FreeBSD 下配置wire guard

Helo

tcpdump -i wg0 -n tcp and host 10.0.1.2

Helo

一台 nas 两台公网主机

nas配置参考；大陆内网配置wg0，香港主机配置wg1

root@nas:/usr/local/etc/wireguard # cat wg0.conf 
[Interface]
# NAS 的私钥（FreeBSD 生成的 privatekey 内容）
PrivateKey = ***
# NAS 的 WireGuard 虚拟 IP（和服务端同网段，如 10.0.0.2/24）
Address = 10.0.0.2/24

PostUp = ifconfig lo0 up
# FreeBSD 开启 IP 转发（可选，若 NAS 需转发其他设备流量）
PostUp = sysctl net.inet.ip.forwarding=1

# 原有 Peer：公网服务器 A mpoes.com
[Peer]
# 公网服务器的公钥
PublicKey = **
# 公网服务器的公网 IP + WireGuard 端口
Endpoint = 123.57.225.213:51820
# 所有流量（0.0.0.0/0）都走 WireGuard 隧道（若仅转发 NAS 服务，可改为 10.0.0.0/24）
AllowedIPs = 0.0.0.0/0, ::/0
# 保持连接（防止隧道断开）
# 【关键】如果 NAS 在路由器/NAT 后面，必须开启心跳保活，否则回程流量进不来
PersistentKeepalive = 25

root@nas:/usr/local/etc/wireguard # cat wg1.conf 
[Interface]
# NAS 的私钥（FreeBSD 生成的 privatekey 内容）
PrivateKey = **
# NAS 的 WireGuard 虚拟 IP（和服务端同网段，如 10.0.0.2/24）
Address = 10.0.1.2/24
ListenPort = 21821 #自定义端口，避免冲突


# 【关键】关闭 wg-quick 自动管理路由的功能 (如果版本支持)，或者依靠 PostUp 强制覆盖
# FreeBSD wg-quick 没有 Table=off 选项，所以我们用 PostUp 暴力修正

# 【修正后的 PostUp】
# 1. 开启转发
# 2. 【核心】先删除可能存在的错误路由
# 3. 【核心】强制添加静态路由：B 的公网 IP 必须走物理网关 (192.168.1.1)
#    注意：这条路由的优先级必须高于 wg-quick 自动添加的路由
# 4. 切换默认路由到 WG
PostUp = sysctl net.inet.ip.forwarding=1; route delete -host 47.242.20.105 2>/dev/null; route add -host 47.242.20.105 -gateway 192.168.1.1; sleep 1; route delete default 2>/dev/null; route add default 10.0.1.1; route delete -host 47.242.20.105 2>/dev/null; route add -host 47.242.20.105 -gateway 192.168.1.1

# 解释：我们在切换默认路由前后都执行了一次路由修正，确保它不会被覆盖。
# 如果 wg-quick 后台进程依然捣乱，我们需要更激进的方法（见步骤 3）。

PreDown = route delete default 2>/dev/null; route add default 192.168.1.1


[Peer]
PublicKey = **
Endpoint = 47.242.20.105:51820
#AllowedIPs = 10.0.1.0/24  # 仅访问 10.0.1.0/24 网段走服务器 B 注意：仍指向NAS的10.0.0.2，无需改网段
# 关键：这里写 0.0.0.0/0，让 wg-quick 添加默认路由指向香港
AllowedIPs = 0.0.0.0/0 
PersistentKeepalive = 25
root@nas:/usr/local/etc/wireguard #

Helo

香港主机配置：

mozii@root[/usr/local/etc/wireguard]# cat wg0.conf 
[Interface]
# 1. 基础配置
# 服务端私钥（执行 wg genkey 生成）
PrivateKey = *
# WireGuard监听端口（UDP，建议51820）
ListenPort = 51820
# 服务端虚拟IP（和NAS的10.0.1.2/24同网段）
Address = 10.0.1.1/24


# 【PostUp】启动时自动执行
# 逻辑顺序：
# 1. 开启内核转发 (双保险)
# 2. 确保 PF 已启用并加载规则 (如果 pf 还没启动)
# 3. 运行旧 IPFW 脚本 (恢复旧 NAT 1 和端口转发，但这会 flush 掉所有 IPFW 规则)
# 4. 补上 WG 的 IPFW 允许规则 (防止被 flush 掉)
# 5. 确认 PF 规则已加载 (针对 10.0.1.0/24 的 NAT)
PostUp = sysctl net.inet.ip.forwarding=1; service pf start || true; pfctl -f /etc/pf.conf || true; sh /usr/local/etc/ipfw; ipfw add 100 allow ip from any to any via wg0; ipfw add 101 allow ip from 10.0.1.0/24 to any; pfctl -f /etc/pf.conf

# 【PreDown】停止时清理
# 逻辑：
# 1. 删除我们手动添加的 WG 允许规则 (可选，因为 flush 会清空)
# 2. 注意：不要停止 PF 或 IPFW 服务，以免影响旧业务
PreDown = ipfw delete 100 || true; ipfw delete 101 || true



# 4. NAS节点配置
[Peer]
# NAS的公钥（NAS端执行 wg pubkey 生成的内容）
PublicKey = ***
# 仅允许NAS使用10.0.0.2/32这个虚拟IP
AllowedIPs = 10.0.1.2/32

Helo

大陆主机

root@mpoes:/usr/local/etc/wireguard # cat wg0.conf 
[Interface]
# 服务端私钥（公网服务器生成的 privatekey 内容）
PrivateKey = **
# WireGuard 监听端口（UDP）
ListenPort = 51820
# WireGuard 虚拟网段（自定义，如 10.0.0.1/24）
Address = 10.0.0.1/24

# 仅保留 IP 转发，临时注释 pf 相关命令
PostUp = sysctl net.inet.ip.forwarding=1
PostUp = pfctl -a wireguard -f /usr/local/etc/wireguard/pf.rules
PostDown = sysctl net.inet.ip.forwarding=0
PostDown = pfctl -a wireguard -F all

[Peer]
# NAS 的公钥（FreeBSD 生成的 publickey 内容）
PublicKey = **
# 允许 NAS 使用的 IP 段
AllowedIPs = 10.0.0.2/32
root@mpoes:/usr/local/etc/wireguard #

Helo

查看wg状态 bash命令

while clear; do wg show wg1; sleep 1; done

Helo

公网有拦截检测不稳定香港弃用