WireGuard：下一代 VPN 协议与服务器设置 – wiki大全

作者： /

WireGuard：下一代 VPN 协议与服务器设置

在数字时代，网络安全和隐私保护变得日益重要。传统 VPN 协议如 OpenVPN 和 IPSec 虽然广泛使用，但在性能、安全性和易用性方面仍存在局限。正是在这样的背景下，WireGuard 应运而生，作为一款新兴的 VPN 协议，它凭借其卓越的性能、简化的设计和强大的安全性，被誉为“下一代 VPN 协议”。本文将深入探讨 WireGuard 的核心特性与优势，并提供详细的 Linux 服务器设置教程。

WireGuard：下一代 VPN 协议的特点与优势

WireGuard 的设计理念旨在提供一个更简单、更快、更现代且更安全的 VPN 解决方案。

1. 极简的代码库

WireGuard 最显著的特点之一是其极简的代码库。相较于 OpenVPN 庞大的数十万行代码，WireGuard 的核心代码仅约 4000 行。这意味着更小的攻击面，更易于审计和发现潜在的安全漏洞，从而大大提升了协议的安全性与可靠性。

2. 现代加密技术

WireGuard 采用了一系列先进且经过严格审查的加密算法和协议，确保数据传输的最高安全性：
* 密钥交换: Noise Protocol Framework, Curve25519
* 对称加密: ChaCha20
* 数据认证: Poly1305
* 哈希函数: BLAKE2s
* 伪随机函数: SipHash24, HKDF
这些技术保证了 WireGuard 在加密强度上处于行业领先地位。

3. 高性能与高速度

得益于其轻量化的设计和优化的实现，WireGuard 展现出卓越的性能和极高的连接速度：
* 内核集成: WireGuard 作为 Linux 内核模块运行，减少了用户空间和内核空间之间的数据切换开销，使得数据包处理效率远高于在用户空间运行的 VPN 解决方案。
* 基于 UDP 传输: WireGuard 默认使用 UDP 协议进行传输，这有助于减少延迟并提高吞吐量，尤其是在网络条件不佳的情况下。
* 快速握手: 连接建立速度快，几乎可以实现瞬时连接，特别适合移动设备在不同网络间切换时保持连接的稳定性。

4. 增强的安全性

除了现代加密技术和代码库的精简，WireGuard 在安全性方面还体现在：
* 形式化验证: 协议经过了形式化验证，进一步增强了其安全性保证。
* 预共享密钥: 支持预共享密钥 (Preshared Key) 作为额外的加密层，即使公钥被泄露，也能提供前向保密性。

5. 简单易用与快速连接

WireGuard 的配置过程比传统 VPN 协议更为简单和直观。它使用公钥/私钥对进行身份验证，类似于 SSH，大大简化了配置复杂性。用户无需深入理解复杂的网络概念即可快速部署。

6. 资源效率高

由于其高效的内核实现和轻量级设计，WireGuard 在运行时占用极少的系统资源，包括 CPU、内存和电池。这使得它非常适合在资源受限的设备上部署，如路由器、嵌入式系统和移动设备。

7. 跨平台兼容性

WireGuard 提供了广泛的跨平台支持，包括 Linux、Windows、macOS、Android、iOS 等主流操作系统，以及各种路由器固件。这确保了用户可以在不同设备上无缝使用 WireGuard VPN。

在 Linux 服务器上设置 WireGuard

本教程将指导您在 Linux 服务器上设置 WireGuard VPN，以 Ubuntu/Debian 系统为例，同时也会提及 CentOS/RHEL 系统的相关命令。

先决条件

  • 一台运行最新 Linux 内核的服务器（建议内核版本 5.5 及更高版本，通常已内置 WireGuard 支持）。
  • 具有 sudo 或 root 权限的用户。
  • 一个公共 IP 地址。

步骤 1: 安装 WireGuard

首先，在您的 Linux 服务器上安装 WireGuard 及其工具。

对于 Debian/Ubuntu 系统:

bash
sudo apt update
sudo apt install wireguard wireguard-tools

对于 CentOS/RHEL/Rocky Linux 系统:

bash
sudo dnf update
sudo dnf install epel-release elrepo-release -y
sudo dnf install kmod-wireguard wireguard-tools -y

步骤 2: 生成服务器和客户端密钥

WireGuard 使用公钥/私钥对进行身份验证和加密。您需要为服务器和每个客户端生成密钥对。

  1. 为服务器生成密钥对:

    bash
    sudo mkdir -p /etc/wireguard
    sudo chmod 700 /etc/wireguard
    cd /etc/wireguard
    sudo wg genkey | sudo tee privatekey_server | sudo wg pubkey | sudo tee publickey_server
    这将创建 privatekey_server (服务器私钥) 和 publickey_server (服务器公钥) 文件。请务必妥善保管 privatekey_server，切勿泄露。

  2. 为客户端生成密钥对 (例如，一个客户端):

    bash
    sudo wg genkey | sudo tee privatekey_client1 | sudo wg pubkey | sudo tee publickey_client1
    为每个客户端重复此步骤，并使用不同的文件名 (例如 privatekey_client2, publickey_client2)。

    查看生成的密钥:

    bash
    sudo cat privatekey_server
    sudo cat publickey_server
    sudo cat privatekey_client1
    sudo cat publickey_client1
    记下这些公钥和私钥，它们将在后续配置中使用。

步骤 3: 配置 WireGuard 服务器

创建一个名为 wg0.conf 的 WireGuard 配置文件，通常位于 /etc/wireguard/ 目录下。

bash
sudo nano /etc/wireguard/wg0.conf

将以下内容添加到 wg0.conf 文件中。请根据您的实际情况替换占位符：

“`ini
[Interface]

服务器的私钥 (替换为 privatekey_server 的内容)

PrivateKey = <服务器的私钥>

VPN 隧道内的服务器 IP 地址和子网掩码

Address = 10.0.0.1/24

WireGuard 监听的 UDP 端口 (默认 51820)

ListenPort = 51820

启动 WireGuard 接口时执行的命令 (用于 NAT 和转发)

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

关闭 WireGuard 接口时执行的命令 (清除 NAT 和转发规则)

PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

DNS 服务器 (可选，例如 Google DNS 或您自己的 DNS 服务器)

DNS = 8.8.8.8

[Peer]

客户端 1 的公钥 (替换为 publickey_client1 的内容)

PublicKey = <客户端 1 的公钥>

客户端 1 在 VPN 隧道内的 IP 地址

AllowedIPs = 10.0.0.2/32

PersistentKeepalive = 25 # 保持连接活跃，对于 NAT 后面的客户端很有用

“`

配置说明:
* [Interface]: 定义了 WireGuard 接口本身的配置。
* PrivateKey: 您的服务器私钥，这是最敏感的信息。
* Address: WireGuard 接口在 VPN 隧道内部的 IP 地址。10.0.0.1/24 表示服务器将使用 10.0.0.1，VPN 网络的 IP 范围是 10.0.0.0 到 10.0.0.255。
* ListenPort: WireGuard 监听传入连接的 UDP 端口，默认是 51820。
* PostUp 和 PostDown: 这两行命令用于在 WireGuard 接口启动和停止时执行，主要作用是配置 IP 转发和网络地址转换 (NAT)，以便客户端可以通过 VPN 访问互联网。请将 eth0 替换为您的服务器连接到互联网的实际网络接口名称 (可通过 ip a 或 ifconfig 查看)。
* [Peer]: 每个 [Peer] 部分代表一个客户端。
* PublicKey: 客户端的公钥。
* AllowedIPs: 客户端在 VPN 隧道内的 IP 地址。10.0.0.2/32 表示此客户端将使用 10.0.0.2。/32 表示这是一个单一主机地址。
* PersistentKeepalive: (可选) 如果客户端位于 NAT 后面，此设置可以帮助保持连接活跃，防止连接超时。

保存并关闭文件。

步骤 4: 启用 IP 转发

IP 转发允许您的服务器在不同网络接口之间转发数据包，使其充当路由器。这是 VPN 正常工作所必需的。

  1. 编辑 sysctl.conf 文件:

    bash
    sudo nano /etc/sysctl.conf

  2. 添加或取消注释以下行:

    net.ipv4.ip_forward = 1
    如果该行存在但被注释掉（以 # 开头），请删除 #。如果不存在，请添加它。

  3. 保存并关闭文件。

  4. 应用更改:

    bash
    sudo sysctl -p
    您可以通过运行 sysctl net.ipv4.ip_forward 来验证 IP 转发是否已启用，输出应为 net.ipv4.ip_forward = 1。

步骤 5: 配置防火墙

您需要配置防火墙以允许 WireGuard 流量并通过 VPN 接口进行 NAT。

对于使用 UFW (Uncomplicated Firewall) 的 Debian/Ubuntu 系统:

  1. 允许 WireGuard 端口 (默认 UDP 51820):

    bash
    sudo ufw allow 51820/udp

  2. 允许 SSH (如果尚未允许):

    bash
    sudo ufw allow ssh

  3. 启用 UFW (如果尚未启用):

    bash
    sudo ufw enable

  4. 编辑 UFW 规则以允许转发和 NAT:

    • 打开 UFW 的主配置文件 /etc/default/ufw，找到 DEFAULT_FORWARD_POLICY 行并将其值从 DROP 更改为 ACCEPT：

      DEFAULT_FORWARD_POLICY="ACCEPT"

    • 编辑 UFW 的 before.rules 文件 (sudo nano /etc/ufw/before.rules)。在文件顶部，*nat 部分的 *filter 行之前，添加以下内容。请将 eth0 替换为您的公共网络接口名称。

      “`
      *nat
      :POSTROUTING ACCEPT [0:0]
      -A POSTROUTING -o eth0 -j MASQUERADE
      COMMIT

      *filter

      … (文件其余部分)

      “`

  5. 重新加载 UFW 以应用更改:

    bash
    sudo ufw reload

对于使用 Firewalld 的 CentOS/RHEL/Rocky Linux 系统:

  1. 允许 WireGuard 端口 (默认 UDP 51820):

    bash
    sudo firewall-cmd --add-port=51820/udp --permanent

  2. 启用 masquerade (NAT) 并将 WireGuard 接口添加到内部区域:
    将您的公共网络接口（例如 eth0）添加到 external 区域，并将 wg0 接口添加到 internal 区域。

    bash
    sudo firewall-cmd --zone=external --add-interface=eth0 --permanent
    sudo firewall-cmd --zone=internal --add-interface=wg0 --permanent
    sudo firewall-cmd --zone=external --add-masquerade --permanent

  3. 允许从内部区域到外部区域的转发:

    bash
    sudo firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -i wg0 -o eth0 -j ACCEPT
    sudo firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -i eth0 -o wg0 -m state --state RELATED,ESTABLISHED -j ACCEPT

  4. 重新加载 Firewalld 以应用更改:

    bash
    sudo firewall-cmd --reload

步骤 6: 启动并启用 WireGuard 服务

  1. 启动 WireGuard 接口:

    bash
    sudo wg-quick up wg0

  2. 检查 WireGuard 状态:

    bash
    wg show wg0
    您应该能看到接口信息，包括公钥、监听端口等。

  3. 启用 WireGuard 在系统启动时自动启动:

    bash
    sudo systemctl enable [email protected]

步骤 7: 配置 WireGuard 客户端

在您的客户端设备上，您需要创建一个配置文件。这个文件将包含客户端的私钥、服务器的公钥以及服务器的公共 IP 地址和端口。

创建一个名为 wg0.conf (或任何您喜欢的名称，例如 client1.conf) 的文件。

“`ini
[Interface]

客户端的私钥 (替换为 privatekey_client1 的内容)

PrivateKey = <客户端的私钥>

客户端在 VPN 隧道内的 IP 地址

Address = 10.0.0.2/32

DNS 服务器 (可选，例如 Google DNS 8.8.8.8 或服务器的 VPN IP 10.0.0.1)

DNS = 10.0.0.1

[Peer]

服务器的公钥 (替换为 publickey_server 的内容)

PublicKey = <服务器的公钥>

服务器的公共 IP 地址和监听端口

Endpoint = <您的服务器公共 IP 地址>:51820

允许通过 VPN 隧道路由的 IP 地址。

0.0.0.0/0, ::/0 表示所有 IPv4 和 IPv6 流量都通过 VPN 路由 (全隧道)。

如果您只想通过 VPN 访问特定网络，请指定这些网络的 CIDR 范围 (分流隧道)。

AllowedIPs = 0.0.0.0/0, ::/0

PersistentKeepalive = 25 # 保持连接活跃，对于 NAT 后面的客户端很有用

“`

客户端配置说明:
* [Interface]:
* PrivateKey: 客户端的私钥。
* Address: 客户端在 VPN 隧道内的 IP 地址。确保它与服务器配置中的 AllowedIPs 匹配。
* DNS: 客户端将使用的 DNS 服务器。
* [Peer]:
* PublicKey: 服务器的公钥。
* Endpoint: 您的 WireGuard 服务器的公共 IP 地址或域名，以及服务器监听的端口。
* AllowedIPs: 这告诉客户端哪些流量应该通过 WireGuard 隧道发送。0.0.0.0/0, ::/0 是最常见的设置，表示所有流量都通过 VPN。

将此配置文件传输到您的客户端设备。对于 Linux 客户端，您可以将其放在 /etc/wireguard/ 目录下并使用 sudo wg-quick up wg0 启动。对于其他操作系统，请使用 WireGuard 客户端应用程序导入此配置。

步骤 8: 为移动客户端生成 QR 码 (可选)

对于移动设备，使用 QR 码导入配置非常方便。

  1. 安装 qrencode 工具:

    “`bash
    sudo apt install qrencode # Debian/Ubuntu

    或

    sudo dnf install qrencode # CentOS/RHEL
    “`

  2. 生成客户端配置的 QR 码:
    首先，确保您有客户端的配置文件 (例如 client1.conf)。

    “`bash

    将 <客户端配置文件路径> 替换为实际路径，例如 /etc/wireguard/client1.conf

    sudo qrencode -t ansiutf8 < <客户端配置文件路径>
    “`
    这将在终端中显示一个 QR 码。您可以使用 WireGuard 移动应用程序扫描此 QR 码来导入配置。

    如果您想将 QR 码保存为 PNG 图像文件：

    bash
    sudo qrencode -o client1_qr.png < <客户端配置文件路径>

步骤 9: 验证连接

在客户端设备上启动 WireGuard 连接后，您可以在服务器上验证连接：

bash
wg show wg0
您应该会看到客户端的公钥、允许的 IP 地址以及最近的握手时间，这表明连接已成功建立。

您还可以尝试从客户端 ping 服务器的 VPN IP (10.0.0.1)，并尝试访问互联网以验证流量是否通过 VPN 路由。

总结

WireGuard 凭借其简洁的代码、卓越的性能、强大的加密和易于部署的特性，正在迅速成为 VPN 领域的颠覆者。它不仅提供了比传统 VPN 协议更快的速度和更高的安全性，还极大地简化了配置过程，使得个人和企业都能更轻松地建立和管理安全的网络连接。随着其在各个平台上的广泛支持和社区的持续发展，WireGuard 无疑是当前和未来 VPN 技术的最佳选择之一。

滚动至顶部