一个高速、安全、可以复活被墙IP的VPN —— WireGuard 服务端手动教程

VPN资源 Toyo 1周前 (11-09) 97评论

文章目录 ⚐

本文最后更新于 2018年11月12日 09:02 可能会因为没有更新而失效。如已失效或需要修正，请留言！

从几个月前就有人跟我说过 WireGuard 这个下一代VPN协议，不过当时网上也没什么中文教程，官方又全是英文，零零散散的看不懂就给无视了。

最近一段时间，貌似 WireGuard 开始流行了，好多人都推荐给我，让我写教程。我搜索了下，找到了几个中文教程，虽然也是零零散散的，不过要重点感谢一下这个脚本，让我清楚了完整配置过程。

昨天下午和今天上午简单研究了下，差不多可以写教程啦~

客户端教程：WireGuard —— Windows/Android 客户端简单使用教程

WireGuard简单介绍

注意：WireGuard 是通过 UDP 协议传输数据的，这意味着它可以搭建在被墙的服务器上使用，复活被墙IP！

同时：因为是 UDP 传输的，所以也不怕被墙，锐速、BBR 这类TCP加速工具也不会对其起到加速作用。

另外：如果你当地运营商对海外 UDP 链接进行 QOS 限速，那么速度可能不如使用 TCP 链接的代理软件理想。

至于该 VPN 是否容易被GFW针对封锁，目前还不得而知，至少目前 WireGuard 连 1.0 正式版都不算。

更少的代码

相比于 OpenVPN 、 IPSec 的几十万行代码，WireGuard 只有短短的四千行。

更容易部署

对于初次接触的人来说，相比于其他VPN协议，WireGuard 更容易部署。

更安全的加密

Curve25519 目前最高水平的秘钥交换算法。
ChaCha20 对称加解密算法，比 AES 更快更高效。
Poly1305 是一种 MAC (Message Authentication Code) 标准，用于验证数据的完整性和消息的真实性。
BLAKE2 一种更安全的 HASH 算法（类似的有 SHA1, SHA256, MD5）
SipHash24 另一种 HASH 算法。
HKDF 一种秘钥衍生算法。

Linux之父的评价：

Linus Torvalds, on the Linux Kernel Mailing List:

Can I just once again state my love for it and hope it gets merged soon? Maybe the code isn't perfect, but I've skimmed it, and compared to the horrors that are OpenVPN and IPSec, it's a work of art(它是一件艺术品).

官方网站：https://www.wireguard.com/

再多的我也编不出来了，大家凑活着看吧。

目前该地区对 VPN 的封锁日益加重，就连 Cisco AnyConnect VPN 思科VPN都在逐渐被干扰(前段时间开始不少人向我反馈频繁断开连接和干脆连不上)，所以对 VPN 有需求的可以考虑一下 WireGuard ，而且WireGuard 还比思科VPN配置简单，不需要导入证书什么的。

因为其链接特性，所以 WireGuard 有很好的稳定性，无论你怎么切换网络或者网络波动导致断开后，往往可以很快恢复链接，所以如果拿来加速游戏的话，可能效果不错(当然前提是你的代理服务器也要网络不错)。

前提要求

系统要求：Debian 8 / 9、Ubuntu 14.04 / 16.04 / 18.04 / 18.10
服务器要求：OpenVZ 虚拟化的服务器不支持安装该VPN，其他虚拟化均可。

如果担心出错，那么我推荐 Debian9、Ubuntu16.04 / 18.04 / 18.10 系统，这些较新的系统更不容易出错，相对来说 Ubuntu 系统安装更方便！

注意：如果你用的是 Vultr、DO，且你本地没有 IPv6 地址，那就不要勾选 Enable IPv6 ，否则可能客户端链接时可能会出错。

另外，请确保你的系统是纯净的，建议重装系统后直接开始本教程！

CentOS7 系统可以参考下官方给的安装代码，至于后面的配置步骤什么的全系统通用。因为时间有限，所以我目前只测试了各个 Debian Ubuntu 系统，有空的话我测试下 CentOS7，补充下手动教程。

Debian安装步骤

点击展开查看更多

安装内核

首先，Debian 无论是哪个系统，默认往往都没有 linux-headers 内核，而安装使用 WireGuard 必须要这货，所以我们需要先安装：

# 更新软件包源
apt update

# 安装和 linux-image 内核版本相对于的 linux-headers 内核
apt install linux-headers-$(uname -r) -y

# 以下为示例内容（仅供参考）

# Debian8 安装前内核列表(空)
[email protected]:~# dpkg -l|grep linux-headers
# 空，没有任何输出

# Debian8 安装后内核列表（注意这里的版本号 可能不一样）
[email protected]:~# dpkg -l|grep linux-headers
ii  linux-headers-3.16.0-6-amd64   3.16.57-2                          amd64        Header files for Linux 3.16.0-6-amd64
ii  linux-headers-3.16.0-6-common  3.16.57-2   


# Debian9 安装前内核列表(空)
[email protected]:~# dpkg -l|grep linux-headers
# 空，没有任何输出

# Debian9 安装后内核列表（注意这里的版本号 可能不一样）
[email protected]:~# dpkg -l|grep linux-headers
ii  linux-headers-4.9.0-7-amd64   4.9.110-3+deb9u2               amd64        Header files for Linux 4.9.0-7-amd64
ii  linux-headers-4.9.0-7-common  4.9.110-3+deb9u2               all          Common header files for Linux 4.9.0-7

# 以上为示例内容（仅供参考）

安装WireGuard

然后我们就可以开始安装 WireGuard 了。

# 添加 unstable 软件包源，以确保安装版本是最新的
echo "deb http://deb.debian.org/debian/ unstable main" > /etc/apt/sources.list.d/unstable.list
echo -e 'Package: *\nPin: release a=unstable\nPin-Priority: 150' > /etc/apt/preferences.d/limit-unstable

# 更新一下软件包源
apt update

# 开始安装 WireGuard ，resolvconf 是用来指定DNS的，旧一些的系统可能没装。
apt install wireguard resolvconf -y

Ubuntu安装步骤

点击展开查看更多

配置PPA

首先如果你是 Ubuntu 14.04 系统，那么请先安装 PPA：

# 以下步骤仅限 Ubuntu 14.04 系统执行
apt update
apt install software-properties-common -y

安装完成后，我们还需要通过 PPA 工具添加 WireGuard 源：

add-apt-repository ppa:wireguard/wireguard
# 执行后提示如下示例内容（仅供参考）：

[email protected]:~# add-apt-repository ppa:wireguard/wireguard
 WireGuard is a novel VPN that runs inside the Linux Kernel. This is the Ubuntu packaging for WireGuard. More info may be found at its website, listed below.

More info: https://www.wireguard.com/
Packages: wireguard wireguard-tools wireguard-dkms

Install with: $ apt install wireguard

For help, please contact 
 More info: https://launchpad.net/~wireguard/+archive/ubuntu/wireguard
Press [ENTER] to continue or ctrl-c to cancel adding it

# 这里会提示你是否继续，点击 回车键 继续，点击 Ctrl+C 键退出。
# 然后输出大概如下内容。

gpg: keyring '/tmp/tmp8bgitjjx/secring.gpg' created
gpg: keyring '/tmp/tmp8bgitjjx/pubring.gpg' created
gpg: requesting key 504A1A25 from hkp server keyserver.ubuntu.com
gpg: /tmp/tmp8bgitjjx/trustdb.gpg: trustdb created
gpg: key 504A1A25: public key "Launchpad PPA for wireguard-ppa" imported
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)
OK

# 以上为输出示例内容（仅供参考）

安装WireGuard

然后我们就可以开始安装 WireGuard 了。

# 更新一下软件包源
apt update

# 开始安装 WireGuard ，resolvconf 是用来指定DNS的，旧一些的系统可能没装。
apt install wireguard resolvconf -y

验证是否安装成功

点击展开查看更多

当你通过上面的步骤安装完后，请用下面的代码验证一下是否安装成功。

lsmod | grep wireguard
# 执行该代码后，提示大概如下示例内容（仅供参考），第一行是必须要有的，至于下面的两行不同系统似乎还不一样，但是不影响使用。

[email protected]:~# modprobe wireguard && lsmod | grep wireguard
wireguard             212992  0
ip6_udp_tunnel         16384  1 wireguard
udp_tunnel             16384  1 wireguard

配置步骤

点击展开查看更多

生成密匙对

当你确定安装成功后，就要开始配置服务端和客户端的配置文件了。放心，这很简单。

# 首先进入配置文件目录，如果该目录不存在请先手动创建：mkdir /etc/wireguard
cd /etc/wireguard

# 然后开始生成 密匙对(公匙+私匙)。
wg genkey | tee sprivatekey | wg pubkey > spublickey
wg genkey | tee cprivatekey | wg pubkey > cpublickey

查看主网卡名称

先查看一下你的主网卡名是什么：

ip addr
# 执行命令后，示例如下（仅供参考），lo 是本地环回 忽略，eth0 就是主网卡名了。
# 写着你的服务器外网IP的(下面 X.X.X.X 处)，就是你的主网卡，NAT的服务器则是显示内网IP。
# 如果你拿不准哪个网卡是主网卡，请留言询问。

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:16:3c:cf:89:73 brd ff:ff:ff:ff:ff:ff
    inet X.X.X.X/25 brd 255.255.255.255 scope global eth0
       valid_lft forever preferred_lft forever

生成服务端配置文件

如需要添加多个用户，请看教程：WireGuard —— 多用户配置教程

接下来就开始生成服务端配置文件：

# 井号开头的是注释说明，用该命令执行后会自动过滤注释文字。
# 下面加粗的这一大段都是一个代码！请把下面几行全部复制，然后粘贴到 SSH软件中执行，不要一行一行执行！

echo "[Interface]
# 服务器的私匙，对应客户端配置中的公匙（自动读取上面刚刚生成的密匙内容）
PrivateKey = $(cat sprivatekey)

# 本机的内网IP地址，一般默认即可，除非和你服务器或客户端设备本地网段冲突
Address = 10.0.0.1/24 

# 运行 WireGuard 时要执行的 iptables 防火墙规则，用于打开NAT转发之类的。
# 如果你的服务器主网卡名称不是 eth0 ，那么请修改下面防火墙规则中最后的 eth0 为你的主网卡名称。
PostUp   = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 停止 WireGuard 时要执行的 iptables 防火墙规则，用于关闭NAT转发之类的。
# 如果你的服务器主网卡名称不是 eth0 ，那么请修改下面防火墙规则中最后的 eth0 为你的主网卡名称。
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# 服务端监听端口，可以自行修改
ListenPort = 443

# 服务端请求域名解析 DNS
DNS = 8.8.8.8

# 保持默认
MTU = 1420

# [Peer] 代表客户端配置，每增加一段 [Peer] 就是增加一个客户端账号，具体我稍后会写多用户教程。
[Peer]
# 该客户端账号的公匙，对应客户端配置中的私匙（自动读取上面刚刚生成的密匙内容）
PublicKey = $(cat cpublickey)

# 该客户端账号的内网IP地址
AllowedIPs = 10.0.0.2/32"|sed '/^#/d;/^\s*$/d' > wg0.conf

# 上面加粗的这一大段都是一个代码！请把下面几行全部复制，然后粘贴到 SSH软件中执行，不要一行一行执行！

生成客户端配置文件

接下来就开始生成客户端配置文件：

# 井号开头的是注释说明，用该命令执行后会自动过滤注释文字。
# 下面加粗的这一大段都是一个代码！请把下面几行全部复制，然后粘贴到 SSH软件中执行，不要一行一行执行！

echo "[Interface]
# 客户端的私匙，对应服务器配置中的客户端公匙（自动读取上面刚刚生成的密匙内容）
PrivateKey = $(cat cprivatekey)

# 客户端的内网IP地址
Address = 10.0.0.2/24

# 解析域名用的DNS
DNS = 8.8.8.8

# 保持默认
MTU = 1420
[Peer]
# 服务器的公匙，对应服务器的私匙（自动读取上面刚刚生成的密匙内容）
PublicKey = $(cat spublickey)

# 服务器地址和端口，下面的 X.X.X.X 记得更换为你的服务器公网IP，端口请填写服务端配置时的监听端口
Endpoint = X.X.X.X:443

# 因为是客户端，所以这个设置为全部IP段即可
AllowedIPs = 0.0.0.0/0, ::0/0

# 保持连接，如果客户端或服务端是 NAT 网络(比如国内大多数家庭宽带没有公网IP，都是NAT)，那么就需要添加这个参数定时链接服务端(单位：秒)，如果你的服务器和你本地都不是 NAT 网络，那么建议不使用该参数（设置为0，或客户端配置文件中删除这行）
PersistentKeepalive = 25"|sed '/^#/d;/^\s*$/d' > client.conf

# 上面加粗的这一大段都是一个代码！请把下面几行全部复制，然后粘贴到 SSH软件中执行，不要一行一行执行！

接下来你就可以将这个客户端配置文件 [/etc/wireguard/client.conf] 通过SFTP、HTTP等方式下载到本地了。

不过我更推荐，SSH中打开显示配置文件内容并复制出来后，本地设备新建一个文本文件 [xxx.conf] (名称随意，后缀名需要是 .conf) 并写入其中，提供给 WireGuard 客户端读取使用。

cat /etc/wireguard/client.conf

其他剩余其他操作：

# 赋予配置文件夹权限
chmod 777 -R /etc/wireguard

# 打开防火墙转发功能
echo 1 > /proc/sys/net/ipv4/ip_forward
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

启动WireGuard

点击展开查看更多

wg-quick up wg0
# 执行命令后，输出示例如下（仅供参考）

[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip address add 10.0.0.1/24 dev wg0
[#] ip link set mtu 1420 dev wg0
[#] ip link set wg0 up
[#] resolvconf -a tun.wg0 -m 0 -x
[#] iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 如果此处没有报错：RTNETLINK answers: Operation not supported，且输入内容差不多，那么说明启动成功了！

停止WireGuard

wg-quick down wg0

查询WireGuard状态

wg

开机启动

注意：Ubuntu 14.04 系统默认是没有 systemctl 的，所以无法配置开机启动。

# 设置开机启动
systemctl enable [email protected]
# 取消开机启动
systemctl disable [email protected]

其他说明

我也是昨天(11/09)才开始研究 WireGuard ，所以很多地方我也不懂，如果有哪里写错了请记得提醒我，有什么需要补充的也请告诉我，谢谢~

参考脚本：https://github.com/yobabyshark/wireguard

参考教程：https://www.wireguard.com/install/

参考教程：https://git.zx2c4.com/WireGuard/about/src/tools/man/wg-quick.8

转载请超链接注明：逗比根据地 » 一个高速、安全、可以复活被墙IP的VPN —— WireGuard 服务端手动教程

责任声明：本站一切资源仅用作交流学习，请勿用作商业或违法行为！如造成任何后果，本站概不负责！

(97)个小伙伴在吐槽

Cannot find device "wg0"是怎么回事
caciko2018-11-11 21:17 回复
- 什么系统？
  Toyo2018-11-11 22:59 回复

安装第一步就失败了……
vultr的Debian 8
在网上找了一会儿 添加了8888的dns 无用
Reading package lists... Done
Building dependency tree       
Reading state information... Done
Package linux-headers-4.9.0-040900-generic is not available, but is referred to by another package.
This may mean that the package is missing, has been obsoleted, or
is only available from another source

E: Package 'linux-headers-4.9.0-040900-generic' has no installation candidate

abot2018-11-11 21:14 回复

Vultr Debian 8 64x 我测试是通过的（实际上这个教程写之前我就是用 Vultr 的 Debian8 9 Ubuntu14.04 16.04 18.04 18.0 系统全部做了一遍测试，没问题了才开始写教程）。
既然我的能用，说明还是你哪里操作有问题。
Toyo2018-11-11 22:59 回复

配置文件格式说明：
https://git.zx2c4.com/WireGuard/about/src/tools/man/wg.8
https://git.zx2c4.com/WireGuard/about/src/tools/man/wg-quick.8
solaroi2018-11-11 19:28 回复
看了下面评论，感觉大家都舍本逐末了。直接看官方文档就好了：
https://www.wireguard.com/
https://git.zx2c4.com/WireGuard/about/src/tools/man/wg-quick.8
https://git.zx2c4.com/WireGuard/about/src/tools/man/wg-quick.8
问题：wg的并发性能如何呢？多用户共用一个peer还是为每个用户指定一个peer？希望有条件的大佬测试下，最好和ss或vmess对比下。
solaroi2018-11-11 19:26 回复
- 我估计差不多，主要是分开 peer 更方便管理，不想某个人用的话，直接删掉。
  Toyo2018-11-11 19:34 回复

多个用户是放一个peer里面好还是分别创建peer好呢？

solaroi2018-11-11 19:04 回复

# 重新生成一对客户端密匙
wg genkey | tee cprivatekey1 | wg pubkey > cpublickey1

# 查看客户端公匙
cat cpublickey1

# 查看客户端私匙
cat cprivatekey1

# 服务器上执行(新增一个 peer 客户端配置，密匙和客户端内网IP地址)：
wg set wg0 peer $(cat cpublickey1) allowed-ips 10.0.0.3/32

# 然后查看wg状态
wg
# 大概输出如下：
interface: wg0
  public key: xxxx
  private key: (hidden)
  listening port: 443

peer: xxxx
  allowed ips: 10.0.0.2/32

peer: xxxx (新客户端账号的公匙)
  allowed ips: 10.0.0.3/32 (新客户端账号的内网IP地址)

# 然后保存到配置文件
wg-quick save wg0

# 最后你自己复制一份原来 10.0.0.2 的那个客户端配置文件，将里面 [Interface] 中的 PrivateKey 后面改成新客户端账号的私匙，Address 后面改成新客户端账号的内网IP地址 10.0.0.3/24
# 客户端导入新客户端账号就能用了。

大概就是这样了，稍后我会单独写个多用户教程。

Toyo2018-11-11 19:32 回复

麻烦再写个多用户的教程，谢谢
TAO2018-11-11 18:03 回复
lsmod | grep wireguard 执行这句什么反应都没有，是成功了还是没有成功？ ubuntu16.04
王七2018-11-11 17:57 回复
- 那你试试这个命令：
```
modprobe wireguard && lsmod | grep wireguard
```
  如果也没有任何反应，说明你安装失败了。
  Toyo2018-11-11 18:45 回复
  - 之前那条命令有显示了，延迟显示了
    王七2018-11-11 19:56 回复
  - Xen 的vps可以跑吗？我用的ikoula 的vps 是 Xen的照你这个来的，连接不上，windows上日志出现这些玩意： [20:21:47] Sending handshake... [20:21:52] Retrying handshake, attempt 2... [20:21:58] Retrying handshake, attempt 3... [20:22:03] Retrying handshake, attempt 4... [20:22:09] Retrying handshake, attempt 5... [20:22:14] Retrying handshake, attempt 6... [20:22:20] Retrying handshake, attempt 7... [20:22:26] Retrying handshake, attempt 8...
    王七2018-11-11 20:24 回复
    - 这就是连不上，客户端不停的重试。
      估计还是服务器方面配置有问题，XEN 也分全虚拟化和半虚拟化两种，不过我没测试过(没设备)，我只在 KVM 上测试过。
      Toyo2018-11-11 20:25 回复
      - 另外试了一台KVM的，连接成功，对比两台vps，确认所有步骤一样以及配置没有差漏，Xen的就是不行。不知道是不支持还是怎么。嘘...不折腾了，安了。顺便吐槽下官版的安卓app居然是勾选上的不走代理，百来个app愣是勾选的一点脾气都没有了，不知道开发者是不是脑抽了才弄出个这么不人性化的玩意儿！可气的居然没有全选啊！！！
        王七2018-11-11 22:38 回复
      - 还有就是，一个peer，我在电脑连接上了，再在手机上连接，速度相比单独只连接其中一个，要迟缓很多。我试着将电脑上的客户端退出，这时候会感觉手机上的上网速度明显变快了！！！
        王七2018-11-11 22:44 回复
        
        我下午测试的时候没遇到这种问题。
        一个 Peer 可以最多同时有两百多个客户端链接。
        Toyo2018-11-11 23:01 回复
```
[14:54:49] Loading file: D:\Program Files\TunSafe\Config\client.conf
[14:54:49] Missing = on line: NG -o ens4 -j MASQUERADE
[14:54:49] Missing = on line: NG -o ens4 -j MASQUERADE
[14:54:49] Error parsing [Peer].PrivateKey = 6BTrywFij4GCZ4RsnoJ0ayZ45TTgFt

请教一下。客户端连接 这个是什么问题？
```
lxww2018-11-11 15:13 回复
- 这个错误。。。你难道把服务端配置文件下载下来导入到客户端里了？
  Toyo2018-11-11 15:45 回复
  - 我自己不细心。配置的 client.conf 的时候多复制了代码进去。现在已经能连上了。GOOGLE CLOUD 香港的节点 wireguard测试了油管4K,稳定30000Kbps左右, SSR+锐速 40000Kbps，我还是继续ssr算了
    lxww2018-11-11 15:56 回复
貌似就是把用户管理集成到一个tun里面去了，对上层来说是透明的
solaroi2018-11-11 14:25 回复
真的不是重复造轮子。。别人的V2脚本没有多用户，不如你也写一个功能更强的V2脚本。
ache2018-11-11 14:04 回复
在麻花疼他家的小水管机器装了这个，握手总不成功，端口已放开，想看看日志文件，不知道怎么看
lala2018-11-11 12:55 回复
如何实现智能代理？这个走的是全局？
day2018-11-11 12:39 回复
- 正在写教程。
  Toyo2018-11-11 13:00 回复
Toyo我错了，我没看清楚。。。。
saya2018-11-11 12:20 回复
想请问下，这个WireGuard是走什么端口的
saya2018-11-11 12:19 回复
请问这个vpn会被墙吗，流量特征多吗？
Dave2018-11-11 11:56 回复
- 不知道，现在没多少人用，是否容易被墙也要用的人多了才会知道。
  而且 WireGuard 是走UDP的，被墙IP的服务器也能搭建使用，除非全协议阻断(目前基本都是TCP阻断)，否则是不影响的。
  Toyo2018-11-11 12:09 回复
ubuntu1404没有systemctl...那这个如何设置开机启动？谢谢老师
day2018-11-11 11:23 回复
- 无法配置开机启动。
  只能在安装 WireGuard 之前，自己找教程安装好 systemctl 。
  Toyo2018-11-11 11:57 回复
呃我在想这个怎么才能分流,白皮书看完了，是一个天才协议，实现超级简单，代码风格超棒
可爱多2018-11-11 10:59 回复

昨天试了三种vps GCP香港和Vutrl kvm虚拟化的机器都可以用
有一台辣鸡使用虚拟化技术是Proxmox VE容器化，安装不成功，尝试升级内核也不行

uname -a
Linux  4.15.18-7-pve #1 SMP PVE 4.15.18-26 (Thu, 04 Oct 2018 11:03:06 +0200) x86_64 GNU/Linux

apt install linux-headers-$(uname -r) -y
E: 无法定位软件包 linux-headers-4.15.18-7-pve
E: 无法按照 glob ‘linux-headers-4.15.18-7-pve’ 找到任何软件包
E: 无法按照正则表达式 linux-headers-4.15.18-7-pve 找到任何软件包

sRGB2018-11-11 09:52 回复

谷歌云（Debian9）按步骤操作，确定wireguard是否安装成功显示“modprobe: FATAL: Module wireguard not found in directory /lib/modules/4.11.8-041108-generic”
41fun2018-11-11 07:27 回复
- 那还是安装失败了，换 Ubuntu16.04/18.04 系统试试吧，Ubuntu 的PPA是神器，成功率更高。
  Toyo2018-11-11 12:01 回复
可以复活被TCP阻断的IP的，直接走UDP路线，我亲自试过了，虽然写着需要TCP握手，但是可能不握手也能用
sdshdv2018-11-11 04:06 回复
- 我也是看别人教程学习的，不过似乎好多坑。。。我一会试试。
  Toyo2018-11-11 12:03 回复
[email protected]:~# systemctl enable [email protected] #开机启动 systemctl: command not found #错误我是ubuntu 14.04 64bits
day2018-11-10 22:07 回复
- 又是不看文章？https://doub.io/wg-jc1/#开机启动
  明确写了：注意：Ubuntu 14.04 系统默认是没有 systemctl 的，所以无法配置开机启动。
  Toyo2018-11-10 22:32 回复
既然是全程UDP, 那改个端口就可以绕过校园网断网限制了哈, 懂得自然懂
暴打维尼2018-11-10 22:01 回复
- 我也是校园网，这个WireGuard连接后，本地的拨号上网就会断开。怎么解决呢？
  vince2018-11-11 00:21 回复
- TCP握手了解下？🤣
  Tom2018-11-11 09:59 回复
  - 测试了下，不需要TCP握手，我已经修改文字了。
    Toyo2018-11-11 12:52 回复
toyo,我安装教程里的步骤配置好了,但是用WINDOWS连接后无法上网,可以连接上,但是除了内网没法连接外网呢.
shadowthief2018-11-10 21:29 回复
- 我也是刚了解 WireGuard ，目前网上没几个 WireGuard 教程，所以也不清楚一些情况该如何解决。
  Toyo2018-11-10 22:36 回复
digitalocean debian9 失败.....能连上但是ping不通
cosmosbreak2018-11-10 21:05 回复
WireGuard目前被墙的几率大吗？此款VPN有什么特别之处，速度确实不错，需要增加客户端执行哪几部？
阳阳2018-11-10 20:15 回复
- WireGuard 是走UDP的，被墙IP的服务器也能搭建访问，不用担心被墙，除非你很倒霉的碰到了全协议阻断（目前基本都是TCP阻断）。
  Toyo2018-11-11 12:55 回复
逗比大兄弟，我用了你的这个教程，最后怎么都连不上，然后我看到你这个监听端口是443，怎么看怎么熟悉，这不是HTTPS的端口吗？后来我寻思把这个改了，然后你猜怎么着？成了！所以我建议要不要把这个端口号给改成个不常用的，不然好多人直接复制了拿来用，最后没搞成功也不知道是怎么个回事
大鸡兄弟2018-11-10 20:13 回复
- 我昨天测试教程的时候，测试了十几遍，443 端口都没问题。
  Toyo2018-11-10 22:34 回复
请问一下，用Debian 9系统，WireGuard。v2ray,SS,这三个能共存吗？
阳阳2018-11-10 20:12 回复
- 不会互相影响，只要端口不一样。
  Toyo2018-11-10 22:35 回复
Toyo：BlockDNS = true我这边不能这么配置，具体是为什么呢？
可爱多2018-11-10 19:52 回复
- 那就删掉。
  Toyo2018-11-10 22:37 回复
搭建ok没网咋回事?
laohu2018-11-10 18:41 回复
OpenVZ 是不是没戏了？手动配置：OpenVZ VPS运行ip link add dev wg0 type wireguard会报RTNETLINK answers: Operation not supported
Vehicle_Go2018-11-10 18:18 回复
- 开头说了 OpenVZ 不支持。
  Toyo2018-11-10 18:23 回复
导入文件后没提示：CONFIGRATION ERROR....UNBALE TO FIND ID OF TAP ADAPTER..PLEASE ENSURE THAT THE TUNSAFE TAP IS PROPERLY INSTALLED.........老师，出一个意见脚本吧。。。。谢谢。。。你的脚本一直用，太好！！
day2018-11-10 17:50 回复
- 这是客户端方面的问题，找不到TAP虚拟网卡，和服务端无关。
  Toyo2018-11-10 18:25 回复
  - 恩。的确，换了一个客户端再次安装就完全可以了，速度好快，但是比KCP,BBR还是慢很多啊。
    day2018-11-10 18:44 回复

1. ip addr这一步必须ma?
2. 生成客户端配置文件===我全部按照你这个，修改了XX.XXX.XXX。为自己的IP...客户端不能连接，显示unable to find id of tap
echo "[Interface]
# 私匙，自动读取上面刚刚生成的密匙内容
PrivateKey = $(cat cprivatekey)
# VPN内网IP范围
Address = 10.0.0.2/24
# 拦截并强制所有DNS走VPN
BlockDNS = true
# 解析域名用的DNS
DNS = 8.8.8.8
# 保持默认
MTU = 1420
[Peer]
# 公匙，自动读取上面刚刚生成的密匙内容
PublicKey = $(cat spublickey)
# 服务器地址和端口，下面的 X.X.X.X 记得更换为你的服务器公网IP，端口根据服务端配置时的监听端口填写
Endpoint = X.X.X.X:443
# 转发流量的IP范围，下面这个代表所有流量都走VPN
AllowedIPs = 0.0.0.0/0, ::0/0
# 保持连接（具体我也不清楚）
PersistentKeepalive = 25" > client.conf

day2018-11-10 16:41 回复

ip addr 这一步是让你查看系统主网卡名称的，如果是 eth0 那么就不用管了，如果不是则生成服务端配置文件时需要修改。
你这个错误提示应该是本地安装 TAP 虚拟网卡有问题，VPN 客户端找不到 TAP 虚拟网卡。
Toyo2018-11-10 17:24 回复

如果在搬瓦工上安装了WireGuard，一旦迁移了机房，IP地址变了，是否需要重新安装WireGuard？
fxmouse2018-11-10 16:29 回复
- 不需要呀，只需要修改客户端配置文件里的服务器IP就行了。
  Toyo2018-11-10 17:21 回复
太繁琐了，看得晕头转向，不会弄
夜凰2018-11-10 16:09 回复
- 步骤很简单的，如果这么简单且详细的都看不懂，那么你可能只适合于一键脚本了。
  Toyo2018-11-10 16:15 回复
还需要安装锐速或BBR吗？
Ilove2q42018-11-10 14:11 回复
- 不需要，WireGuard 是UDP传输的。
  Toyo2018-11-10 14:31 回复
  - 如果vps上原来安装了brook，想再装wireguard的话必须重装系统，然后安装wireguard,再安装brook+BBR/锐速？
    ilove2q42018-11-10 14:52 回复
    - 因为 wireguard 依赖于内核，所以我不清楚如果更换了内核是BBR是否会对其造成影响，你可以先不重装，照着教程安装试试。
      Toyo2018-11-10 15:09 回复
逗比，我刚想把这个推荐给你，让你给我们这些小白做个介绍，尝个鲜，然后来到你的网站，检查了一下广告插件是否白名单，就看到了wireguard教程，开心，我在网上看到有人说wireguard被美国议员推荐https://yuesheng01.blogspot.com/2018/07/vpn-wireguard.html?m=1就是这个网页，里面提到有一个商业VPN在开放wireguard试用，https://www.azirevpn.com/wireguard不想自己动手的可以试试。我现在在用v2ray，用官网的一键脚本装了，稍作修改，使用mkcp，开启动态端口，发现速度不是一般的快，秒杀brook和默认的tcp协议，请教逗比我这样做是不是将我的IP置于被封的风险中，如果没啥事希望逗比做个教程，分享给大家。同时我在v2ray伪装里也看到了wireguard。
Vehicle_Go2018-11-10 13:57 回复
Warning: `/etc/wireguard/wg0.conf' is world accessible 怎么搞？服务端配置文件有问题
Makudoo2018-11-10 13:24 回复
- 不用管，没影响。
  Toyo2018-11-10 13:43 回复
我在mac上面试了，超级快
可爱多2018-11-10 13:01 回复
qrencode -t ansiutf8 < /Users/xie/Desktop/wg.conf 可以用这个生成配置二维码
可爱多2018-11-10 12:41 回复
- 好用，谢谢！
  day2018-11-11 15:12 回复
我用的安卓，因为这一句配置无法导入，头疼。。。
可爱多2018-11-10 12:34 回复
BlockDNS = true 好像有问题
可爱多2018-11-10 12:31 回复
请问这个可以代替ss或者v2ray日常使用吗？
凤凰阿歇特2018-11-10 09:26 回复
- 这个貌似只有全局模式？没有pac之类的代理规则…………
  Anaheim2018-11-11 11:41 回复
  - Windows 客户端的话，可以通过路由表来实现国内外IP分流，我正在研究。
    Toyo2018-11-11 11:56 回复
另外我还是有些不明白，为什么要“查看主网卡名称”。我看你用xx掉了一些地址。“ inet X.X.X.X/25 brd 255.255.255.255 scope global eth0”，请问这些地址以后要写在哪里？非常感谢。
Charles2018-11-10 03:49 回复
- 昨天写的时间太长，忘掉说明这点了，我已经更新文章加上了，这个网卡名是用于生成服务端配置文件中的防火墙规则代码处，我添加了一段注释内容。
  Toyo2018-11-10 13:55 回复

谢谢教大家新的玩法。
我在执行最后一步启动：/etc/wireguard# wg-quick up wg0
Warning: `/etc/wireguard/wg0.conf' is world accessible
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip address add 10.0.0.1/24 dev wg0
[#] ip link set mtu 1420 dev wg0
[#] ip link set wg0 up
[#] resolvconf -a tun.wg0 -m 0 -x
[#] iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

请问为什么是world accessible?指的是现在全世界都可以密码连接；还是安全度不够，全世界都可以随便使用。

谢谢

Charles2018-11-10 03:47 回复

只要知道两个密匙和服务器IP与端口的都可以连接。
Toyo2018-11-10 13:49 回复

厉害了呀
iblis2018-11-10 03:15 回复
前两天我在tg群呼吁过，谢谢！
一坨牛屎2018-11-10 00:46 回复
今天才11.09
蜗牛2018-11-09 23:20 回复
- 尴尬，写晕头了。
  Toyo2018-11-09 23:28 回复
我是穿越到11月19号来了吗
1232018-11-09 22:44 回复
“chmod 777 -R /etc/wireguard”，这个操作不需要吧。
iamevnahe2018-11-09 21:46 回复
- 这个没有测试，不过影响不大。
  Toyo2018-11-09 23:29 回复
有空试试
度阡2018-11-09 21:01 回复

1 2 »

逗比根据地 – 世界那么逗，我想出去看看

一个高速、安全、可以复活被墙IP的VPN —— WireGuard 服务端手动教程

WireGuard简单介绍

更少的代码

更容易部署

更安全的加密

Linux之父的评价：

前提要求

Debian安装步骤

安装内核

安装WireGuard

Ubuntu安装步骤

配置PPA

安装WireGuard

验证是否安装成功

配置步骤

生成密匙对

查看主网卡名称

生成服务端配置文件

生成客户端配置文件

其他剩余其他操作：

启动WireGuard

停止WireGuard

查询WireGuard状态

开机启动

其他说明

Hi，您需要填写昵称和邮箱！