Wireguard大内网搭建#

连接到云服务器，输入 apt install wireguard 安装好wireguard。

然后打开系统内核转发功能。

使用编辑器编辑 /etc/sysctl.conf

找到 net.ipv4.ip_forward=1 一行并解除注释，不同的系统模板这个文件并不完全一样，所以你可能要自行变通。

保存后，输入 sysctl -p /etc/sysctl.conf 或者重启服务器生效。

随后生成密钥对，输入以下指令即可：

1
wg genkey | tee /etc/wireguard/server.private.key | wg pubkey > /etc/wireguard/server.public.key

生成好的私钥就是/etc/wireguard/server.private.key，公钥是/etc/wireguard/server.public.key。

这里先把私钥复制出来：

1
cat /etc/wireguard/server.private.key

随后仿照下面的配置文件，保存为/etc/wireguard/wg0.conf

1
[Interface]
2
Address = 192.168.46.1/24   # 本机在虚拟局域网中的IP
3
ListenPort = 51820          # 端口号，记得在云服务器中放行该udp端口
4
PrivateKey = # 这里填入服务端私钥
5
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
6
PostUp = ip route add 192.168.46.0/24 dev %i  # 手动添加192.168.46.0的路由到wireguard接口上
7
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
8
Table = off    # 这个非常重要

这里有个重点是Table设置成off。

RouterOS在7.0+已经原生支持WireGuard，我们可以很轻松的完成配置。打开Winbox，点击菜单中的Wireguard，随后新建一个wireguard接口：

点击OK，此时在列表中就显示出了你建好的wireguard接口了，路由器侧wireguard的密钥对会自动生成，双击打开接口详情界面并复制软路由侧公钥

复制完成后，回到云服务器，在wireguard配置文件下附加peer信息：

1
[Interface]
2
Address = 192.168.46.1/24   # 本机在虚拟局域网中的IP
3
ListenPort = 51820          # 端口号，记得在云服务器中放行该udp端口
4
PrivateKey = # 这里填入服务端私钥
5
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
6
PostUp = ip route add 192.168.46.0/24 dev %i  # 手动添加192.168.46.0的路由到wireguard接口上
7
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
8
Table = off    # 这个非常重要
9

10
[Peer]
11
PublicKey = # 软路由侧公钥
12
AllowedIPs = 192.168.46.2/32, 0.0.0.0/0

AllowedIPs一定要有0.0.0.0/0，允许所有流量经过Wireguard，如果不在interface手动设置Table = off的话，启动wireguard将会自动添加一个 0.0.0.0/0 via 192.168.46.2的路由，进而发生悲剧。

Table = off的目的是不允许Wireguard自动添加路由，由我们手动管理。

随后保存，用wg-quick把wireguard接口启用：

1
wg-quick up wg0

回到软路由，添加上云服务器的peer信息，记得提前复制云服务器的公钥

此处AllowedAddress也要改成0.0.0.0/0，允许所有流量经过。和linux服务器不同，routeros并不会自动添加路由表，所以不需要做额外的操作。

点击OK保存，随后跑到IP去添加虚拟局域网的IP，然后就可以开始ping测试了。

IP - IP Address

Address写虚拟局域网的软路由侧的IP，Network写网段，Interface选择你建的wireguard接口。

然后你就可以开启termial测试互通情况

到这里互通没问题了，接下来进入下一步。

路由表#

接着跑到云服务器去创建路由表，这里假设你的本地局域网IP端是10.0.16.0/24

1
ip route add 10.0.16.0/24 via 192.168.46.2

随后尝试在云服务器直接ping本地局域网的IP

此时你在本地端用wireshark抓包也能抓到对应的icmp包

连接处理#

上面只是完成了互通，加个ip route可以将云服务器收到的流量路由到本地了。但是本地端在默认情况下会通过本地的网络回包，然后GG，所以我们要针对云服务器来的连接打标记，让这部分从哪里来回哪里去。

打开winbox，找到IP - Firewall，在Mangle中新建两条规则：

第一条规则：Chain选Prerouting，In.Interface 选择wireguard接口，然后Action选择mark-connection，大概如下：

这样一来，我们就给wireguard来的流量打了标记。不过这个标记覆盖面很大，你也可以结合in interface + dst address list更加精细的筛选流量。

第二条规则则让带有标记的流量通过wireguard远端发回，chain还是prerouting，In Interface选择非wireguard接口，connection-mark选择你第一条规则创建的mark，在Action中，选择“route”，随后IP写你云服务器端的IP。

端口转发#

1
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 41601 -j DNAT --to 10.0.16.100:3389

1
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 30001:30010 -j DNAT --to 10.0.32.200

1
Chain PREROUTING (policy ACCEPT)
2
num  target     prot opt source               destination
3
1    DNAT       6    --  0.0.0.0/0            0.0.0.0/0            tcp dpt:41601 to:10.0.16.100:3389
4
2    DNAT       6    --  0.0.0.0/0            0.0.0.0/0            tcp dpt:30000 to:10.0.32.200:3389
5
3    DNAT       6    --  0.0.0.0/0            0.0.0.0/0            tcp dpts:30001:30009 to:10.0.32.200
6

7
Chain INPUT (policy ACCEPT)
8
num  target     prot opt source               destination
9

10
Chain OUTPUT (policy ACCEPT)
11
num  target     prot opt source               destination
12

13
Chain POSTROUTING (policy ACCEPT)
14
num  target     prot opt source               destination
15
1    MASQUERADE  0    --  0.0.0.0/0            0.0.0.0/0

1
iptables -t nat -D PREROUTING 4