什么是Wireguard
WireGuard是一个现代的VPN（虚拟私人网络）协议，它旨在比现有的VPN解决方案更简单、更快速且更安全。它由Jason A. Donenfeld开发，最初发布于2016年，并在Linux内核5.6版本中以内置形式发布。
特性：
- 简单性：WireGuard的代码基相对较小（大约4000行代码），这使得它更易于审计和维护。
- 高性能：它使用了最新的加密技术，比如Curve25519、ChaCha20、Poly1305等，这些算法旨在提供高速的数据传输速度和较低的延迟。
- 安全性：WireGuard设计为默认安全，避免了复杂的配置，减少了配置错误的可能性。
- 易于配置：WireGuard使用简单的文本文件进行配置，这使得设置和部署VPN变得非常直观。
- 跨平台：支持多种操作系统，包括Linux、Windows、macOS、BSD、iOS和Android。
功能：
- 加密通信：WireGuard可以创建加密的VPN隧道，保护数据在互联网上的传输免受监听和篡改。
- 隐私保护：通过隐藏真实IP地址，WireGuard有助于保护用户的在线隐私。
- 避免地理限制：用户可以使用VPN连接到不同地区的服务器，绕过地理位置限制，访问全球的内容和服务。
- 安全远程访问：WireGuard允许用户安全地远程连接到家庭或公司网络，以访问内部资源。
选择WireGuard的理由：
- 安全性高：采用了最新的加密技术，提供了强大的安全保障。
- 性能优越：由于其简洁的设计，WireGuard在速度和响应时间上通常优于其他VPN协议。
- 易于使用：配置和管理过程简单，用户友好。
- 开源：WireGuard是开源软件，允许社区审核其安全性，促进了透明性和可信赖性。
- 接受度高：随着其被整合进Linux内核，WireGuard的接受度和支持度在不断增加。
Centos7配置Wireguard
在CentOS 7上搭建WireGuard服务可以分为几个主要步骤。注意了哈，以下步骤需要以root用户或具有sudo权限的用户身份执行。
安装WireGuard
- 添加EPEL仓库:
yum install epel-release
- 添加WireGuard的Elrepo仓库:
yum install https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpm
- 安装WireGuard:
yum install kmod-wireguard wireguard-tools
配置WireGuard
- 生成密钥:
生成一个私钥和一个公钥。
wg genkey | tee privatekey | wg pubkey > publickey
- 创建配置文件:
创建一个新的WireGuard配置文件。例如，/etc/wireguard/wg0.conf。你需要使用你刚刚生成的私钥和公网服务器的IP地址。
[Interface] Address = 10.0.0.1/24 SaveConfig = true PrivateKey = [服务器的私钥] ListenPort = 51820
- 添加客户端配置:
对于每个客户端，每个客户端需要添加一个[Peer]段到服务器的配置文件中。
[Peer] PublicKey = [客户端的公钥] AllowedIPs = 10.0.0.2/32
启动WireGuard
- 启动WireGuard接口:
wg-quick up wg0
- 设置开机自启动:
systemctl enable wg-quick@wg0
配置防火墙
确保防火墙允许WireGuard的流量。
- 打开UDP端口:
默认情况下，WireGuard使用51820端口。
firewall-cmd --permanent --add-port=51820/udp firewall-cmd --reload
- 允许转发:
编辑/etc/sysctl.conf文件，确保开启IP转发。
net.ipv4.ip_forward = 1
然后运行sysctl -p来应用更改。
客户端配置
每个客户端都需要一个配置文件，类似于以下内容：
[Interface] PrivateKey = [客户端的私钥] Address = 10.0.0.2/24 [Peer] PublicKey = [服务器的公钥] Endpoint = [服务器的公网IP]:51820 AllowedIPs = 0.0.0.0/0 PersistentKeepalive = 25
完成这些步骤后，WireGuard VPN服务器应该就绪，并可以开始接受客户端连接了。记得在客户端上也进行适当的配置。
其中配置方面的问题：
- SaveConfig = true:
这个设置告诉WireGuard在每次正常关闭或重新启动服务时自动保存当前的配置状态到配置文件中。这意味着如果你在运行中对WireGuard接口进行了任何更改（比如通过wg set命令），这些更改将被保存到配置文件中。这对于动态管理VPN连接很有用，但要小心使用，因为它可能会覆盖手动编辑的配置。 - 关于IP地址范围和多个配置文件:
你可能注意到了10.0.0.1/24网络确实只能支持到254个IP地址（从10.0.0.1到10.0.0.254，其中10.0.0.0是网络地址，10.0.0.255是广播地址，这两个地址不用于分配给设备）。如果你需要支持更多的客户端，你有几个选项：
- 使用更大的子网：例如，你可以使用10.0.0.1/23或更大的子网，这将提供更多的IP地址。10.0.0.1/23将覆盖从10.0.0.1到10.0.1.254的IP地址，提供了大约500个可用地址。
- 使用多个接口和配置文件：如果你达到了一个子网的容量极限，你可以创建另一个WireGuard接口（比如
wg1），并为其配置一个新的子网（比如10.0.1.1/24）。这样，你可以在同一个物理服务器上运行多个WireGuard实例，每个实例管理自己的客户端集。 如果你选择这条路径，记得为每个接口配置不同的监听端口和不同的IP范围，以避免冲突。例如，wg0可以监听在 51820 端口，而wg1可以监听在 51821 端口。 使用更大的子网通常是更简单的选择，因为它不需要额外的配置和管理，但这取决于你的具体需求和网络环境。
诊断和调试方面：
WireGuard 本身的设计非常简洁，它不提供传统意义上的详细日志文件。不过，我们仍然可以通过以下方法来诊断和解决问题：
1. 使用 wg 命令查看状态
运行 wg 命令可以显示当前的WireGuard状态，包括所有接口的配置和一些基本的统计数据，如数据包传输量。这可以帮助我们确认WireGuard是否正确配置和运行：
wg
2. 检查客户端和服务器的配置
确保客户端和服务器的配置文件是正确的。特别是检查以下几点：
- 客户端的
PrivateKey和服务器端的PublicKey是否匹配。 - 客户端的
Endpoint是否指向了正确的服务器IP和端口。 - 客户端和服务器的
AllowedIPs是否正确配置。通常在客户端，这个字段设置为0.0.0.0/0以路由所有流量，或者指定特定的IP范围。
3. 检查服务器的防火墙和转发设置
如果客户端可以连接到服务器，但没有互联网访问，可能是因为服务器上的NAT配置或IP转发未正确设置。你需要确认：
- IP转发是否启用。检查
/etc/sysctl.conf或使用sysctl net.ipv4.ip_forward查看当前设置。 - 防火墙（如 iptables）是否配置了正确的NAT规则。例如，使用
iptables -t nat -L -v查看 NAT 规则。
4. 使用标准网络诊断工具
你可以使用标准的网络诊断工具，如 ping、traceroute、tcpdump 来检查网络连接和流量流向。在服务器上使用 tcpdump 可以查看经过WireGuard接口的流量，这对于诊断问题非常有帮助。
例如，可以在WireGuard接口上运行 tcpdump 来捕获传入和传出的数据包：
tcpdump -i wg0
5. 查看系统日志
虽然WireGuard自身不生成详细日志，但系统日志可能会捕获与WireGuard相关的事件，特别是在启动或错误发生时。你可以查看 /var/log/syslog（在大多数Linux发行版上）或使用 journalctl 命令来查看系统日志。
例如，查看最近的系统日志：
journalctl -xe
或者专门查看与WireGuard相关的日志：
journalctl -u wg-quick@wg0
通过上述方法，应该能够找到连接问题的原因，并据此采取相应的解决措施。
常用的命令
它的配置和管理通常很简单。以下是一些在 CentOS 7 上部署 WireGuard 后可能会用到的常用命令及其作用：
wg：这是 WireGuard 的主要命令行接口，用于查询和设置 WireGuard 接口的状态和配置。
wg show：显示当前所有 WireGuard 接口的状态。wg showconf <interface>：显示指定 WireGuard 接口的配置文件。wg show <interface> dump：以可被脚本解析的格式显示接口的详细信息。
wg-quick：这是一个帮助脚本，用于快速启动和停止 WireGuard 接口。
wg-quick up <interface>：启动指定的 WireGuard 接口。wg-quick down <interface>：停止指定的 WireGuard 接口。