WireGuard 配置和上網流量優化

本文涉及到 WireGuard 的使用介紹、國內外流量的分流等內容

WireGuard 安裝
在使用 WireGuard 之前，需要分別在服務器和本地安裝。

由于本人的服務器上使用 debian 9、本地使用 Arch Linux，因此這里只給出這兩種系統上的安裝方式，其他系統上的安裝可以在官網找到。

Debian

echo "deb http://deb.debian.org/debian/ unstable main" > /etc/apt/sources.list.d/unstable.list
printf 'Package: * Pin: release a=unstable Pin-Priority: 150 ' > /etc/apt/preferences.d/limit-unstable
apt update
apt install wireguard

Arch Linux

pacman -S wireguard-dkms wireguard-tools

WireGuard 配置
WireGuard 的配置分為 Interface 和 Peer，其中 Interface 可以認為是對本地機器的配置，而 Peer 是配置連進來的機器的

在服務器和本地的大部分配置是一樣的，先添加一個接口：

ip link add wg0 type wireguard
如果報錯，并提示 RTNETLINK answers: Operation not supported，先檢查下 wireguard 模塊是否已經加載：

lsmod | grep wireguard
如果沒有加載，試下執行 modprobe wireguard，如果報錯，重啟下機器。

在服務器端為 wg0 添加一個地址 192.168.128.1/24

ip addr add 192.168.128.1/24 dev wg0
同樣在本地為 wg0 添加另一個地址 192.168.128.254/24

ip addr add 192.168.128.254/24 dev wg0
然后分別在服務器和本地添加 private key

wg set wg0 private-key <(wg genkey)
如果是要用 sudo 來執行的，需要使用以下命令：

sudo bash -c 'wg set wg0 private-key <(wg genkey)'
為服務器添加一個監聽端口，本地使用隨機端口就行了，不需要固定端口：

wg set wg0 listen-port 12345
以上是 Interface 的設置，下面配置 Peer。

首先在服務器上加入本地的 Peer：

需要添加本地的公鑰，可以在本地通過以下命令獲取：

wg show wg0 public-key
獲取到公鑰后，還要獲取本地 wg0 上的 IP 地址（192.168.128.254）加入到 perr 的 AllowIPs 里：

wg set wg0 peer '<本地的公鑰>' allowed-ips <本地 wg0 上設置的 IP 地址，如 192.168.128.254/32>
同樣，把服務器上的公鑰加入本地，這里要把服務器的外網 ip 作為 endpoint，這里以 wireguard.example.org 為例，要不本地就不知道連那臺服務器了：

wg set wg0 peer '<服務器上的公鑰>' allowed-ips 0.0.0.0/0 endpoint wireguard.example.org:12345
注：這里 allowed-ips 使用 0.0.0.0/0，這樣相當于 wireguard 全局生效。

現在 wireguard 的配置基本配好了，可以通過以下命令來啟動：

ip link set dev wg0 up
啟動 wg0 接口，這時可以 ping 下服務器端的地址 ping 192.168.128.1，如果 ping 通說明 wireguard 正常工作了。
如果 ping 不通，檢查下對方的公鑰及 ip 地址是否正確了。

現在本地跟服務器已經在同一個內網上，可以彼此通信了。
但本地現在是無法通過服務器連接到外面的網絡，如果需要通過服務器連接到外面的網絡，要在服務器上設置流量轉發和 NAT 才可以。

轉發與 NAT
首先，檢查下 ip 轉發是否已開啟：

sysctl net.ipv4.ip_forward
如果等于 1 說明已經開啟，否則可以使用：

sysctl net.ipv4.ip_forward=1
來臨時開啟，如果想永久生效，需要編輯 /etc/sysctl.conf 文件，查找到 net.ipv4.ip_forward 這一行，把最前端的 # 號（注釋）去掉，如果其值不為 1 的，改成 1。如果找不到，就把 net.ipv4.ip_forward=1 加在文件最下面。

然后使用命令 sysctl -p 來使其生效。

接下來檢查下 iptables 里 filter 表的 FORWARD 鏈的 policy 是否為 ACCEPT：

iptables -t filter -L FORWARD
如果 policy 為 DROP，需要允許 wg0 接口才行：

iptables -t filter -A FORWARD -i wg0 -j ACCEPT
iptables -t filter -A FORWARD -o wg0 -m state --state RELATED,ESTABLISHED -j ACCEPT
然后看下 nat 表的 POSTROUTING 鏈里是否已經做了出口的 NAT 了（這里假設服務器上連接外網的接口是 eth0）：

iptables -t nat -L POSTROUTING -v
如果還沒有，使用以下命令加上：

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PS：如果出口不是 eth0 接口的，把 eth0 換成正真的出口接口

在服務器設置好后，還要在本地加上路由，把流量轉發到 wg0 接口上。

本地路由
ip route add <endpoint>/32 via <出口接口的網關IP> dev <出口接口>
ip route add default via 192.168.128.1 dev wg0 src 192.168.128.254
配置好后，可以在本地 ping 下 8.8.8.8，如果 ping 的通，并且 tracepath 8.8.8.8 的路由里有 192.168.128.1，說明已經通了。

wg-quick
通過這樣配置后就可以使用 WireGuard 作為 VPN 上網了，但當前配置會在重啟后失效。

如果每次重啟都手動配置的話，比較麻煩。還好，WireGuard 提供了 wg-quick 命令，該命令可以讀取和保存配置文件。

并且 wg-quick 也提供也 systemctl 的服務配置，這樣可以設置開機自啟動。

wg-quick 默認的配置目錄為 /etc/wireguard，文件以 wireguard 的接口名（如上文中的 wg0）為文件名，文件名后綴為 .conf。

以下分別是服務器和本地的配置文件，保存到 /ett/wireguard/wg0.conf：

服務器：

[Interface]
Address = <服務器上設定 wg0 接口的地址，如：192.168.128.1/24>
PrivateKey = <使用 `wg-genkey` 生成的私鑰>
ListenPort = <服務器上 wg0 監聽的端口，如：1234>

[Peer]
PublicKey = <本地的公鑰，可以使用 `echo <本地私鑰> | wg-pubkey` 生成>
AllowedIPs = <本地 wg0 接口上的地址，如：192.168.128.254/32>
本地：

[Interface]
Address = <本地設定 wg0 接口的地址，如：192.168.128.254/24>
PrivateKey = <使用 `wg-genkey` 生成的私鑰>

[Peer]
PublicKey = <服務器的公鑰，可以使用 `echo <服務器私鑰> | wg-pubkey` 生成>
AllowedIPs = 0.0.0.0/0
Endpoint = <服務器外網地址:服務器上 wg0 監聽的端口，如：0.1.2.3:1234>
配置好后，可以使用 wg-quick up wg0 來啟動（注意，如果你按照了上面 [WireGuard 配置](#WireGuard 配置) 命令手動配置過，需要先刪除 wg0 接口和對應的路由才行）。
如果測試沒問題后，可以使用 systemctl enable wg-quick@wg0.service 來設置開機自啟動。

優化國內外流量
通過上面設置好后，雖然可以通過 WireGuard VPN 上網了，但有個問題，這個 VPN 是全局性的，即所有的流量都會從 VPN 里出去。
如果服務器在美國的話，在上國內的網站時，會繞了一圈，延時非常大。這時，我們可以通過策略路由的方式，分流國內外的流量，使國內的流量不用走 VPN。

在上面通過 wg-quick 啟動過，如果本地配置里 AllowedIPs 設置了 0.0.0.0/0，意思是全局生效，其主要也是通過策略路由來實現的。

下面是 wg-quick 啟動時的日志：

[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip address add 192.168.128.254/24 dev wg0
[#] ip link set mtu 1420 dev wg0
[#] ip link set wg0 up
[#] wg set wg0 fwmark 51820
[#] ip -4 route add 0.0.0.0/0 dev wg0 table 51820
[#] ip -4 rule add not fwmark 51820 table 51820
[#] ip -4 rule add table main suppress_prefixlength 0
以上的日志信息可以看出是條條命令來的，通過這些命令，大概可以猜得出 wg-quick 是如何啟動的：

首先使用 ip link add wg0 type wireguard 添加一個名為 wg0、類型為 wireguard 的虛擬接口；

然后通過 wg setconf wg0 /dev/fd/63 加載配置，從 /dev/fd/63 可以看到，配置應該是通過 process substitution 的方式加載進來的；

ip address add 192.168.128.254/24 dev wg0 這條命令上面也提到過，就是為 wg0 接口添加一個 IP 地址的；

ip link set mtu 1420 dev wg0 設置 wg0 接口上的 IP 包的 mtu 值；

ip link set wg0 up 啟動 wg0 接口

wg set wg0 fwmark 51820 為 wg0 接口上的包添加一個 fwmark 值，主要為了下面命令里策略路由用的；

ip -4 route add 0.0.0.0/0 dev wg0 table 51820 為一個 id 為 51820 表添加默認的路由，該路由的通過 wg0 接口

ip -4 rule add not fwmark 51820 table 51820 這條命令就是主要的策略路由，通過以上三條命令就可以實現全局的流量轉發了。

由于策略路由是有優先級的，所以我們可以在把所有國內的 IP 段添加到優先于上面的這條策略路由，這樣就可以不用經過 wg0 接口了。

首先要獲取到國內的 IP 段，可以通過到 apnic 查詢到國內的 IPv4 地址段。

該頁面里的 IPv4 格式是：起始地址|地址數量，但 ip rule 要求 CIDR 格式格式，所以需要轉換下。轉換起來也挺簡單，這里地址數量都是 2 的 n 次方，因此對其以 2 為底求地址數量的對數，然后用 32 減去其對數就可以了。

例如：

apnic|CN|ipv4|45.249.112.0|1024|20160511|allocated
起始地址是 45.249.112.0，數量是 1024，即 2^10，因此可轉換成 CIDR 格式是：45.249.112.0/22，加入到策略路由就是：

ip rule add to 45.249.112.0/22 priority 1024
priority 1024 就是設置優先級的，數字小的優先級高

apnic 里的分配給國內的 IP 段比較分散，我統計了下，大概有 8 千多行。我們不可能手動添加的，因此我寫了一個 Node.js 腳本 來下載 apnic 的最新分配版，然后轉換下，可以導出成一個 shell 腳本來運行， shell 腳本里就是一條條上面的那種命令了。

雖然運行 shell 腳本后，把規則添加到策略路由里了，但這些路由規則也是運行時生效的，下次重啟電腦后需要重新加載。這里可沒有現成的自啟動腳本，難道還要寫個自啟動腳本嗎？

還好 wg-quick 里提供了相應的鉤子，可以在 wg-quick 啟動、關閉時執行一條 shell 命令，這樣我們就可以把上面的 shell 腳本添加到 wg-quick 的配置文件里去了。這樣就不詳細寫了，具體可以看這里的示例。

這里有個問題，由于 shell 腳本里的命令太多了，執行起來需要幾秒的時間。

這里有個方案，就是先導入 shell 腳本一遍，然后使用 ip rule save 導出保存，在 wg-quick 里通過 ip rule restore 還原配置就可以了，這樣速度很多，基本不用 1 秒就可以了。

但是在用 ip rule save 導出時，會把所有的規則都導出來了，包含了系統默認的和 wg-quick 添加的。再導入時，會出現規則重復或混亂的情況。至于怎么解決，這里就不展開說了，有興趣的可以去研究下。

“智能” DNS
下面說下另一個問題。

眾所周知，在國內，有些域名已經被污染了，使用運營商提示的 DNS 服務器解析出來的是不對的 IP。因此我們需要一個安全的 DNS 服務器，CloudFlare 就提供這么一組 DNS 服務器，其提供的 1.1.1.1 和 1.0.0.1 支持 DNS-over-TLS，可以有效的防止被中間人攔擊污染。

但有個問題，在我這里訪問 1.1.1.1 比較慢，ping 1.1.1.1 顯示有 150ms 左右，如果所有的域名都通過 1.1.1.1 來解析的話，一些未被污染的域名訪問起來會受到影響。

還好有網友維護了一個 ChinaGFW 的列表，里面包含了被污染的域名，剛好我本地已經搭建了 unbound 域名服務器，而且 unbound 支持 DNS-over-TLS，這樣就可以把被污染的域名加入到 unbound 的規則里，把這些域名通過 1.1.1.1 來解析，其他域名還是走運營商提示的 DNS 來解析。

這里 是一個 unbound 配置文件，里面包含的被污染的域名從 ChinaGFW 里轉出來的，里面的內容類似：

forward-zone:
    name: 'google.com'
     forward-addr: 1.1.1.1@853
     forward-addr: 1.0.0.1@853
     forward-ssl-upstream: yes
name 表示被污染的域名，forward-addr 表示向上一級查詢的 DNS 服務器，可以有多個，forward-ssl-upstream 表示開啟 DNS over TLS 功能。
配置文件的最后使用

這是一個獨立的配置文件，可以把它放到 /etc/unbound/ 下，然后在 /etc/unbound/unbound.conf 配置文件里加入 include: /etc/unbound/dns-over-tls.conf 來引入它。

加入后重啟 unbound 服務就可以生效了。