诉求

希望通过wireguard建设自己的虚拟网络，完成节点之间的互访与路由转发。

                    Cloud ┌─────────┐ public:1.2.3.4
           ┌─────────────►│  Relay  │ wg:10.0.0.1   
           │              └───────▲─┘               
           │                      │                 
           │                      │                 
┌──────────┼────────────────┐     │                 
│ Home     │                │     │                 
│       ┌──┼──┐ 192.168.1.7 │     │                 
│       │ NUC │ wg:10.0.0.2 │     │                 
│       └──┬──┘             │     │                 
│          │                │     │                 
│       ┌──▼───┐ 192.168.1.8│ ┌───┴────┐wg:10.0.0.3 
│       │Server│            │ │ Laptop │            
│       └──────┘            │ └────────┘            
└───────────────────────────┘  Outside              

在家庭终端NUC，公网云服务器Relay和个人电脑Laptop都安装wireguard客户端并加入虚拟网络。

实现在server不安装任何软件的前提下通过laptop对家庭server的访问。

实现

前提：公网服务器Relay必须有公网地址且能被NUC和Laptop访问。

公网服务器Relay

作为中继节点，公网地址为1.2.3.4分配虚拟地址10.0.0.1

sudo apt install wireguard
# 生成公私钥
wg genkey | sudo tee /etc/wireguard/privatekey | wg pubkey | sudo tee /etc/wireguard/publickey
# 复制privatekey备用
sudo vim /etc/wireguard/wg0.conf

配置内容，interface是虚拟网络地址，其中eth0要换成自己的出口网卡

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = YOUR_SERVER_PRIVATE_KEY
SaveConfig = true
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

打开ip4转发（重要！）

sudo vi /etc/sysctl.conf
# 取消注释以下行
net.ipv4.ip_forward=1
# 保存并应用
sudo sysctl -p
# 防火墙放行udp端口51280（如果启用了ufw）
sudo ufw allow 51820/udp

本地配置生效

# 限制权限
sudo chmod 600 /etc/wireguard/*
# 启动接口
sudo wg-quick up wg0
# 检查接口状态和配置
sudo wg show wg0
# 验证接口状态
ip a show wg0
# 开机自启动
sudo systemctl enable wg-quick@wg0

到此公网服务器Relay设置完成

家庭跳板机NUC

作为跳板节点内网地址192.168.1.7分配虚拟地址10.0.0.2

类似Relay安装wireguard并开启ipv4转发，生成公钥和私钥填写wg0.conf

注意Peer部分的配置差异，需要填入公网Relay服务器的信息

[Interface]
PrivateKey = YOUR_CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = YOUR_SERVER_PUBLIC_KEY
Endpoint = 1.2.3.4:51820
AllowedIPs = 10.0.0.0/24
PersistentKeepalive = 30

外网终端Laptop

和NUC设置相同，分配虚拟地址10.0.0.3并对Peer Relay添加192.168.1.0/24的路由。

[Interface]
PrivateKey = YOUR_CLIENT_PRIVATE_KEY
Address = 10.0.0.3/24

[Peer]
PublicKey = YOUR_SERVER_PUBLIC_KEY
Endpoint = 1.2.3.4:51820
AllowedIPs = 10.0.0.0/24, 192.168.1.0/24
PersistentKeepalive = 30

将Peer添加到Relay

为实现双向互访，还需要在Relay放行其他Peer

sudo wg set wg0 peer ${NUC公钥} allowed-ips 10.0.0.2/32,192.168.1.0/24
sudo wg set wg0 peer ${Laptop公钥} allowed-ips 10.0.0.3/32

现在Laptop可以直接ping通192.168.1.8

查疑

关于AllowedIPs的理解

对于客户端：修改当前设备的路由表，将AllowedIPs命中的流量指向wg0网卡。

对于中继器：告诉wg0命中AllowedIPs的流量从当前Peer流出。

能够ping通无法ssh

ping通证明路由没问题，使用telnet命令排查laptop能够收到来自server的握手消息

$ telnet 192.168.1.8 22
Trying 192.168.1.8...
Connected to 192.168.1.8.
Escape character is '^]'.
SSH-2.0-OpenSSH_9.6p1 Ubuntu-3ubuntu13.5

Reddit指出ssh卡死可能是wg0的MTU设置太大，Relay使用ip addr | grep mtu查看已有网卡设置

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
2: enp1s0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
18: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 65456 qdisc noqueue state UNKNOWN group default qlen 1000

在wg0.conf修改为MTU = 1420后问题解决，注意要先断开wg否则配置修改被覆盖

sudo wg-quick down wg0
sudo vi /etc/wireguard/wg0.conf
# [Interface]
# Address = 10.0.0.1/24
# MTU = 1420
sudo wg-quick up wg0

参考

使用 WireGuard 组网实现内网穿透 | varkai

Only SSH not working over Wireguard, everything else is : r/WireGuard

Wireguard Optimal MTU