主页 / server / 问题 / 1096994
Accepted
Daniel
Asked: 2022-03-26 00:22:50 +0800 CST

如何配置wireguard以转发客户端IP地址（带网关）？

  • 772

我正在尝试将wireguard 配置为VPN 服务器。主要问题是，网关仅将 VPN 服务器 IP 转发到其他服务器，而不是我的客户端 IP。

我的设置如下：

                                                        - server A (10.10.0.4)
                                                      /
CLIENT (10.10.1.3) -> wireguard server (10.10.1.2) -- 
                                       (10.10.0.2)    \
                                                        - server B (10.10.0.3)

Wireguard 服务器运行在具有两个接口的机器上：

  • eth0 (10.10.0.2)
  • wg0 (10.10.1.2)

建立 VPN 连接后，我可以连接到服务器 A 和服务器 B（通过 ssh）。问题是，wireguard 服务器的 IP 地址被转发（nat）到服务器 A 和 B。通过 ssh 登录每次都向我显示，最后一个连接来自 10.10.0.2（在服务器 A 和 B 上）。但是在wireguard服务器上，最后登录的IP是我的真实客户端IP（10.10.1.3）。

我要做的是配置wireguard，以便我的IP（10.10.1.3）正确转发到服务器A和B。

这是我的客户端wireguard 配置文件：

[Interface]
PrivateKey = xxx
Address = 10.10.1.3/24
DNS = 10.10.0.2, 8.8.8.8

[Peer]
PublicKey = XXX
AllowedIPs = 10.10.0.0/24
Endpoint = xxx.xxx.xxx.xxx:41194
PersistentKeepalive = 15

我的wireguard服务器（wg0.conf）配置：

[Interface]
Address = 10.10.1.2/24

## My VPN server port ##
ListenPort = 41194

PrivateKey = xxx

# Internet Gateway config: nat wg1 out to the internet on ens10
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
## Desktop/client VPN public key ##
PublicKey = xxx

AllowedIPs = 10.10.1.3/32

我猜是 iptables 配置错误，因为 nat / MASQUERADE，但我无法正确配置网关。

我感谢您的帮助。

更新

在服务器 A 上执行（在 B 上相同）

ip -br link; ip -br address; ip route

返回（公共 IP 被屏蔽）：

lo               UNKNOWN        00:00:00:00:00:00 <LOOPBACK,UP,LOWER_UP>
eth0             UP             96:00:01:29:d6:9b <BROADCAST,MULTICAST,UP,LOWER_UP>
ens10            UP             86:00:00:08:9c:c5 <BROADCAST,MULTICAST,UP,LOWER_UP>
lo               UNKNOWN        127.0.0.1/8 ::1/128
eth0             UP             10.10.0.3/32  fe80::9400:1ff:fe29:d69b/64
ens10            UP             49.xxx.xxx.xxx/32  2a01:xxx:xxx:xxx::1/64  fe80::8400:ff:fe08:9cc5/64
default via 172.31.1.1 dev ens10 proto dhcp src 49.xxx.xxx.xxx metric 100
10.10.0.0/16 via 10.10.0.1 dev eth0
10.10.0.1 dev eth0 scope link
172.31.1.1 dev ens10 proto dhcp scope link src 49.xxx.xxx.xxx metric 100
networking iptables gateway wireguard

1 个回答

  1. Best Answer

    NAT 是由配置完成的，因此您可以按要求获得 NAT。为避免使用 NAT，您必须：

    • 确保终端服务器 A 和 B 具有返回客户端的真实路由

      如果不是这样，至少在 A 和 B 上添加这个（如果运行 Linux）：

      ip route add 10.10.1.3/32 via 10.10.0.2

      更新：OP 的路由设置（在云中）使 A 和 B 到 10.10.0.2（甚至彼此之间）的流量通过额外的路由器 10.10.0.1（云网络的一部分）。因此，必须在这部分添加路线，正如 OP 所确认的那样。

    • 删除wireguard服务器上的NAT

      只需删除iptables两个 WireGuard PostUp和PostUp配置中的第二个命令，并确保没有先前添加的条目，只运行这次：

      iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

    • 可选：AllowedIPs客户端更新

      如果客户端想要使用其隧道端而不是 eth0 端的服务器地址来访问 Wireguard 服务器，或者要确保接收到由 Wireguard 服务器发回的 ICMP（例如：traceroute在没有 的情况下访问服务器 A * * *），10.10.1.2 也应该是AllowedIPs为了满足WireGuard 的加密密钥路由。

      在客户端替换：

      AllowedIPs = 10.10.0.0/24

      和：

      AllowedIPs = 10.10.1.2,10.10.0.0/24
    • 1

相关问题