HQY 一个和谐有爱的空间

WireGuard，身边也有不少亲戚朋友在用，听说是一种极其简单但快速且现代的 VPN。它的目标是比IPsec更快、更简单、更精简、更有用，比 OpenVPN 性能更高。

WireGuard利用先进的加密技术，并且覆盖了几乎所有的常见的操作系统，可以广泛部署。据说目前被认为是业内最安全、最容易使用和最简单的 VPN 解决方案。

之前讲IPsec（IPsec系列）的时候就有小伙伴让介绍一下WireGuard，终于安排上了。

官网用了一段2分25秒的无剪辑、无倍速的视频介绍了如何快速部署WireGuard，乍一看是很简单，但他它所使用的两台主机是同一网段的，我们对环境做一下简单升级，使用3台不用网段的主机来测试一下。

组网需求

3台主机分别位于网关路由器下的3个不同网段，PCA和PCB、PCC之间分别建立IPsec隧道，对PCA和PCB、PCA和PCC之间的数据流进行安全保护。

组网图

CentOS快速配置WireGuard实验组网图。

实验环境

VMWare ESXi 6.7.0（ProLiant DL360 Gen9，48核心，128G内存）

H3C VSR1000（Version 7.1.064, Release 0621P18，4核心，8G内存）

CentOS Linux release 7.9.2009 (Core，8核心，16G内存)

配置步骤

首先按照组网图所示配置各接口的IP地址，然后我们需要先安装WireGuard软件。官网共介绍了3种安装方式，正好我们用3台主机分别测试一下。

PCA

使用CentOS的kernel-plus内已签名的模块进行安装。

yum install -y yum-utils epel-releaseyum-config-manager --setopt=centosplus.includepkgs=kernel-plus --enablerepo=centosplus --savesed -e 's/^DEFAULTKERNEL=kernel$/DEFAULTKERNEL=kernel-plus/' -i /etc/sysconfig/kernelyum install -y kernel-plus wireguard-tools

PCB

如果希望使用标准内核，可以使用 ELRepo 的预构建模块进行安装。

yum install -y epel-release elrepo-releaseyum install -y yum-plugin-elrepoyum install -y kmod-wireguard wireguard-tools

PCC

如果您运行的是非标准内核，可以使用 DKMS 包。我是标准内核，试试能不能用。

yum -y install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpmcurl -o /etc/yum.repos.d/jdoss-wireguard-epel-7.repo https://copr.fedorainfracloud.org/coprs/jdoss/wireguard/repo/epel-7/jdoss-wireguard-epel-7.repoyum install -y wireguard-dkms wireguard-tools

接下来开始配置WireGuard，好在配置是通过命令行界面配置的，后续要二次加工会方便得多。

首先给PCB添加一个新接口，然后给接口配置一个IP地址。

ip link add dev wg0 type wireguardip address add dev wg0 10.1.1.2/24

WireGuard需要base64编码的公钥和私钥，可以使用程序自动生成：

umask 777wg genkey > privatekey[root@localhost ~]# cat privatekeyyJM/v1Oy/ddwniziHokR3A9ILQneqwtNIpA8A53s4Uo=wg pubkey < privatekey > publickey[root@localhost ~]# cat publickeyZTwqy6eA2exFjIp4Gqll57FFu99ND97wRCkPv0ZNGVU=

设置WireGuard使用的私钥。

wg set wg0 private-key privatekey

使能接口wg0。

ip link set up dev wg0

在PCA上重复上述操作。

ip link add dev wg0 type wireguardip address add dev wg0 10.1.1.1/24umask 777wg genkey > privatekeywg pubkey < privatekey > publickeywg set wg0 private-key privatekeyip link set up dev wg0

接下来要在两台设备上配置对等体和密钥信息，endpoint配置对端可访问的IP地址，allowed-ips配置wg0的IP地址，密钥使用对端的公钥信息。

以PCB为例，可以通过命令查看本地信息。

然后在PCA上进行配置。

wg set wg0 peer ZTwqy6eA2exFjIp4Gqll57FFu99ND97wRCkPv0ZNGVU= allowed-ips 10.1.1.2/32 endpoint 12.1.1.2:53109

同样的，在PCB上配置PCA的相关信息。

wg set wg0 peer spLWYU+3fL0kkaT0BO/D0gO2B+xY/hhZbQx3B3a+WRw= allowed-ips 10.1.1.1/32 endpoint 11.1.1.2:40846

配置完成之后可以看到VPN建立状态。

进行PING测试，可以看到，跳数减1，隧道建立正常。

到这里，PCA和PCB的隧道就建立完了。我们还有一台PCC可以用，也和PCA建立一条隧道。但是我们发现，密钥复杂可以理解，但是这个端口也不规则，那就调整一下吧。

在PCC上操作配置如下：

ip link add dev wg0 type wireguardip address add dev wg0 10.1.1.3/24umask 777wg genkey > privatekeywg pubkey < privatekey > publickeywg set wg0 private-key privatekeyip link set up dev wg0wg set wg0 listen-port 10086 peer spLWYU+3fL0kkaT0BO/D0gO2B+xY/hhZbQx3B3a+WRw= allowed-ips 10.1.1.1/32 endpoint 11.1.1.2:40846wg

对应的，在PCA上添加一下到PCC的信息。

wg set wg0 peer g4wJRsQFR8w8sEjRIfgVMbThxJyapVg3o2UfaDs1SCM= allowed-ips 10.1.1.3/32 endpoint 13.1.1.2:10086

测试一下，访问正常。

验证配置

现在通过简单的配置，我们已经实现PCA-PCB和PCA-PCC之间的互通，并且配置的wg0接口地址都在同一网段，那么PCB和PCC能不能通信呢？

可以看到，虽然PCB、PCC都和PCA建立了隧道，并且在同一网段，但是还是不能直接通信，那如果想通信要怎么办呢？

其实这时就成了Full-Mesh的网络结构，变更也很简单，对应的再增加两条互联配置就可以了。

在PCB上添加一下到PCC的信息。

wg set wg0 peer g4wJRsQFR8w8sEjRIfgVMbThxJyapVg3o2UfaDs1SCM= allowed-ips 10.1.1.3/32 endpoint 12.1.1.2:10086

在PCC上添加一下到PCB的信息。

wg set wg0 peer ZTwqy6eA2exFjIp4Gqll57FFu99ND97wRCkPv0ZNGVU= allowed-ips 10.1.1.2/32 endpoint 12.1.1.2:53109

此时网络结构就是全互联的了。

好像使用起来确实很简单，安装的时候如果没有特殊需求，推荐使用方法二，仅需3条命令即可完成安装；然后仅需8条命令即可完成互联配置，一共只需要11条命令，怪不得2分25秒的视频就能讲明白，确实简单！

推荐本站淘宝优惠价购买喜欢的宝贝:

本文链接：https://hqyman.cn/post/9949.html 非本站原创文章欢迎转载，原创文章需保留本站地址！

休息一下~~