WireGuard - 设置远程访问 VPN

在 VergeOS 中设置 WireGuard 远程访问 VPN 的完整指南，包括接口创建、PAT 规则、SNAT 配置和客户端对等端设置。

这里是如何使用 VergeOS 内置的 WireGuard 功能来设置远程访问 VPN 的说明。更多信息可在 VergeOS 用户界面的帮助部分找到。

在你的内部网络上创建 WireGuard 配置

你可以使用现有的内部网络，或创建一个新的内部网络。

1. 在 VergeOS 界面中，导航到 网络 -> 内部 并查看或 双击 你想使用的内部网络。
2. 在左侧菜单中，点击 WireGuard（VPN）.
3. 点击 添加新接口.
4. 输入以下信息：

   • 输入一个唯一的 名称 用于此接口。
   • 输入一个 说明 （可选）。
   • 勾选 已启用.
   • 输入 IP 地址 作为此 WireGuard 内部网络使用。此 必须为 与你现有的内部网络 IP 方案分开。例如，如果你的内部网络使用 192.168.0.1/24，你必须选择另一个不同且唯一的 IP 方案，例如 192.168.255.1/24。
   • 输入 监听端口 用于连接 VPN（默认值：51820）。这是你将在外部网络上用于将 VPN 流量发送到内部网络的端口。
   • 输入一个 私钥 或留空以自动生成密钥。
   • 输入一个 端点 IP 或留空，系统将尝试自动检测 IP。我们 强烈建议 你手动输入该 IP，以确保配置正确。此 IP 是你的环境的外部 IP，通常与你的 UI IP 相同。你可以通过进入以下位置找到外部 IP： 网络 -> 外部 并查看你的外部网络。在网络路由器部分，它应是如下所示的 IP 地址：
5. 点击 提交 以添加新接口。
6. 添加接口后，系统会带你进入仪表板，在那里你会看到你的新接口。
7. 点击 应用规则 在左侧菜单栏中以应用防火墙规则。自动创建的规则将接受端口 51820 上发往路由器 IP 和该 内部网络.

外部网络 PAT 规则

为了使内部网络能够连接，我们需要一个外部 PAT （端口地址转换）规则来转换端口（默认 51820）到 内部网络.

2023-09-06_11_56_18-training___rules.png

添加外部 PAT 规则

1. 从 外部网络 仪表板，点击 规则 左侧菜单中的。
2. 点击 新建 左侧菜单中的。
3. 输入一个 名称 这将有助于未来的管理。
4. 可选地，一个 说明 可输入，以记录额外的管理信息。
5. 在 操作 下拉菜单，选择 转换.
6. 在 协议 下拉菜单，选择 UDP.
7. 在 方向 下拉菜单，选择 入站.

源：

1. 在 类型 下拉菜单，选择 任意/无. 可选地，如有需要，你可以在此对 VPN 流量进行源地址锁定。

目标：

1. 在 类型 下拉菜单，选择 我的路由器 IP。如果你位于 租户，将其更改为 我的 IP 地址 并选择该 租户 UI。这应与 端点 IP 上面使用的相同。如果使用与 UI IP 不同的 IP，请创建一个 SNAT 规则在 外部 网络。
2. 在 目标端口/范围 字段中，输入 端口 （默认端口：51820）。

目标：

1. 在 类型 下拉菜单，选择 其他网络 DMZ IP.
2. 在 目标网络 下拉菜单中，选择 目标网络.
3. 将 目标端口/范围 字段留空。
4. 点击 提交 以及 应用规则 在左侧菜单中以使新规则生效。

SNAT 规则（如果不使用 UI IP）

如果你正在添加 WireGuard 且未使用 UI 的 IP 地址，，我们建议创建一个 SNAT 规则在 外部 网络。

1. 从 外部网络 仪表板，点击 规则 左侧菜单中的。
2. 点击 新建 左侧菜单中的。
3. 输入一个 名称 这将有助于未来的管理。
4. 可选地，输入一个 说明 以获取更多信息。
5. 在 操作 下拉菜单，选择 转换.
6. 在 协议 下拉菜单，选择 UDP.
7. 在 方向 下拉菜单，选择 出站.

源：

1. 在 类型 下拉菜单，选择 其他网络 DMZ IP.
2. 在 网络 在下拉菜单中，选择 WireGuard 所在的内部网络。
3. 将 源端口/范围 字段留空。

目标：

1. 在 类型 下拉菜单，选择 任意 / 无.
2. 将 目标端口/范围 字段留空。

目标：

1. 在 类型 下拉菜单，选择 我的 IP 地址.
2. 在 IP 地址 下拉菜单中，选择 IP 地址 你想使用的。
3. 点击 提交 以及 应用规则 以启用 SNAT 规则。

此 SNAT 规则强制内部网络的 DMZ IP 发出的任何出站流量使用正确的 IP。默认情况下，它会通过 UI IP 发出，导致抖动问题。

添加远程用户对等端

你将为每个连接到 VPN 的用户设置一个对等端。

1. 在 WireGuard 接口页面中，点击 添加新对等端.
2. 分配一个 名称 给该对等端，例如远程用户的姓名。
3. 可选地，输入一个 说明.
4. 检查 自动生成对等端配置 复选框。
5. 输入 端点 用于该对等端（面向外部的 IP 地址、主机名或 URL）。
6. 对于 允许的 IP，输入此对等端的 /32 IP。
7. 在 配置防火墙 下拉菜单，选择 远程用户.
8. 点击 提交 以保存对等端条目。

下载配置文件：

1. 点击 下载配置 按钮，然后下载文件。

   

   download-link.png

   

   configuration-file.png

在客户端上安装 WireGuard 软件：

WireGuard 客户端软件可从以下地址下载： https://wireguard.com/install.

1. 在客户端机器上安装 WireGuard。
2. 点击 添加隧道.
3. 导航到并选择生成的配置文件。
4. 点击 激活 按钮以打开隧道。

---

文档信息

• 最后更新：2024-08-29
• vergeOS 版本：4.11