下一代VPN之wireguard
安装
Debian
echo "deb http://deb.debian.org/debian/ unstable main" > /etc/apt/sources.list.d/unstable.list
printf 'Package: *\nPin: release a=unstable\nPin-Priority: 90\n' > /etc/apt/preferences.d/limit-unstable
apt update
apt install wireguard
Ubuntu
$ sudo add-apt-repository ppa:wireguard/wireguard
$ sudo apt-get update
$ sudo apt-get install wireguard
CentOS
$ sudo curl -Lo /etc/yum.repos.d/wireguard.repo https://copr.fedorainfracloud.org/coprs/jdoss/wireguard/repo/epel-7/jdoss-wireguard-epel-7.repo
$ sudo yum install epel-release
$ sudo yum install wireguard-dkms wireguard-tools
其它
其它操作系统请参考：https://www.wireguard.com/install/#installation
配置
开启BBR(可选)
以CentOS-7为例：
添加镜像源
sudo rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org
sudo rpm -Uvh http://www.elrepo.org/elrepo-release-7.0-2.el7.elrepo.noarch.rpm
安装最新内核RPM包
sudo yum --enablerepo=elrepo-kernel install kernel-ml -y
查看当前安装的内核包
rpm -qa | grep kernel
查看GRUB2的启动条目
sudo egrep ^menuentry /etc/grub2.cfg | cut -f 2 -d \'
配置对应的内核，0表示第一个内核
sudo grub2-set-default 1
重启系统，运行以下命令
echo 'net.core.default_qdisc=fq' | sudo tee -a /etc/sysctl.conf
echo 'net.ipv4.tcp_congestion_control=bbr' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p
查看启用状态
lsmod | grep bbr
生成密钥
进入/etc/wiregurad目录
cd /etc/wiregurad
WireGuard需要base64编码的公钥和私钥，使用以下命令生成一个私钥:
wg genkey > privatekey
从私钥派生公钥：
wg pubkey <privatekey> publickey
命令一条龙：
wg genkey | tee privatekey | wg pubkey> publickey
此时目录中已经生成了公钥与私钥
# ls
server_private.key server_public.key
生成主配置文件，使用wg0 虚拟接口名称
export vpn_net_pre='10.66.66'
export vpn_ser_port=6443
cat >/etc/wireguard/wg0.conf<<EOF
[Interface]
Address = $vpn_net_pre.1/24
ListenPort = $vpn_ser_port
PrivateKey = $(cat /etc/wireguard/server_private.key)
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
SaveConfig = true
[Peer]
AllowedIPs = $vpn_net_pre.22/24
PublicKey = glnmUF56rWRCJBGDpdejmf3d+vlQFz3icsLCbm8ubyE=
PersistentKeepalive = 30
EOF
注意Peer 端的PublicKey 是对端的公钥。
参数说明
- Address：Server虚拟网卡的IP地址
- MTU：一般不用改，1500没问题
- ListenPort：6443是监听的端口
- PrivateKey：本机生成的私钥
- PostUp：脚本启动后执行的iptables规则--主要SNAT规则。
- PostDown：停止的时候自动删除iptables规则。
- PublicKey：Client端的公钥
- AllowedIPs：可以写多个，用逗号隔开，默认写Client端的IP
- PersistentKeepalive：用来保持连接检查的，每过25s会自动检查连通性，如果IP有变化，也是通过这个自动更新endpoint。
- SaveConfig： 自动保存配置，Wireguard在运行使用命令行添加节点时，自动将添加的节点保存至配置文件中。
启动服务
初始化并启动服务
wg-quick up wg0
停止服务
wg-quick down wg0
推荐使用systemd 来控制服务
systemctl start wg-quick@wg0
systemctl enable wg-quick@wg0
systemctl status wg-quick@wg0
● wg-quick@wg0.service - WireGuard via wg-quick(8) for wg0
Loaded: loaded (/usr/lib/systemd/system/wg-quick@.service; disabled; vendor preset: disabled)
Active: active (exited) since Sun 2019-01-24 00:22:16 CST; 9s ago
Docs: man:wg-quick(8)
man:wg(8)
https://www.wireguard.com/
https://www.wireguard.com/quickstart/
https://git.zx2c4.com/WireGuard/about/src/tools/man/wg-quick.8
https://git.zx2c4.com/WireGuard/about/src/tools/man/wg.8
Process: 20514 ExecStart=/usr/bin/wg-quick up %i (code=exited, status=0/SUCCESS)
……
[1]: Started WireGuard via wg-quick(8) for wg0.
Hint: Some lines were ellipsized, use -l to show in full.
客户端
[Interface]
Address = 10.66.66.2/32
PrivateKey = cLZw6eZR2LRUJZmlGjsBFGJrSrznw/Ag5VZILLZBbmY=
DNS = 8.8.8.8
[Peer]
AllowedIPs = 10.66.66.1/32, 39.108.115.xx/32, 114.114.114.114, 8.8.8.8
Endpoint = 47.90.100.xx:6443
PublicKey = glnmUF56rWRCJBGDpdejmf3d+vlQFz3icsLCbm8ubyE=
在Peer项的 AllowedIPs 填写上需要走VPN的IP段，使用0.0.0.0/0表示全部的流量起VPN
客户端配置生成后，可以将在服务端使用以下命令行添加客户端点：
# wg set wg0 peer 客户端公钥证书内容 allowed-ips 10.66.66.2/32
启动后可以查看VPN状态
# wg
interface: wg0
public key: 0jkKDBbKV5HbpGS50yCMuPS12EjZRYpFOt95ka0YllU=
private key: (hidden)
listening port: 40112
peer: glnmUF56rWRCJBGDpdejmf3d+vlQFz3icsLCbm8ubyE=
endpoint: 47.90.100.xx:6443
allowed ips: 39.108.115.xx/32, 10.66.66.1/32
其它
注意事项
- 公钥和私钥一定要配置正确，否则不能正常通讯
- AllowedIPs 为需要走VPN隧道的IP，Wireguard自动更改本机的route策略让它走VPN隧道，不要随意写0.0.0.0/0。
- Server端一定要写ListenPort，且能正常访问。
- Client端不需要写ListenPort，这个让他自己生成一个就可以了。
- PersistentKeepalive 建立配置，这个可以让他保持通讯，如果IP发生变化，也可以及时更新
- 可以适当使用最新内核并启用bbr算法。
