如何部署WireGuard服务器？VPN组网、密钥配置与连接测试

当你有几台分散在不同地方的服务器，又想让它们像在同一个内网里一样互访时，一台 VPN 服务器就是最省事的答案。传统方案里，OpenVPN 配置复杂、性能一般，IPSec 更是让很多人望而却步。WireGuard 的出现改变了这个局面：它的代码量只有几千行，配置短到几十行，性能却常常优于传统方案，如今已经并入 Linux 内核主线。对中小企业 IT 和个人站长来说，它是自建 VPN 组网的首选。

这篇文章从运维角度，完整讲一遍 WireGuard 的部署：它的工作方式和为什么快，服务端和服务端如何生成密钥，服务端的 wg0.conf 怎么写，怎么配置 IP 转发和 NAT 让客户端能访问内网和访问外网，客户端配置怎么生成，怎么用 wg show 和 ping 测试连通性，以及上线前必须想清楚的安全与合规问题。命令区分 RHEL/CentOS/Rocky 与 Debian/Ubuntu 两套。

本文的定位是"自己给自己搭一条加密通道"，用于把分散的服务器、办公网络、个人设备连成一个安全的私有网络。所有内容都是防御与运维视角，不涉及任何绕过他人网络边界或隐藏来源的用法。请只在你有权管理的设备和网络范围内搭建、使用。

一、WireGuard 为什么快：原理先讲清楚

WireGuard 快和简单的根源，在于它的设计取舍。它基于 UDP 传输，而不是像 OpenVPN 那样默认走 TCP。UDP 省去了 TCP-over-TCP 的层层重传问题，握手和转发都更轻。它工作在 Linux 内核态（通过内核模块），数据包不用在用户态和内核态之间反复拷贝，转发效率高。它使用固定的加密套件——Curve25519 做密钥交换、ChaCha20 加密、Poly1305 做认证、BLAKE2 做哈希——不给你一堆算法选项去纠结，也就少了配置出错的空间。

它的连接模型也很有特点：不太像传统"客户端连服务器"，而更像"一群对等的节点通过公钥互相认识"。每个节点都有一对密钥，知道自己该转发哪些流量给哪个对端。服务端和客户端在配置层面是对称的，区别只在于谁监听固定端口、谁主动发起连接。这种基于公钥的 peer 模型，让加一个新节点只需互相把公钥和地址配上，非常清爽。

密钥这件事在 WireGuard 里是核心。每个 peer 都有私钥（自己保存，绝不外传）和公钥（给对端）。两端互相知道对方的公钥，就能建立加密隧道。理解这一点，后面配置里的 PrivateKey 和 PublicKey 就一目了然了：本机的私钥加上对端的公钥，构成一条通路。

二、安装与服务端准备

安装很简单，但要注意内核支持。现代发行版的内核大多已经自带 WireGuard 模块，老内核可能需要装 DKMS 版本。

# Debian / Ubuntu
sudo apt update
sudo apt install -y wireguard wireguard-tools

# RHEL / CentOS / Rocky / AlmaLinux
sudo dnf install -y wireguard-tools
# 如果内核不支持，可能需要 ELRepo 的 kmod-wireguard（视内核版本而定）

# 验证内核模块能否加载（无报错说明可用）
sudo modprobe wireguard && echo "wireguard 模块可用"

# 查看已加载的 wireguard 模块
lsmod | grep wireguard

服务端还需要确认两件事：一是服务器的公网 IP（客户端要用它来连接），二是有没有可用的 UDP 端口。WireGuard 默认用 UDP 51820，你需要确保云安全组放行了这个 UDP 端口。

# 确认公网 IP（从服务器外部视角看）
curl -s ifconfig.me; echo
# 确认 51820/udp 没有被别的程序占用
sudo ss -lunp | grep 51820

风险提示：放行 UDP 51820 属于暴露一个新的公网端口。虽然 WireGuard 默认只响应携带正确密钥的握手包，不携带密钥的探测包会被静默丢弃（这一点让它比开放端口的服务更"隐形"），但仍应配合防火墙限制来源，或在不需要公网入口时把服务端放在内网。云安全组里请精确放行 51820/udp，不要图省事开放全端口。

三、生成密钥：私钥绝不外传

密钥生成用 wg 命令，一行搞定。私钥要严格保护，权限设为 600 且只有属主可读；公钥可以给对方。

# 进入一个安全目录（建议不放家目录根下，而是专门目录）
sudo mkdir -p /etc/wireguard/keys
cd /etc/wireguard/keys

# 生成服务端密钥对
wg genkey | tee server_private.key | wg pubkey > server_public.key
chmod 600 server_private.key

# 生成一个客户端密钥对（示例，客户端也可以在自己机器上生成）
wg genkey | tee client1_private.key | wg pubkey > client1_public.key
chmod 600 client1_private.key

# 查看生成的公私钥
echo "服务端公钥: $(cat server_public.key)"
echo "客户端1公钥: $(cat client1_public.key)"

wg genkey 输出的是一段 base64 字符串，这就是私钥；把它作为输入送给 wg pubkey，得到的就是对应的公钥。整个过程本地完成，不联网、不回传，这也是 WireGuard 密钥管理简单的一个体现。

有一个容易忽略的细节：tee 会把私钥同时写到文件和标准输出，如果终端有记录历史或日志，可能留下痕迹。更稳妥的写法是先生成到文件，再单独读取。

# 更干净的生成方式：直接写入文件，不回显到终端
umask 077
wg genkey > server_private.key
wg pubkey < server_private.key > server_public.key

umask 077 保证新建文件默认只有属主可读写，避免私钥文件生成时权限过松。

四、服务端 wg0.conf：一个完整的例子

WireGuard 的主配置文件通常放在 /etc/wireguard/wg0.conf，文件名里的 wg0 就是接口名。配置文件在接口启动时读取，所以每次改完都要重启或重载接口。

服务端配置由 [Interface] 段和若干个 [Peer] 段组成。[Interface] 描述自己，每个 [Peer] 描述一个对端。

# /etc/wireguard/wg0.conf  （服务端）
[Interface]
# 服务端在隧道内的私有地址，以及隧道的网段
Address = 10.8.0.1/24

# 监听端口
ListenPort = 51820

# 服务端私钥（从文件读取，避免明文写在配置里）
PrivateKey = <服务端私钥内容>

# 启动接口后执行的命令：开启转发并设置 NAT（让客户端能访问公网）
# 这两条会在 wg-quick 拉起接口时自动执行
PostUp   = sysctl -w net.ipv4.ip_forward=1
PostUp   = iptables -A FORWARD -i wg0 -j ACCEPT
PostUp   = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# 以下是各个对端（客户端）
[Peer]
# 客户端1的公钥
PublicKey = <客户端1公钥内容>
# 客户端1在隧道内的地址（可以给单个 /32，也可以给一个可分配的网段）
AllowedIPs = 10.8.0.2/32

配置里几个字段的含义必须弄清楚。Address 是这台机器在隧道网络里的地址；ListenPort 是 UDP 监听端口；PostUp/PostDown 是接口起来/关闭时执行的命令，用来开转发和做 NAT（这一步是让客户端"上网"的关键）；AllowedIPs 在服务端的 [Peer] 段里，表示"允许这个 peer 使用哪些源地址，也决定把哪些目的地址的流量路由给它"。

AllowedIPs 是 WireGuard 里最需要理解的字段，它在两端含义不同。在服务端的每个 [Peer] 里，它声明"这个客户端在隧道里的地址"，通常是一个 /32，避免不同客户端分配到相同地址。在客户端的 [Peer] 里，它决定"哪些流量走隧道"：填 0.0.0.0/0 就是所有流量都走 VPN（全流量代理），只填 10.8.0.0/24 就是只有访问隧道内网才走 VPN。这个区别后面客户端配置会再展开。

把私钥从文件读进配置，可以用 shell 拼接，避免手动复制粘贴出错：

# 生成服务端配置，私钥从文件读取
cd /etc/wireguard
sudo tee wg0.conf >/dev/null <

# 确认出口网卡名
ip -br addr
ip route get 1.1.1.1    # 输出里 "dev" 后面的就是出口网卡

# nftables 版本的 PostUp/PostDown
PostUp   = nft add rule ip nat POSTROUTING oifname "eth0" masquerade
PostDown = nft delete rule ip nat POSTROUTING oifname "eth0" masquerade

# 持久开启 IP 转发
echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-wireguard.conf
sudo sysctl --system

# 客户端1的配置（例如 client1.conf）
[Interface]
# 客户端在隧道内的地址，要在服务端的网段里且不与其他客户端重复
Address = 10.8.0.2/24
# 客户端自己的私钥
PrivateKey = <客户端1私钥内容>

[Peer]
# 服务端的公钥
PublicKey = <服务端公钥内容>
# 哪些流量走隧道：全流量填 0.0.0.0/0，只访问内网填 10.8.0.0/24
AllowedIPs = 10.8.0.0/24, 192.168.10.0/24
# 服务端的公网地址和端口
Endpoint = 198.51.100.20:51820
# 每 25 秒发一次保活包，让 NAT 映射不超时（客户端在 NAT 后面时很关键）
PersistentKeepalive = 25

# 生成客户端配置（示例：只访问内网）
cd /etc/wireguard
sudo tee client1.conf >/dev/null <

# 启动 wg0 接口
sudo wg-quick up wg0

# 查看接口状态、每个 peer 的最新握手时间和流量
sudo wg show

# 如果配置有语法问题，wg-quick 会报错，可按提示排查

# 设置开机自启（wg-quick 生成的 systemd 服务名是 wg-quick@接口名）
sudo systemctl enable wg-quick@wg0

# 停止接口
sudo wg-quick down wg0

# 修改配置后重新加载：先 down 再 up，或用 wg syncconf 不中断地同步
sudo wg syncconf wg0 <(sudo wg-quick strip wg0)

# 在客户端上：ping 服务端在隧道内的地址
ping -c 3 10.8.0.1
# 在客户端上：ping 服务端所在内网的某台机器
ping -c 3 192.168.10.20

# 在服务端上：查看某个客户端是否已握手
sudo wg show wg0
# 输出里对应的 peer 应显示 "latest handshake: xx seconds ago" 和增长的 transfer

# 在服务端上：ping 客户端在隧道内的地址（客户端配了 Keepalive 时通常可达）
ping -c 3 10.8.0.2

# 服务端排查：确认转发已开启
sysctl net.ipv4.ip_forward         # 应为 1
# 确认 NAT 规则存在
sudo iptables -t nat -L POSTROUTING -n -v | grep MASQUERADE
# 确认接口存在且地址正确
ip -br addr show wg0

# 放行 UDP 端口的防火墙规则
# RHEL 系：
sudo firewall-cmd --permanent --add-port=51820/udp && sudo firewall-cmd --reload
# Debian/Ubuntu：
sudo ufw allow 51820/udp

# 在服务端 wg0.conf 追加第二个客户端
[Peer]
PublicKey = <客户端2公钥内容>
AllowedIPs = 10.8.0.3/32

# 追加 peer 后，平滑同步到运行中的接口
sudo wg addconf wg0 <(sudo wg-quick strip wg0)
# 或直接重载接口
sudo wg-quick down wg0 && sudo wg-quick up wg0