通过 Wireguard 构建 NAT to NAT VPN

博主：墨言
发布时间：2021 年 04 月 12 日
3276 次浏览
暂无评论
912字数
分类： Windows/Linux

WireGuard ®是一种非常简单而现代，快捷的VPN，利用最先进的加密技术。它比IPSec 更快，更简单，更精简，更有用。它比OpenVPN更高效。WireGuard设计为通用VPN，适用于多种不同情况。它是跨平台的，可大规模部署。它已经被认为是业内最安全，最易于使用，最简单的VPN解决方案。

nat to nat 场景下 openvpn vs wireguard 架构

传统 vpn 在很难做到类似多个 nat 之间资源共享

客户端如果想要同时访问多个 nat 只能像图中的 NAT C 客户端一样连接两个 vpn

得益于 wireguard 中没有 client/server 的概念，所有 nat 中的某台机器与 gateway 主机建立连接，即可实现共享所有节点的网络资源

实验

实验环境如下，Peer 指的是每个 wireguard 节点的出口网卡，类似 openvpn 连接生成的 tunnel 网卡

安装 wireguard 参考 https://www.wireguard.com/install/
https://www.msl.la/archives/89/

确保需要共享 nat 的 wireguard 节点 ip 转发已开启

sysctl -w net.ipv4.ip_forward=1

gateway 配置

$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey > publickey

$ cat > wg0.conf <<EOF
[Interface]
ListenPort = 12000
Address = 5.5.5.1/24
PrivateKey = ${GATEWAY_SERVER_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
EOF

$ wg-quick up wg0

NAT-A 配置

$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey > publickey

$ cat > wg0.conf <<EOF
[Interface]
Address = 5.5.5.4/24
PrivateKey = ${NAT_A_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = ${GATEWAY_SERVER_PUBLIC_KEY}
AllowedIPs =  5.5.5.0/24
Endpoint = ${GATEWAY_SERVER:12000}
PersistentKeepalive = 10
EOF

$ wg-quick up wg0

NAT-D 配置

$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey > publickey

$ cat > wg0.conf <<EOF
[Interface]
Address = 5.5.5.2/24
PrivateKey = ${NAT_D_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = ${GATEWAY_SERVER_PUBLIC_KEY}
AllowedIPs =  5.5.5.0/24
Endpoint = ${GATEWAY_SERVER:12000}
PersistentKeepalive = 10
EOF

$ wg-quick up wg0

NAT-C 配置

$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey > publickey

$ cat > wg0.conf <<EOF
[Interface]
Address = 5.5.5.3/24
PrivateKey = ${NAT_C_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = ${GATEWAY_SERVER_PUBLIC_KEY}
AllowedIPs =  5.5.5.0/24
Endpoint = ${GATEWAY_SERVER:12000}
PersistentKeepalive = 10
EOF

$ wg-quick up wg0

gateway 添加 peer

在所有的 wireguard 节点配置好之后，要在 gateway 节点添加 peer 的信息

$ cd /etc/wireguard

$ cat >> wg0.conf <<EOF
[Peer]
PublicKey = ${NAT_A_PUBLIC_KEY}
AllowedIPs = 5.5.5.4/32

[Peer]
PublicKey = ${NAT_C_PUBLIC_KEY}
AllowedIPs = 5.5.5.3/32

[Peer]
PublicKey = ${NAT_D_PUBLIC_KEY}
AllowedIPs = 5.5.5.2/32

$ wg-quick down wg0 && wg-quick up wg0

连接测试

现在所有节点的 5.5.5.0/24 网段已经建立了连接，在任意 wireguard 节点都应该能够 ping 通以下 IP

5.5.5.1
5.5.5.2
5.5.5.3
5.5.5.4
共享 NAT

连接测试成功之后就可以共享 wireguard 节点的所在的网络了

wireguard 配置文件中 Peer.AllowedIPs 实际上就是在当前节点上加多条静态路由

ip route add 5.5.5.2/32 dev wg0

目前 gateway 节点只能够访问 5.5.5.0/24 网段的机器，但我们只需要将需要访问的 nat 网段添加到对应的 Peer 下的 AllowedIPs 中就能够正常访问了

例如，我们需要在 gateway 节点上访问 NAT-A(10.10.23.0/24) 网段，那么我们只需要修改 gateway 节点上 wireguard 配置文件中 NAT-A Peer 的配置即可

[Peer]
PublicKey = ${NAT_A_PUBLIC_KEY}
AllowedIPs = 5.5.5.4/32,10.10.23.0/24

配置完成之后 wg-quick down wg0 && wg-quick up wg0 尝试 ping NAT-A 网段的地址即可

只要 gateway 能够访问 NAT-A 网段的之后，同理在其他的 wireguard 客户端配置 gateway Peer 的 AllowedIPs 之后，通过 gateway 进行一次转发也能够访问 NAT-A 网段了

日常使用

由于工作原因，平时有很多不同的网络环境需要访问，常常需要 ssh 代理、openvpn 来切换各种网络环境，用了 wireguard 之后解决了我的痛点，目前我使用 wireguard 连接了五个 NAT 网络

总结

通过 wireguard 可以迅速构建支持多平台的大规模复杂的 vpn 网络，并且 wireguard 的性能高于 openvpn、ipsec 等常用 vpn 方案

更多关于 wireguard 的资料

https://www.wireguard.com/

https://staaldraad.github.io/2017/04/17/nat-to-nat-with-wireguard/

https://github.com/adrianmihalko/raspberrypiwireguard

最后修改：2021 年 04 月 12 日

如果觉得我的文章对你有用，请随意赞赏

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

评论 *

私密评论

名称 *

🎲

邮箱 *

地址

通过 Wireguard 构建 NAT to NAT VPN

墨言 • 2021 年 04 月 12 日

<p><a href="https://www.moyann.com/tag/WireGuard/"target="_blank" title="WireGuard">WireGuard</a> ®是一种非常<a href="https://www.moyann.com/tag/%E7%AE%80%E5%8D%95/"target="_blank" title="简单">简单</a>而现代，快捷的VPN，利用最先进的<a href="https://www.moyann.com/tag/%E5%8A%A0%E5%AF%86/"target="_blank" title="加密">加密</a>技术。它比IPSec 更快，更简单，更精简，更有用。它比OpenVPN更高效。WireGuard设计为通用VPN，适用于多种不同情况。它是跨平台的，可大规模部署。它已经被认为是业内最安全，最易于使用，最简单的VPN解决方案。</p>
<h1>nat to nat 场景下 <a href="https://www.moyann.com/tag/openvpn/"target="_blank" title="openvpn">openvpn</a> vs wireguard 架构</h1>
<p>传统 <a href="https://www.moyann.com/tag/vpn/"target="_blank" title="vpn">vpn</a> 在很难做到类似多个 nat 之间资源共享</p>
<p>客户端如果想要同时访问多个 nat 只能像图中的 NAT C 客户端一样<a href="https://www.moyann.com/tag/%E8%BF%9E%E6%8E%A5/"target="_blank" title="连接">连接</a>两个 vpn</p>
<p><img src="https://static.assets.qyue.org/handsome/9.2.1/assets/img/loading.svg" alt=""  style=""data-original="https://attachment.moyann.com/2021/04/12/036363415868652/1618203635.png"><br />
得益于 wireguard 中没有 client/<a href="https://www.moyann.com/tag/server/"target="_blank" title="server">server</a> 的概念，所有 nat 中的某台机器与 gateway 主机建立连接，即可实现共享所有节点的网络资源<br />
<img src="https://static.assets.qyue.org/handsome/9.2.1/assets/img/loading.svg" alt=""  style=""data-original="https://attachment.moyann.com/2021/04/12/03652956899557/1618203650.png"></p>
<h1>实验</h1>
<p>实验环境如下，Peer 指的是每个 wireguard 节点的出口网卡，类似 openvpn 连接生成的 tunnel 网卡</p>
<p><a href="https://www.moyann.com/tag/%E5%AE%89%E8%A3%85/"target="_blank" title="安装">安装</a> wireguard 参考 <a href="https://www.moyann.com/go/aHR0cHM6Ly93d3cud2lyZWd1YXJkLmNvbS9pbnN0YWxsLw" target="_blank" >https://www.wireguard.com/install/</a><br />
<a href="https://www.moyann.com/go/aHR0cHM6Ly93d3cubXNsLmxhL2FyY2hpdmVzLzg5Lw" target="_blank" >https://www.msl.la/archives/89/</a></p>
<p>确保需要共享 nat 的 wireguard 节点 <a href="https://www.moyann.com/tag/ip/"target="_blank" title="ip">ip</a> 转发已<a href="https://www.moyann.com/tag/%E5%BC%80%E5%90%AF/"target="_blank" title="开启">开启</a></p>
<pre><code class="language-bash">sysctl -w net.ipv4.ip_forward=1</code></pre>
<h2>gateway 配置</h2>
<pre><code class="language-bash">$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey &gt; publickey

$ cat &gt; wg0.conf &lt;&lt;EOF
[Interface]
ListenPort = 12000
Address = 5.5.5.1/24
PrivateKey = ${GATEWAY_SERVER_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
EOF

$ wg-quick up wg0</code></pre>
<h2>NAT-A 配置</h2>
<pre><code class="language-bash">$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey &gt; publickey

$ cat &gt; wg0.conf &lt;&lt;EOF
[Interface]
Address = 5.5.5.4/24
PrivateKey = ${NAT_A_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = ${GATEWAY_SERVER_PUBLIC_KEY}
AllowedIPs =  5.5.5.0/24
Endpoint = ${GATEWAY_SERVER:12000}
PersistentKeepalive = 10
EOF

$ wg-quick up wg0</code></pre>
<h2>NAT-D 配置</h2>
<pre><code class="language-bash">$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey &gt; publickey

$ cat &gt; wg0.conf &lt;&lt;EOF
[Interface]
Address = 5.5.5.2/24
PrivateKey = ${NAT_D_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = ${GATEWAY_SERVER_PUBLIC_KEY}
AllowedIPs =  5.5.5.0/24
Endpoint = ${GATEWAY_SERVER:12000}
PersistentKeepalive = 10
EOF

$ wg-quick up wg0</code></pre>
<h2>NAT-C 配置</h2>
<pre><code class="language-bash">$ cd /etc/wireguard

$ wg genkey | tee privatekey | wg pubkey &gt; publickey

$ cat &gt; wg0.conf &lt;&lt;EOF
[Interface]
Address = 5.5.5.3/24
PrivateKey = ${NAT_C_PRIVATE_KEY}
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = ${GATEWAY_SERVER_PUBLIC_KEY}
AllowedIPs =  5.5.5.0/24
Endpoint = ${GATEWAY_SERVER:12000}
PersistentKeepalive = 10
EOF

$ wg-quick up wg0</code></pre>
<h2>gateway 添加 peer</h2>
<p>在所有的 wireguard 节点配置好之后，要在 gateway 节点添加 peer 的信息</p>
<pre><code class="language-bash">$ cd /etc/wireguard

$ cat &gt;&gt; wg0.conf &lt;&lt;EOF
[Peer]
PublicKey = ${NAT_A_PUBLIC_KEY}
AllowedIPs = 5.5.5.4/32

[Peer]
PublicKey = ${NAT_C_PUBLIC_KEY}
AllowedIPs = 5.5.5.3/32

[Peer]
PublicKey = ${NAT_D_PUBLIC_KEY}
AllowedIPs = 5.5.5.2/32

$ wg-quick down wg0 &amp;&amp; wg-quick up wg0
</code></pre>
<h2>连接测试</h2>
<p>现在所有节点的 5.5.5.0/24 网段已经建立了连接，在任意 wireguard 节点都应该能够 ping 通以下 IP</p>
<ul>
<li>5.5.5.1</li>
<li>5.5.5.2</li>
<li>5.5.5.3</li>
<li>5.5.5.4
<h2>共享 NAT</h2>
<p>连接测试成功之后就可以共享 wireguard 节点的所在的网络了</p></li>
</ul>
<p>wireguard 配置<a href="https://www.moyann.com/tag/%E6%96%87%E4%BB%B6/"target="_blank" title="文件">文件</a>中 Peer.AllowedIPs 实际上就是在当前节点上加多条<a href="https://www.moyann.com/tag/%E9%9D%99%E6%80%81/"target="_blank" title="静态">静态</a>路由</p>
<pre><code class="language-bash">ip route add 5.5.5.2/32 dev wg0</code></pre>
<p>目前 gateway 节点只能够访问 5.5.5.0/24 网段的机器，但我们只需要将需要访问的 nat 网段添加到 对应的 Peer 下的 AllowedIPs 中就能够正常访问了</p>
<p>例如，我们需要在 gateway 节点上访问 NAT-A(10.10.23.0/24) 网段，那么我们只需要修改 gateway 节点上 wireguard 配置文件中 NAT-A Peer 的配置即可</p>
<pre><code>[Peer]
PublicKey = ${NAT_A_PUBLIC_KEY}
AllowedIPs = 5.5.5.4/32,10.10.23.0/24</code></pre>
<p>配置完成之后 wg-quick down wg0 &amp;&amp; wg-quick up wg0 尝试 ping NAT-A 网段的<a href="https://www.moyann.com/tag/%E5%9C%B0%E5%9D%80/"target="_blank" title="地址">地址</a>即可</p>
<p>只要 gateway 能够访问 NAT-A 网段的之后，同理在其他的 wireguard 客户端配置 gateway Peer 的 AllowedIPs 之后，通过 gateway 进行一次转发也能够访问 NAT-A 网段了</p>
<h2>日常使用</h2>
<p>由于工作原因，平时有很多不同的网络环境需要访问，常常需要 ssh 代理、openvpn 来切换各种网络环境，用了 wireguard 之后解决了我的痛点，目前我使用 wireguard 连接了五个 NAT 网络<br />
<img src="https://static.assets.qyue.org/handsome/9.2.1/assets/img/loading.svg" alt=""  style=""data-original="https://attachment.moyann.com/2021/04/12/039202679904592/1618203919.png"></p>
<h2>总结</h2>
<p>通过 wireguard 可以迅速构建支持多平台的大规模复杂的 vpn 网络，并且 wireguard 的性能高于 openvpn、<a href="https://www.moyann.com/tag/ipsec/"target="_blank" title="ipsec">ipsec</a> 等常用 vpn 方案</p>
<p>更多关于 wireguard 的资料</p>
<p><a href="https://www.moyann.com/go/aHR0cHM6Ly93d3cud2lyZWd1YXJkLmNvbS8" target="_blank" >https://www.wireguard.com/</a></p>
<p><a href="https://www.moyann.com/go/aHR0cHM6Ly9zdGFhbGRyYWFkLmdpdGh1Yi5pby8yMDE3LzA0LzE3L25hdC10by1uYXQtd2l0aC13aXJlZ3VhcmQv" target="_blank" >https://staaldraad.github.io/2017/04/17/nat-to-nat-with-wireguard/</a></p>
<p><a href="https://www.moyann.com/go/aHR0cHM6Ly9naXRodWIuY29tL2Fkcmlhbm1paGFsa28vcmFzcGJlcnJ5cGl3aXJlZ3VhcmQ" target="_blank" >https://github.com/adrianmihalko/raspberrypiwireguard</a></p>

通过 Wireguard 构建 NAT to NAT VPN

nat to nat 场景下 openvpn vs wireguard 架构

实验

gateway 配置

NAT-A 配置

NAT-D 配置

NAT-C 配置

gateway 添加 peer

连接测试

共享 NAT

日常使用

总结

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

TunSafe—最安全的使用WireGuard的高性能安全客户端

远程桌面中转，基于 UltraVNC Repeater（中继器）的远程桌面服务搭建，用于复杂网络环境

Altium Designer 20.2.3 build 150 破解版下载

Linux(CentOS)网络流量实时监控（iftop）

N2N Windows编译过程。。。以及遇到的一些坑（这篇不是网上复制的。绝对有用）

C++判断某进程是否运行的函数

Devious Machines Everything Bundle 2019.9 CE [WiN]

分享一个访问速度超快的 GOPROXY 地址

春日野穹浴衣白丝萌妹COS

[公益服务]Handsome主题静态资源CDN加速[更新至9.0.1]

通过 Wireguard 构建 NAT to NAT VPN

nat to nat 场景下 openvpn vs wireguard 架构

实验

gateway 配置

NAT-A 配置

NAT-D 配置

NAT-C 配置

gateway 添加 peer

连接测试

共享 NAT

日常使用

总结

发表评论 取消回复 使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

通过 Wireguard 构建 NAT to NAT VPN

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款