香港服务器使用WireGuard搭建点对点VPN，安全访问内网服务

在香港服务器中WireGuard作为新一代VPN协议，以其简洁的配置、卓越的性能和现代加密技术，正在迅速成为远程访问和内网穿透的首选方案。

一、WireGuard核心优势与工作原理

为什么选择WireGuard？

• 性能卓越：比OpenVPN、IPSec更快，接近原生网络速度

• 配置简洁：单个配置文件包含所有参数，易于管理

• 现代加密：基于Curve25519、ChaCha20等最新加密算法

• 内核集成：Linux内核原生支持，效率更高

• 轻量级：代码量仅为OpenVPN的1%，攻击面更小

核心概念：

• 对等体（Peer）：每个VPN节点都是对等体，无传统客户端/服务器区分

• 公钥/私钥：每个节点拥有自己的密钥对

• 端点（Endpoint）：可公开访问的节点IP和端口

• AllowedIPs：定义流量路由规则

二、环境准备与WireGuard安装

系统要求：

• Linux内核5.6+（推荐）或安装DKMS模块

• 服务器：具有公网IP的VPS或云主机

• 客户端：Windows、macOS、Linux、iOS、Android

安装WireGuard：

Ubuntu/Debian：

bash

复制

下载

sudo apt updatesudo apt install wireguard resolvconf

CentOS/RHEL：

bash

复制

下载

sudo yum install epel-releasesudo yum install wireguard-tools# 或者sudo dnf install wireguard-tools

内核模块检查：

bash

复制

下载

# 检查WireGuard模块是否加载sudo modprobe wireguard
lsmod | grep wireguard# 检查内核版本支持uname -r

三、服务器端配置详解

1. 生成服务器密钥对：

bash

复制

下载

# 创建配置目录sudo mkdir -p /etc/wireguardcd /etc/wireguard# 生成私钥sudo umask 077sudo wg genkey | tee server_private.key# 从私钥生成公钥sudo cat server_private.key | wg pubkey | tee server_public.key# 查看生成的密钥echo "服务器私钥: $(cat server_private.key)"echo "服务器公钥: $(cat server_public.key)"

2. 创建服务器配置文件：

bash

复制

下载

sudo nano /etc/wireguard/wg0.conf

配置文件内容：

ini

复制

下载

[Interface]# 服务器配置PrivateKey = <服务器私钥>Address = 10.0.0.1/24ListenPort = 51820SaveConfig = true# 可选的DNS设置DNS = 8.8.8.8, 1.1.1.1# 可选的MTU设置MTU = 1420# 预共享密钥（可选，增强安全性）# PreSharedKey = /etc/wireguard/preshared.key[Peer]# 客户端1配置PublicKey = <客户端1公钥>AllowedIPs = 10.0.0.2/32[Peer]# 客户端2配置PublicKey = <客户端2公钥>AllowedIPs = 10.0.0.3/32# 可以继续添加更多客户端...

3. 启用IP转发：

bash

复制

下载

# 临时启用echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward# 永久启用echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.confsudo sysctl -p

四、客户端配置详解

Linux客户端配置：

bash

复制

下载

# 生成客户端密钥对cd /etc/wireguardsudo wg genkey | tee client_private.key | wg pubkey > client_public.key# 创建客户端配置文件sudo nano /etc/wireguard/wg0-client.conf

客户端配置文件：

ini

复制

下载

[Interface]# 客户端配置PrivateKey = <客户端私钥>Address = 10.0.0.2/24DNS = 8.8.8.8[Peer]# 服务器配置PublicKey = <服务器公钥>Endpoint = <服务器公网IP>:51820AllowedIPs = 0.0.0.0/0# 持久连接设置PersistentKeepalive = 25

Windows客户端配置：
下载官方WireGuard客户端，创建新隧道：

ini

复制

下载

[Interface]PrivateKey = <客户端私钥>Address = 10.0.0.2/24DNS = 8.8.8.8[Peer]PublicKey = <服务器公钥>Endpoint = <服务器公网IP>:51820AllowedIPs = 0.0.0.0/0PersistentKeepalive = 25

五、完整的点对点VPN配置实例

场景： 总部服务器与分公司办公室建立点对点VPN

总部服务器配置（有公网IP）：

ini

复制

下载

[Interface]PrivateKey = <总部服务器私钥>Address = 10.0.0.1/24ListenPort = 51820SaveConfig = true# 总部内网路由PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADEPostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE[Peer]# 分公司办公室PublicKey = <分公司公钥>AllowedIPs = 10.0.0.2/32, 192.168.2.0/24

分公司办公室配置（NAT后）：

ini

复制

下载

[Interface]PrivateKey = <分公司私钥>Address = 10.0.0.2/24[Peer]PublicKey = <总部服务器公钥>Endpoint = 总部公网IP:51820AllowedIPs = 10.0.0.0/24, 192.168.1.0/24PersistentKeepalive = 25

六、防火墙配置与端口开放

UFW防火墙配置：

bash

复制

下载

# 开放WireGuard端口sudo ufw allow 51820/udp# 允许VPN流量转发sudo nano /etc/ufw/before.rules# 在文件开头添加：*nat
:POSTROUTING ACCEPT [0:0]-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT# 在文件末尾添加：# WireGuard rules-A ufw-before-forward -i wg0 -j ACCEPT-A ufw-before-forward -o wg0 -j ACCEPT

firewalld配置（CentOS）：

bash

复制

下载

sudo firewall-cmd --permanent --add-port=51820/udpsudo firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=10.0.0.0/24 accept'sudo firewall-cmd --permanent --add-masqueradesudo firewall-cmd --reload

七、服务管理与自动启动

启动WireGuard服务：

bash

复制

下载

# 启动服务sudo wg-quick up wg0# 停止服务sudo wg-quick down wg0# 查看状态sudo wg show# 启用开机自启sudo systemctl enable wg-quick@wg0

服务状态监控：

bash

复制

下载

# 查看接口状态ip addr show wg0# 查看路由表ip route show# 实时监控WireGuardsudo watch wg show

八、多客户端管理方案

使用配置管理脚本：

bash

复制

下载

#!/bin/bash# add-client.sh - 添加新客户端CLIENT_NAME=$1CLIENT_IP="10.0.0.$((2 + $(wg show wg0 peers | wc -l)))"# 生成客户端密钥CLIENT_PRIVATE_KEY=$(wg genkey)CLIENT_PUBLIC_KEY=$(echo $CLIENT_PRIVATE_KEY | wg pubkey)# 创建客户端目录sudo mkdir -p /etc/wireguard/clients# 保存客户端密钥echo $CLIENT_PRIVATE_KEY | sudo tee /etc/wireguard/clients/${CLIENT_NAME}_private.keyecho $CLIENT_PUBLIC_KEY | sudo tee /etc/wireguard/clients/${CLIENT_NAME}_public.key# 添加到服务器配置echo "
[Peer]
# $CLIENT_NAMEPublicKey = $CLIENT_PUBLIC_KEYAllowedIPs = ${CLIENT_IP}/32" | sudo tee -a /etc/wireguard/wg0.conf# 生成客户端配置sudo tee /etc/wireguard/clients/${CLIENT_NAME}.conf > /dev/null << EOF
[Interface]
PrivateKey = $CLIENT_PRIVATE_KEYAddress = ${CLIENT_IP}/24
DNS = 8.8.8.8

[Peer]
PublicKey = $(cat /etc/wireguard/server_public.key)Endpoint = $(curl -s ifconfig.me):51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF# 重载配置sudo wg-quick down wg0sudo wg-quick up wg0echo "客户端 $CLIENT_NAME 添加完成"echo "IP地址: $CLIENT_IP"echo "配置文件: /etc/wireguard/clients/${CLIENT_NAME}.conf"# 生成二维码（便于移动端扫描）qrencode -t ansiutf8 < /etc/wireguard/clients/${CLIENT_NAME}.conf

九、高级配置与性能优化

MTU优化：

bash

复制

下载

# 检测最佳MTUping -M do -s 1472 -c 3 <服务器IP># 在配置文件中设置MTU = 1420

路由优化配置：

ini

复制

下载

[Interface]# ... 基础配置 ...# 仅路由特定网段，避免全流量VPNPostUp = ip route add 192.168.1.0/24 dev %iPostUp = ip route add 192.168.2.0/24 dev %i[Peer]# 客户端配置AllowedIPs = 10.0.0.0/24, 192.168.1.0/24, 192.168.2.0/24

十、安全加固措施

使用预共享密钥：

bash

复制

下载

# 生成预共享密钥wg genpsk | sudo tee /etc/wireguard/preshared.key# 在配置文件中添加PreSharedKey = /etc/wireguard/preshared.key

限制监听地址：

ini

复制

下载

[Interface]ListenPort = 51820# 仅监听内网地址（如有前置防火墙）# ListenAddress = 192.168.1.1:51820

十一、内网服务访问配置

访问内部Web服务：

bash

复制

下载

# 在服务器端添加路由sudo ip route add 192.168.1.0/24 dev wg0# 在客户端配置中指定内网网段AllowedIPs = 10.0.0.0/24, 192.168.1.0/24

DNS内网解析：

ini

复制

下载

[Interface]# 使用内网DNS服务器DNS = 192.168.1.10, 8.8.8.8

十二、故障排查与诊断

连接测试：

bash

复制

下载

# 检查WireGuard状态sudo wg show# 测试连通性ping 10.0.0.1ping 192.168.1.1# 检查路由ip route get 192.168.1.100# 跟踪数据包路径traceroute 192.168.1.100

日志诊断：

bash

复制

下载

# 查看系统日志sudo journalctl -u wg-quick@wg0 -f# 调试模式启动sudo wg-quick down wg0sudo WG_I_PREFER_BUGGY_USERSPACE_TO_POLISHED_KMOD=1 wg-quick up wg0

十三、移动设备配置

生成二维码（便于移动端扫描）：

bash

复制

下载

# 安装qrencodesudo apt install qrencode# 生成客户端配置二维码qrencode -t ansiutf8 < /etc/wireguard/clients/mobile.conf

iOS/Android配置：

1. 从App Store/Google Play安装WireGuard应用

2. 扫描生成的二维码或导入配置文件

3. 启用连接即可访问内网资源

十四、监控与维护脚本

状态监控脚本：

bash

复制

下载

#!/bin/bash# vpn-monitor.shINTERFACE="wg0"LOG_FILE="/var/log/wireguard-monitor.log"echo "$(date): WireGuard Status Check" >> $LOG_FILE# 检查接口状态if ip link show $INTERFACE &> /dev/null; then
    echo "Interface $INTERFACE is UP" >> $LOG_FILEelse
    echo "ALERT: Interface $INTERFACE is DOWN" >> $LOG_FILE
    # 自动重启
    sudo wg-quick down $INTERFACE
    sudo wg-quick up $INTERFACEfi# 检查对等体连接sudo wg show $INTERFACE | grep "latest handshake" >> $LOG_FILE

完整的部署脚本：

bash

复制

下载

#!/bin/bash# wireguard-setup.sh# 配置变量SERVER_IP=$(curl -s ifconfig.me)SERVER_PORT=51820VPN_NETWORK="10.0.0.0/24"SERVER_IP_VPN="10.0.0.1"echo "=== WireGuard VPN 安装脚本 ==="# 安装WireGuardif ! command -v wg &> /dev/null; then
    echo "安装WireGuard..."
    if [ -f /etc/debian_version ]; then
        sudo apt update        sudo apt install -y wireguard resolvconf qrencode    elif [ -f /etc/redhat-release ]; then
        sudo yum install -y epel-release        sudo yum install -y wireguard-tools qrencode    fifi# 创建配置目录sudo mkdir -p /etc/wireguard/clientscd /etc/wireguard# 生成服务器密钥echo "生成服务器密钥..."sudo umask 077sudo wg genkey | tee server_private.key | wg pubkey > server_public.key# 创建服务器配置sudo tee wg0.conf > /dev/null << EOF
[Interface]
PrivateKey = $(cat server_private.key)Address = ${SERVER_IP_VPN}/24
ListenPort = ${SERVER_PORT}SaveConfig = true

# 启用IP转发和NAT
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

EOFecho "WireGuard服务器配置完成！"echo "服务器公钥: $(cat server_public.key)"echo "服务器端点: ${SERVER_IP}:${SERVER_PORT}"

总结

通过WireGuard搭建点对点VPN，你可以：

1. 快速部署：在30分钟内建立可用的点对点VPN

2. 灵活扩展：轻松添加新客户端和路由规则

3. 安全保障：利用现代加密技术保护数据传输

4. 性能优化：根据网络环境调整参数获得最佳性能

关键成功要素：

• 规划先行：明确网络拓扑和IP地址规划

• 安全为重：妥善保管密钥，定期更新配置

• 监控持续：建立状态监控和自动恢复机制

• 文档完善：记录配置变更和故障处理经验

WireGuard以其简洁高效的特点，彻底改变了VPN部署的复杂性，是构建安全内网访问方案的理想选择。