主页 / server / 问题 / 1165086
Accepted
southmountain
Asked: 2024-09-11 17:11:29 +0800 CST

同一服务器上的两个 wireguard 接口具有相同的端口 (51820)，但 IP 范围不同

  • 772

我正在尝试在服务器上设置两个（或更多）具有相同端口但不同（不重叠） IP 范围的 wireguard 接口。

端口相同的原因是由于连接被转发到 wireguard 服务器上的端口 51820，我们希望避免在 wireguard 服务器之外更改详细信息。

我的想法是将本地地址端口从当前的 0.0.0.0:51820 更改为例如 wg0 的 10.0.0.0/24:51820 和 wg1 的 10.0.1.0/24:51820。这可行吗？还是我这个解决方案选错了方向？

ip address show wg0 给了我正确的 ip 地址：（10.0.0.1/24，wg1 为 10.0.1.1/24），但 ss -tuln 显示本地地址端口为 0.0.0.0:51820。

我还想删除端口 51820 上与 wg0 和 wg1 对应的 IP 范围之外的所有消息。

服务器在 ubuntu 22.04.4 LTS 上运行。

澄清：

问题是我无法添加具有相同监听端口但不同 IP 范围的第二个接口。

例如：wgX.conf 为：
[Interface]
PrivateKey = unique-key-for-each-X
ListenPort = 51820

命令：ip link add dev wg0 type wireguard
ip address add dev wg0 10.40. 0 .1/24
wg setconf wg0.conf
ip link set up dev wg0

这工作正常，但是当我在不同范围但相同的 listenPort 上添加第二个接口时：

ip link add dev wg1 type wireguard
ip address add dev wg1 10.40. 1 .1/24
wg setconf wg1.conf
ip link set up dev wg1

返回错误“无法设置接口 wg1：RTNETLINK 答案：地址已在使用中”
ip address show wg0 返回
wg0：<POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
link/none
inet 10.40.0.1/24

ss -tuln 返回
udp ... 0.0.0.0:51820 ...

wireguard

2 个回答

  1. 无论地址范围如何，您都不能重复使用相同的 ListenPort，因为只有在接收并解密外部 UDP 数据包后，内部（封装的） IP 地址才会变为已知 - 并且解密要求首先将外部数据包映射到 WG 对等体（因为每个对等体关联都有一个唯一的密钥），并且这需要已经知道 WG 接口。

    （此外，隧道接口为其自身子网之外的网络发送和接收数据包是完全有效的，因此即使知道内部 IP 地址，根据该信息选择传入接口仍然是错误的。）

    • 0
  2. Best Answer

    您不能让两个 wireguard 接口监听同一个端口。

    您可以让两个不同的 wireguard 接口监听不同的端口，然后使用 netfilter 规则重定向流量以实现您的目标。

    例如：

    在服务器上node0，我们有两个 wireguard 接口；wg0监听端口 50010 和wg1监听端口 50011：

    interface: wg0
  public key: kItlicrv7nquOmPGP6oMNJkl0wwPbOqSBUBpgagJ9EQ=
  private key: (hidden)
  listening port: 50010

interface: wg1
  public key: IydnbKb7fh+kCRdubNY55YOnvIs9Xfo2WJtAARsaYQs=
  private key: (hidden)
  listening port: 50011

    wg0正在使用网络范围10.0.10.0/24：

    3: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none
    inet 10.0.10.1/24 scope global wg0
       valid_lft forever preferred_lft forever

    并且wg1正在使用10.0.11.0/24：

    4: wg1: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none
    inet 10.0.11.1/24 scope global wg1
       valid_lft forever preferred_lft forever

    为了实现你使用同一端口不同监听ip的目的，我们给服务器分配多个地址：

    2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 52:54:00:c7:ae:e3 brd ff:ff:ff:ff:ff:ff
    altname enp1s0
    inet 192.168.124.102/24 brd 192.168.124.255 scope global dynamic noprefixroute eth0
       valid_lft 2149sec preferred_lft 2149sec
    inet 192.168.124.210/24 scope global secondary eth0
       valid_lft forever preferred_lft forever
    inet 192.168.124.211/24 scope global secondary eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::5054:ff:fec7:aee3/64 scope link noprefixroute
       valid_lft forever preferred_lft forever

    然后添加几个 NAT 规则。连接到 的客户端192.168.124.210:51820将连接到wg0，连接到 的客户端192.168.124.211:51820将连接到wg1：

    -A PREROUTING -d 192.168.124.210/32 \
  -p udp --dport 51820 \
  -j REDIRECT --to-ports 50010
-A PREROUTING -d 192.168.124.211/32 \
  -p udp --dport 51820 \
  -j REDIRECT --to-ports 50011

    在连接到（10.0.10.0/24）的客户端上wg0，我们使用以下配置：

    [Interface]
PrivateKey = ...
ListenPort = 51820

[Peer]
PublicKey = kItlicrv7nquOmPGP6oMNJkl0wwPbOqSBUBpgagJ9EQ=
AllowedIps = 10.0.10.0/24
Endpoint = 192.168.124.210:51820

    在连接到（10.0.11.0/24）的客户端上wg1，我们使用：

    [Interface]
PrivateKey = ...
ListenPort = 51820

[Peer]
PublicKey = IydnbKb7fh+kCRdubNY55YOnvIs9Xfo2WJtAARsaYQs=
AllowedIps = 10.0.11.0/24
Endpoint = 192.168.124.211:51820

    就是这样：您有两个与不同网络范围关联的 wireguard 接口。客户端连接到服务器上的同一端口 (51820)，但根据所需的网络使用不同的目标地址。

    • 0

相关问题