搭建 WireGuard VPN
WireGuard 是 ason A. Donenfeld 开发的一款点对点 VPN 协议，非常先进并且开源。在老司机的强烈推荐下，忍不住折腾了一番。本文旨在整理折腾记录并存档。
注：笔者的用的服务器是 GCE 上的 VM 实例，采用 Debian 9 发行版。其他发行版的安装过程可以参考 WireGuard Installstion 。
安装 WireGuard
首先需要安装当前 Linux 内核对应的 linux_headers：
1 2 | apt update apt install linux-headers-$(uname -r) -y |
由于 WireGuard 比较新，尚在 Debian 不稳定版的源里，需要手动导入：
1 2 3 4 | echo "deb http://deb.debian.org/debian/ unstable main" > /etc/apt/sources.list.d/unstable.list printf 'Package: *\nPin: release a=unstable\nPin-Priority: 150\n' > /etc/apt/preferences.d/limit-unstable apt update apt install wireguard-dkms wireguard-tools resolvconf -y |
WireGuard 服务端配置
开启 IPV4 流量转发：
1 2 | echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf sysctl -p |
创建 WireGuard 配置文件夹，并生成服务端和客户端密钥对：
1 2 3 4 5 | mkdir -p /etc/wireguard && chmod 0777 /etc/wireguard cd /etc/wireguard umask 077 wg genkey | tee server_privatekey | wg pubkey > server_publickey wg genkey | tee client_privatekey | wg pubkey > client_publickey |
我们还需要使用 ifconfig 命令获取服务器的网卡名称并记录下来，下面以 eth0 为例。
生成服务器配置文件 /etc/wireguard/wg0.conf
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 | # eth0 换成实际网卡名， ListenPort为端口号 # 以下内容一次性粘贴执行，不要分行执行 echo " [Interface] PrivateKey = $(cat server_privatekey) Address = 10.0.0.1/24 PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ListenPort = 50814 DNS = 8.8.8.8 MTU = 1420 [Peer] PublicKey = $(cat client_publickey) AllowedIPs = 10.0.0.2/32 " > wg0.conf |
这样服务端就算配置完成，可以启动 WireGuard了，使用方法如下：
1 2 3 4 5 6 7 8 | # 启动 WireGuard wg-quick up wg0 # 停止 WireGuard wg-quick down wg0 # 查看WireGuard运行状态 wg |
设置 wireguard 开机自启：
1 | systemctl enable wg-quick@wg0 |
WireGuard 客户端配置
客户端也同样需要安装 WireGuard，例如笔者所使用的 ArchLinux 上安装步骤如下：
1 | pacman -S wireguard-arch wireguard-tools |
在配置服务端时，我们在服务器上分别创建了服务端和客户端的密钥对，这样也便于我们生成客户端的配置文件：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 | # Endpoint是服务器 ip 和服务端配置文件中设置的端口号 # 以下内容一次性粘贴执行，不要分行执行 echo " [Interface] PrivateKey = $(cat client_privatekey) Address = 10.0.0.2/24 DNS = 8.8.8.8 MTU = 1420 [Peer] PublicKey = $(cat server_publickey) Endpoint = 1.2.3.4:25108 AllowedIPs = 0.0.0.0/0, ::0/0 PersistentKeepalive = 25 " > client.conf |
生成后的客户端文件在服务器上，我们可以将其拷贝到 PC 客户端，或者通过生成二维码的方式导到移动客户端：
1 2 | apt install qrencode -y qrencode -t ansiutf8 < /etc/wireguard/client.conf |
这样使用手机客户端直接扫描生成二维码就可以快速完成配置。
多个 WireGuard 客户端
由于同一个客户端配置只能同时用于一台设备连接，所以如果需要同时使用多个客户端的话，可以建立多个客户端配置。
停止服务端的 WireGuard：
1 | wg-quick down wg0 |
生成新的客户端密钥对：
1 | wg genkey | tee client0_privatekey | wg pubkey > client0_publickey |
在服务端配置文件中加入新的客户端公钥，并重新定义一段 AllowedIPs：
1 2 3 4 5 | # 一次性复制粘贴，不要分行执行 echo " [Peer] PublicKey = $(cat client0_publickey) AllowedIPs = 10.0.0.3/32" >> wg0.conf |
新建一个客户端文件，使用新客户端密钥的私钥：
1 2 3 4 5 6 7 8 9 10 11 12 13 | # 一次性复制粘贴，不要分行执行 echo " [Interface] PrivateKey = $(cat client0_privatekey) Address = 10.0.0.3/24 DNS = 8.8.8.8 MTU = 1420 [Peer] PublicKey = $(cat server_publickey) Endpoint = 1.2.3.4:50814 AllowedIPs = 0.0.0.0/0, ::0/0 PersistentKeepalive = 25 " > client0.conf |
注意这里的 Address 与上面服务端新加的 AllowedIPs 保持一致，Endpoint 和之前的一样，为服务端的 IP 和 ListenPort。
搞好服务端和新增客户端的配置后，再重新启动服务端的 WireGuard：
1 | wg-quick up wg0 |
导出客户端配置文件方式依然可以采用上面介绍的方法导入到客户端。如果还需要添加新的 Peer，再次使用同样的方法操作即可。
经过实测，WireGuard 比笔者在另一台相同配置的 VM 实例上搭建的 V2Ray 结合 BBR 加速还要快，体验非常棒。