• 前置知识：5.5：防火墙实战 iptables/nftables 防火墙实战（IP 路由/NAT 概念）、2.11：SSH 深入 SSH 深入（加密隧道概念对比）
• 后续影响：6.10：云网络基础 云网络基础（VPC 对等连接与 VPN 互补）、5.1：Linux 安全加固 Linux 安全加固（传输加密与访问控制）
• 配套技术：WireGuard vs OpenVPN vs IPSec 三种 VPN 方案各有所长，wg-quick 管理隧道配置，PersistentKeepalive 解决 NAT 穿透

原理讲解

WireGuard 的工作分为四个阶段：

1. 密钥生成：每个节点拥有一对 Curve25519 密钥。私钥用于 ECDH 与认证，公钥用于对端认证。

2. 初始握手：发起端发送 1 号消息（静态公钥 + 临时公钥），响应端回复 2 号消息（静态公钥 + 临时公钥 + 加密载荷），发起端发送 3 号消息确认。完成 1-RTT 握手后，双方导出对称会话密钥。

3. Crypto Key Routing：每个 Peer 声明一组 AllowedIPs。传出时，内核查路由表决定出口；进入 wg 接口后，查 AllowedIPs 判定来源是否合法——只有匹配允许 IP 的包才被解密并送入协议栈。

4. 保活与漫游：PersistentKeepalive 定期发送空包维护 NAT 绑定。对端 IP 变化时，新数据包自动更新 peer 的 endpoint 地址，无需用户干预。

内核模块与接口模型：WireGuard 在主线内核（5.6+）中以 wireguard 模块形式存在，每个 wg0/wg1 接口都是该模块的一个实例，对外呈现标准虚拟网卡（L3 接口），对上层协议栈完全透明——TCP、UDP、ICMP 进出隧道无需应用做任何适配。用 modinfo wireguard 可查看模块元数据，lsmod | grep wireguard 确认加载状态。

握手消息详解：Noise_IK 握手共三趟消息，全程仅 1-RTT：

握手期间双方用 Curve25519 完成两次 ECDH（静态×临时、临时×临时），经 BLAKE2s 哈希派生链导出会话密钥。每一对 Peer 的密钥独立，单对密钥泄露不影响其他连接，这是 WireGuard 前向安全与故障隔离的基础。

数据面封装：握手完成后每个数据包被封装为三层结构：

外层 UDP 头（源/目的端口 51820）
  └─ WireGuard 头：消息类型(1字节) + 接收者索引(4字节) + 单调计数器(8字节)
      └─ ChaCha20 加密的原始 IP 包
          └─ Poly1305 认证标签（16 字节，保证完整性并防重放）

计数器单调递增实现防重放；WireGuard 自身不做分片，超过隧道 MTU 的包会触发内层路径 MTU 处理，这正是 MTU 必须仔细配置的原因（见故障排查一节）。

示例代码

安装与密钥生成

# Ubuntu 22.04+
apt update && apt install -y wireguard

# 生成密钥对
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub

点对点 VPN

# 服务器 A — /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/24
PrivateKey = <server_a_private_key>
ListenPort = 51820

[Peer]
PublicKey = <server_b_public_key>
AllowedIPs = 10.0.0.2/32, 192.168.1.0/24

# 服务器 B — /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.2/24
PrivateKey = <server_b_private_key>
ListenPort = 51820

[Peer]
PublicKey = <server_a_public_key>
Endpoint = server-a.example.com:51820
AllowedIPs = 10.0.0.1/32, 10.0.0.0/24
PersistentKeepalive = 25

# 启动
systemctl enable --now wg-quick@wg0

# 查看状态
wg show
# 输出:
# interface: wg0
#   public key: ...  private key: (hidden)
#   listening port: 51820
# peer: <server_b_pubkey>
#   endpoint: 203.0.113.5:51820
#   allowed ips: 10.0.0.2/32, 192.168.1.0/24
#   latest handshake: 1 minute ago
#   transfer: 1.23 MiB received, 4.56 MiB sent

ping 10.0.0.2

Hub-and-Spoke 拓扑

# Hub — /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/24
PrivateKey = <hub_private>
ListenPort = 51820
PostUp = sysctl -w net.ipv4.ip_forward=1; nft add rule inet filter forward iif wg0 accept
PostDown = sysctl -w net.ipv4.ip_forward=0; nft delete rule inet filter forward iif wg0 accept

[Peer]
# 客户端 A
PublicKey = <client_a_public>
AllowedIPs = 10.0.0.2/32

[Peer]
# 客户端 B
PublicKey = <client_b_public>
AllowedIPs = 10.0.0.3/32

# 客户端 A — /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.2/32
PrivateKey = <client_a_private>
DNS = 10.0.0.1

[Peer]
PublicKey = <hub_public>
Endpoint = hub.example.com:51820
AllowedIPs = 10.0.0.0/24
PersistentKeepalive = 25

Roaming Warrior 远程接入

# 服务端（公司网关）增加漫游用户
[Peer]
PublicKey = <employee_laptop_public>
AllowedIPs = 10.0.0.100/32

# 客户端（员工笔记本）
[Interface]
Address = 10.0.0.100/24
PrivateKey = <laptop_private>
DNS = 10.0.0.1

[Peer]
PublicKey = <server_public>
Endpoint = company-gateway.example.com:51820
AllowedIPs = 10.0.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

全隧道客户端（AllowedIPs = 0.0.0.0/0）

# 客户端（笔记本）— /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.100/32
PrivateKey = <laptop_private>
DNS = 10.0.0.1, 8.8.8.8

[Peer]
PublicKey = <server_public>
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0, ::/0 会把默认路由全部吸入隧道——所有流量（网页、DNS、视频）都经 VPN 转发，即"全局代理"模式。代价是延迟增加、公网流量也绕路；此时服务器端必须配置 NAT（MASQUERADE）才能让客户端访问互联网。

分流模式（Split Tunnel）

# 客户端只把公司子网流量走隧道，其余走本地网络
[Peer]
PublicKey = <server_public>
Endpoint = vpn.example.com:51820
AllowedIPs = 10.0.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

# 验证路由已按 AllowedIPs 自动生成
ip route show table all | grep wg0

多 Peer 路由决策：每个 [Peer] 段的 AllowedIPs 构成一张加密路由表。传入包先解密，再按最长前缀匹配选择目标 peer，无匹配则丢弃。例如 Hub 上同时存在 10.0.0.2/32 与 10.0.0.0/24 两个 peer，发往 10.0.0.2 的包永远命中更精确的那条——因此子网声明（/24）与具体主机（/32）可以安全共存。

多客户端完整部署（服务器 + 路由与 NAT）

# 服务器 — /etc/wireguard/wg0.conf
[Interface]
Address = 10.0.0.1/24
PrivateKey = <server_private>
ListenPort = 51820
PostUp = sysctl -w net.ipv4.ip_forward=1 && nft add table inet wg-nat; nft add chain inet wg-nat post { type nat hook postrouting priority 100; }; nft add rule inet wg-nat post ip saddr 10.0.0.0/24 oifname eth0 masquerade
PostDown = sysctl -w net.ipv4.ip_forward=0; nft delete table inet wg-nat

[Peer]  # 员工 A
PublicKey = <alice_pub>
AllowedIPs = 10.0.0.10/32

[Peer]  # 员工 B
PublicKey = <bob_pub>
AllowedIPs = 10.0.0.11/32

[Peer]  # 常驻服务器 C
PublicKey = <server_c_pub>
Endpoint = server-c.example.com:51820
AllowedIPs = 10.0.0.20/32, 172.16.5.0/24
PersistentKeepalive = 25

MASQUERADE 规则把 10.0.0.0/24 的隧道流量伪装成服务器公网 IP 出网，员工既能访问内网也能出互联网，无需逐台客户端配 NAT。注意 oifname eth0 要替换为服务器实际的公网出口网卡。

移动端接入（iOS / Android）

# 为手机生成专属密钥对
umask 077
wg genkey | tee /etc/wireguard/phone.key | wg pubkey > /etc/wireguard/phone.pub

# 把手机公钥加入服务器 [Peer] 后，把手机配置渲染成二维码
cat /etc/wireguard/phone.conf | qrencode -t ansiutf8

phone.conf 与全隧道客户端结构一致（Interface + Peer 指向服务器）。在手机上安装官方 WireGuard 应用，点"＋"扫描二维码即可导入。手机常处于移动网络 NAT 之后，务必保留 PersistentKeepalive = 25；建议给移动设备单独分配网段（如 10.0.1.0/24），避免与办公网网段冲突。

生产部署

systemd 服务管理：wg-quick 自带原生单元 wg-quick@wg0.service，开机自启、异常重启一条命令搞定：

systemctl enable --now wg-quick@wg0
systemctl status wg-quick@wg0
# 输出: ● wg-quick@wg0.service - WireGuard via wg-quick(8) for wg0
#        Active: active (exited) since ...

# 隧道意外掉线自动拉起（drop-in 覆盖）
# /etc/systemd/system/wg-quick@wg0.service.d/restart.conf
[Service]
Restart=on-failure
RestartSec=5
systemctl daemon-reload

配置文件权限：wg-quick 拒绝读取 group/other 可读的配置：chmod 600 /etc/wireguard/wg0.conf，否则启动报 Configuration file is world accessible。

多节点 Mesh：N 台服务器全互联时每台写 N-1 个 [Peer] 段；节点少时手写即可，规模大（20+ 节点）建议用 Ansible 批量生成配置，或引入 headscale / NetBird 等控制面自动分发。跨 NAT 的节点对应通过公网中继转发。

# 节点 C — 与 A、B 全互联（双向都要互配）
[Interface]
Address = 10.0.0.3/24
PrivateKey = <c_private>
ListenPort = 51820

[Peer]  # A
PublicKey = <a_public>
Endpoint = a.example.com:51820
AllowedIPs = 10.0.0.1/32
PersistentKeepalive = 25

[Peer]  # B
PublicKey = <b_public>
Endpoint = b.example.com:51820
AllowedIPs = 10.0.0.2/32
PersistentKeepalive = 25

热更新配置：修改 wg0.conf 后无需重启隧道：wg syncconf wg0 <(wg-quick strip wg0) 会增量应用变更，在册连接保持不断。

性能对比

选型建议：新部署一律优先 WireGuard；只有必须对接既有 IPSec 基础设施（云厂商 VPN 网关）或需要证书撤销列表等企业特性时，才保留 OpenVPN / IPSec。

常见错误

故障排查

第一步：wg show 判读状态——输出中三处关键信息直接决定排查方向：

握手失败排查路径：

# 1. 确认服务端确实在监听
ss -ulpn | grep 51820
# 输出: udp UNCONN 0 0 0.0.0.0:51820 users:(("wg",pid=1234,fd=12))

# 2. 两端同时抓包，观察 1/2 号消息是否成对出现
tcpdump -ni eth0 udp port 51820
# 只有单方向流量 → 检查云安全组、ISP 是否封 UDP、NAT 是否有映射

# 3. 核对密钥：配置文件里的私钥是否与对端持有的公钥匹配
wg show wg0 public-key

MTU 问题：WireGuard 每包开销约 60 字节（IP 20 + UDP 8 + WireGuard 头 32）。默认 MTU 1420 对绝大多数网络适用，但 PPPoE 拨号（链路 MTU 1492）等场景需要进一步调低：

# 现象：小包通（ping -s 1000），大包丢（ping -s 1400）
ping -M do -s 1372 10.0.0.1     # 二分法找出实际可用载荷上限

# 解决：在 [Interface] 段显式指定
MTU = 1412
systemctl restart wg-quick@wg0

# 验证
ip link show wg0 | grep mtu

路由黑洞：AllowedIPs 变更会自动增删路由，若业务仍不通，用 ip route get 10.0.0.2 确认下一跳指向 wg0，并用 wg show wg0 dump 查看原始配置状态（一次性输出全部 peer 的公钥与 AllowedIPs，适合脚本比对）。

最佳实践

• 防火墙最小权限：限制 UDP 51820 的源 IP 范围，配合 fail2ban 监控日志
• PreUp/PostDown 自动化：把 nftables 规则写在配置文件中，避免隧道中断后规则残留
• 密钥轮换：定期重新生成密钥对；离职员工在 Hub 上删除对应 [Peer] 段并 wg syncconf wg0 <wg0.conf>
• 监控握手时间：Prometheus + wg-exporter 采集 latest_handshake_seconds，超过 120 秒告警
• 日志审计：journalctl -u wg-quick@wg0 -f 实时追踪隧道事件
• 性能压测：用 iperf3 -c 10.0.0.x 验证吞吐，确认设备 CPU 能支撑加密开销

练习题

1. （概念）WireGuard 使用什么传输层协议？为什么选择该协议而非 TCP？它带来的关键优势是什么？
2. 在两台云服务器上搭建点对点 WireGuard 隧道，使用 10.88.88.0/24 子网，验证 wg show 出现 latest handshake。
3. 在 Hub 上配置三个客户端，使客户端 A 能 ping 通客户端 B 的隧道 IP，并解释为什么需要 net.ipv4.ip_forward=1。
4. 模拟 Roaming Warrior 场景：笔记本从 WiFi 切到手机热点，隧道 IP 保持不变，验证 wg show 中 endpoint 自动更新。
5. 执行 wg genkey | tee private | wg pubkey > public 后解释三部分输出分别对应什么，私钥文件为何需要 umask 077。

学习检查点

学完本章后，请检验自己是否掌握以下内容：

本章总结

速查表

WireGuard 是 Linux 内核原生支持的 VPN 方案，凭借 < 4000 行代码、固定加密套件、UDP 无连接架构和自动漫游能力，在性能、安全、易用性上全面领先传统方案。无论是两台服务器间的加密隧道、Hub-and-Spoke 多分支互连、还是远程员工 Roaming Warrior 接入，一套配置模板即可完成。生产部署时搭配防火墙规则、密钥轮换与握手监控，即可构建高安全性的 VPN 基础设施。

延伸阅读