网络 on KePulsary

WireGuard 与 wg-easy 速查手册

Wed, 26 Aug 2026 03:00:00 +0000

WireGuard 与 wg-easy 速查手册

1. 转发：一个包到达主机后

flowchart TD
 A["网卡收到 IP 包"] --> B{"目的 IP 是本机？"}
 B -->|"是"| C["交给本机进程<br/>（ping / ssh / 浏览器）"]
 B -->|"否"| D{"ip_forward = 1？"}
 D -->|"否"| E["丢弃（普通主机默认）"]
 D -->|"是"| F["查系统路由表<br/>最长前缀匹配"]
 F --> G{"FORWARD 链放行？"}
 G -->|"否"| E
 G -->|"是"| H["从匹配接口发出<br/>（eth0 / wg0）"]

路由表 = 去哪、从哪出（ip route）
ip_forward = 肯不肯帮别人转包
FORWARD 链 = 防火墙放不放转发的包

2. NAT：为什么出口端必须改写源 IP

sequenceDiagram
 participant S as 支援PC 10.8.0.3
 participant E as 出口机 192.168.80.132
 participant T as 比赛机器 192.168.80.10
 S->>E: src=10.8.0.3 dst=192.168.80.10
 Note over E: POSTROUTING 链 SNAT：<br/>源改写为 192.168.80.132，<br/>conntrack 记录映射
 E->>T: src=192.168.80.132
 T->>E: 回包 dst=192.168.80.132
 Note over E: conntrack 查表：<br/>目的地改回 10.8.0.3
 E->>S: dst=10.8.0.3（进 wg 隧道）

不改写源 IP，比赛机器不认识 10.8.0.3，回包石沉大海（回程路由问题）。

	`SNAT --to-source IP`	`MASQUERADE`
源 IP	固定指定	出口网卡当前 IP（动态）
适用	IP 恒定（桥接 VM / 静态内网 IP）	IP 浮动（DHCP / 云主机 / WSL2）

3. WireGuard：AllowedIPs 一个字段两件事

flowchart LR
 subgraph OUT ["出方向 = 选路"]
 A["目的地命中某 peer 的 AllowedIPs"] --> B["加密发给该 peer"]
 end
 subgraph IN ["入方向 = 门禁"]
 C["从 peer 解密出的包"] --> D{"源 IP 在该 peer<br/>AllowedIPs 内？"}
 D -->|"是"| E["放行"]
 D -->|"否"| F["静默丢弃"]
 end

客户端配置和服务端 wg0.conf 是两张独立的表，各写各的：

flowchart LR
 subgraph PC ["支援PC 下载的客户端配置"]
 A1["[Peer] 服务器<br/>AllowedIPs =<br/>10.8.0.0/24, 192.168.80.0/24"]
 end
 subgraph VPSS ["VPS 的 wg0.conf"]
 B1["peer(支援PC)<br/>AllowedIPs = 10.8.0.3/32"]
 B2["peer(出口机)<br/>AllowedIPs = 10.8.0.2/32,<br/>192.168.80.0/24（挂载网段）"]
 end
 subgraph EPC ["出口机下载的客户端配置"]
 C1["[Peer] 服务器<br/>AllowedIPs = 10.8.0.0/24"]
 end
 A1 -.加密.-> VPSS
 C1 -.加密.-> VPSS

系统路由表先于密钥路由：内核先决定包走 wg0，WireGuard 才按 peer AllowedIPs 选加密对象
Table = auto：wg-quick up 时才为 peer 的 AllowedIPs 写系统路由；syncconf 只改 peer 表不写路由 → 改完挂载网段必须重启接口
PersistentKeepalive = 25：给中间每层 NAT 的 UDP 映射续费

4. 两种出口模型

flowchart LR
 A["本地PC-A"] -->|"0.0.0.0/0 全隧道"| V["VPS 原版 wg-easy<br/>MASQUERADE -o eth0"]
 B["本地PC-B"] -->|"0.0.0.0/0"| V
 V --> I["互联网<br/>所有人的出口 IP = VPS"]

flowchart LR
 A["支援PC<br/>10.8.0.3"] -->|"隧道 UDP 51820"| V["VPS<br/>纯转发，不 NAT"]
 V -->|"目的 ∈ 192.168.80.0/24<br/>按 peer AllowedIPs"| E["出口机<br/>wg:10.8.0.2<br/>内网:192.168.80.132"]
 E -->|"SNAT 源 → .132"| N["比赛内网<br/>192.168.80.0/24"]

	原版 wg-easy	my-wg-easy（魔改旧版）	新版 wg-easy
出口	VPS（MASQUERADE）	指定出口机（SNAT）	任意，按客户端配
挂载网段	无	`WG_ALLOWED_IPS`	每客户端 Server Allowed IPs
出口端 NAT	服务端固定	硬编码进出口机配置	每客户端 Post Up 钩子
指定出口机	无	按客户端名 `WG_LOCAL_NAME`	显式逐客户端配置
配置生效	重启容器	重启容器	Restart Interface

5. 场景全景：ping 192.168.80.10 的一生

flowchart TD
 S["① 支援PC：路由表 192.168.80.0/24 → wg0，加密"] --> V["② VPS：解密，非本机，转发<br/>需 ip_forward + FORWARD 放行<br/>需系统路由 192.168.80.0/24 → wg0<br/>密钥路由命中出口机 peer，加密"]
 V --> E["③ 出口机：解密，非本机，转发<br/>SNAT 源 10.8.0.3 → 192.168.80.132"]
 E --> T["④ 比赛机器：只看到 .132 在访问"]
 T -->|"⑤ 回包 dst=.132"| E2["⑥ 出口机：conntrack 改回 dst=10.8.0.3<br/>路由 10.8.0.0/24 → wg0，加密"]
 E2 --> V2["⑦ VPS：解密，dst=10.8.0.3<br/>/32 最长前缀命中支援PC peer，加密"]
 V2 --> S2["⑧ 支援PC：解密，源=192.168.80.10<br/>在自己 AllowedIPs 内 → 放行 ✓"]

6. 新版 wg-easy 比赛内网配置（推荐）

flowchart TD
 A["VPS 部署新版 wg-easy，默认配置"] --> B["创建客户端：出口机<br/>按下表配字段"]
 B --> C["赛场 Linux 机：<br/>sysctl -w net.ipv4.ip_forward=1<br/>wg-quick up 下载的 conf"]
 C --> D["管理后台 Restart Interface<br/>（生成 比赛网段 → wg0 系统路由）"]
 D --> E["创建客户端：支援<br/>Allowed IPs 加比赛网段"]
 E --> F["分发配置 / 二维码"]

出口机客户端字段：

字段	值
Allowed IPs	`10.8.0.0/24`
Server Allowed IPs	`192.168.80.0/24`（比赛网段，可多个）
Post Up	`iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j SNAT --to-source 192.168.80.132`
Post Down	同上改 `-D`
Persistent Keepalive	`25`

支援客户端字段：

字段	值
Allowed IPs	`10.8.0.0/24, 192.168.80.0/24`

坑：

改 Server Allowed IPs 后必须 Restart Interface（syncconf 不写系统路由）
出口机须 Linux 且 wg-quick 启动（Windows 原生客户端不执行 PostUp）；VM 桥接最佳；WSL2 / Docker 场景 PostUp 改用 -j MASQUERADE
比赛网段勿与 WG 虚拟网段重叠
新客户端默认继承全局 Allowed IPs（0.0.0.0/0），不改则支援全部流量走 VPS

7. my-wg-easy（旧版）比赛内网配置

环境变量	示例	含义
`WG_LOCAL_NAME`	`l1aotest`	出口机的客户端名
`WG_LOCAL_PASS`	`192.168.80.132`	出口机内网 IP（SNAT 目标）
`WG_ALLOWED_IPS`	`192.168.80.0/24`	挂载网段（同时喂客户端路由 + 服务端 peer）
`WG_DEFAULT_ADDRESS`	`10.8.0.x`	WG 虚拟网段
`WG_PERSISTENT_KEEPALIVE`	`25`	NAT 保活

流程：先创建名为 WG_LOCAL_NAME 的客户端 → 重启容器（wg-quick up 才写挂载网段路由）→ 出口机用下载的 conf wg-quick up + 开 ip_forward。

8. 排障：按序检查

flowchart TD
 A["ping 不通"] --> B["支援PC：ip route get 目标<br/>走了 wg0？"]
 B -->|"否"| B1["AllowedIPs 缺比赛网段"]
 B -->|"是"| C["VPS：ip route get 目标<br/>走了 wg0？"]
 C -->|"否"| C1["改过挂载网段没重启接口<br/>→ Restart Interface"]
 C -->|"是"| D["出口机：tcpdump -ni eth0<br/>有出向包？"]
 D -->|"否"| D1["ip_forward 未开 / FORWARD 未放行"]
 D -->|"是"| E["回包到出口机却没回支援？<br/>支援 AllowedIPs 缺比赛网段<br/>（被自己 WG 门禁丢弃）"]

1
2
3


ip route get 192.168.80.10 # 本机视角：包从哪个口出
tcpdump -ni wg0 # 隧道侧抓包
tcpdump -ni eth0 # 物理侧抓包

软路由折腾记录

Tue, 30 May 2023 00:00:00 +0000

软路由折腾记录

前言：最近在YouTube上刷到挺多科学上网的东西，之前也直接整过代理，就想着买个软路由来捣鼓捣鼓，当然还有很多玩法待开发。

选购

结合YouTube上的推荐视频和自身的需求，我买了电犀牛的R66S，入门还是比较友好的，三百出头

全部的配件：路由器本身，充电器，tf卡32g，读卡器

刷固件

买回来已经自带了固件，但是ssr等等代理软件不自带

电犀牛官网：https://r68s.cn/

我刷了个istoreos固件，官网：https://www.istoreos.com/

刷机流程也比较简单，参考教程：https://doc.linkease.com/zh/guide/istoreos/install_r66s.html

把原本的tf卡取下，插到读卡器接入电脑，插入电脑会让格式化u盘，我瞎点了，进去我的电脑发现出现两个盘，而且是几百兆这种，到计算机管理的磁盘管理下删去分区，再新建一整个分区。。
创建启动盘，我使用的是Rufus，官网地址是：https://rufus.ie/zh/，选择tf卡，选择固件，点开始即可
启动盘创建好后，将tf插回R66S即可，开机进入web界面默认：http://192.168.100.1/ 账号/密码：root/password，ssh密码一样

到此固件就成功刷入了，感觉用tf卡对小白挺友好的，也可以通过web端刷入

拓展功能

istoreos也没有自带ssr这种插件，iStore中也没有

到这个项目中下载插件手动安装：https://github.com/AUK9527/Are-u-ok

R66S的是 aarch64_cortex-a53平台，并不是x86

然后就可以把ssrplus装上了

在实验室中更新机场订阅一直不成功，解决方案：手动添加一个节点，挂上节点后更新

其他拓展：istorex（一个网页主题），AdGuard Home（广告拦截器）

校园网认证

宿舍的网络需要进行认证

经过测试发现，在没有验证时访问一个页面比如：http://www.baidu.com/

返回，其中host_fzu为校园网ip，下面亦然

1

<script>top.self.location.href='http://host_fzu/eportal/index.jsp?get传入一些值包含设备mac值等等'</script>

而校园网认证的login只需要账号密码和设备的信息，可以在上面未认证的html中获取

只需要两个http即可实现校园网认证

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67


import requests
from bs4 import BeautifulSoup
from urllib.parse import quote
from tqdm import tqdm
from colorama import init, Fore
from datetime import datetime

current_time = datetime.now()
formatted_time = current_time.strftime("%Y-%m-%d %H:%M:%S")
print(f"current time: {formatted_time}\nlog:", end=" :")

host_fzu = ""
userId = ""
password = ""
# proxies = {
# "http": "http://127.0.0.1:8080/"
# }
init() # init colorama


def get_authenticated_url():
 test_con_url = "http://36.152.44.96/"
 r = requests.get(url=test_con_url, timeout=3)
 connected = host_fzu not in r.text
 if connected:
 print(f"{Fore.GREEN}connected.....{Fore.RESET}", end='\r', flush=True)
 return True, ""
 
 soup = BeautifulSoup(r.text, 'html.parser')
 script_tag = soup.find('script')
 authentication_url = script_tag.text.split("'")[1]
 if host_fzu not in authentication_url:
 print(f"{Fore.GREEN}connected.....{Fore.RESET}", end='\r', flush=True)
 else:
 print(f"{Fore.RED}not connected.....{Fore.RESET}", end='\r', flush=True)
 return connected, authentication_url


def post_authenticated_packet(userId, password, queryString):
 authenticated_data = {
 "userId": quote(userId),
 "password": quote(password),
 "service": "",
 "queryString": quote(queryString),
 "operatorPwd": "",
 "operatorUserId": "",
 "validcode": "",
 "passwordEncrypt": "false",
 }
 authenticated_url_login = f"http://{host_fzu}/eportal/InterFace.do?method=login"
 r = requests.post(url=authenticated_url_login, data=authenticated_data)
 json_data = r.json()
 if json_data["result"] == "success":
 print(f"{Fore.GREEN}Authentication succeeded.....{Fore.RESET}", end='\r', flush=True)
 else:
 print(f"{Fore.RED}Authentication failed.....{Fore.RESET}", end='\r', flush=True)


if __name__ == "__main__":
 try:
 connected, queryString = get_authenticated_url()
 if not connected:
 print(queryString)
 post_authenticated_packet(userId, password, queryString)
 except Exception as e:
 print(f"{Fore.RED}An error occurred: {e}{Fore.RESET}", end='\r', flush=True)
 print()

填入信息，执行脚本即可进行校园网认证

在软路由上写入计划任务

在此之前需要安装python3，pip和所需要的包

1
2
3
4
5
6
7


opkg update
opkg install python3
opkg install python3-pip
pip3 install requests
pip3 install beautifulsoup4
pip3 install tqdm
pip3 install colorama

写入计划任务，可以在web端设置，道理一样

* * * * * /usr/bin/python3 /root/school/school.py >> /var/log/school.log
0 18 * * * echo '' > /var/log/school.log

这个计划任务的意思就是，每一分钟执行一次，然后将结果输出到日志中，每天18点清空日志

这个脚本的意思就是，检测是否能够正常访问36.152.44.96（百度），不能的话就提交表单认证

校园网绕过设备检测尝试

参考：

https://xavier.wang/45-suck-shit-lan/

https://www.jja8.cn/article/%E6%A0%A1%E5%9B%AD%E7%BD%91%E5%A4%9A%E8%AE%BE%E5%A4%87%E4%BD%BF%E7%94%A8%E5%90%8C%E4%B8%80%E4%B8%AA%E8%B4%A6%E5%8F%B7%E9%98%B2%E6%A3%80%E6%B5%8B/

成功修改ttl，和软路由隔着一个路由器，所以本地ping出去的ttl要减去两条

1
2


iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 64
iptables -t mangle -A PREROUTING -i br-lan -j TTL --ttl-set 64

修改ntp，不知道怎么验证。。。

修改ua：Privoxy，修改成功80端口的http流量的ua成功修改，但是添加443端口ua修改失败，应该没证书的原因？SSL…

时不时黑名单十分钟，说明上面不怎么管用呃呃呃

bug

连上第一天，qq的群头像加载不出来，没怎么在意

第二天起床，看看微信公众号推文，公众号推文的图片也加载不出来，起床排查

以为是昨晚捣鼓绕过校园网导致的，把配置一步一步改回去，没有效果，重置路由器，可以成功加载图片，但是在我装几个插件后又不能使用，再重置，不能加载图片，查看图片的地址，手动ping，ping不通，到R66S上面ping，ping不通，但是可以通百度等等。。。云主机ping，可以ping通，于是确实是DNS的问题，更换dns服务器为阿里公共DNS：223.5.5.5和223.6.6.6，解决问题

脚本bug，修改dns后，在未认证下，找不到百度的host，于是乎我把脚本中的域名换为ip

WireGuard 使用记录

Mon, 13 Mar 2023 21:29:44 +0000

WireGuard 使用记录

之前打强网杯线下赛，只穿了个socks代理以至于二进制的同学不能接入网络。于是便使用 iptables + wg-easy 来实现一个内网穿透

OK，开始正题。现在需要支持在外面远程访问内网，可以实现类似内网访问的操作以支持二进制解题的网络需求

WireGuard

WireGuard是一种快速、现代的虚拟私人网络（VPN）协议。相对于其他VPN协议，WireGuard更加轻量级且易于配置和管理。它可以在多种操作系统上运行，包括Linux、Windows、macOS、iOS和Android。

WireGuard协议采用了最新的加密技术，比如Curve25519椭圆曲线加密和ChaCha20加密算法。它的数据包头部非常小，只有80字节，这使得它在传输数据时的开销非常小，因此它在延迟和吞吐量上的表现非常出色。与其他VPN协议相比，WireGuard的连接速度更快、更可靠、更稳定，并且在重连时也能够自动恢复连接。

总的来说，WireGuard是一种安全、高效、简单易用的VPN协议，因此它在当前的VPN市场上越来越受到青睐。

以下是WireGuard的性能对比

wg-easy 可以让我们在任何 Linux 主机上更加方便地安装和管理 WireGuard，项目地址：https://github.com/WeeJeWel/wg-easy

优点：快速部署，配置文件的快速下发，方便管理，docker部署对云服务器不会产生影响

网络拓扑图

话不多说，开始安装吧。网络拓扑大致如下。

其中：

1.1.1.1 为服务器的公网 IP
192.168.80.0/24 为内网的 IP 段
10.0.0.0/24 为 WireGuard 的 VPN 内网网段
100.100.1.0/24 为内网其他网段的 IP 段

最终实现的效果是，互联网上的其他主机通过连接 1.1.1.1 上的 VPN 服务，接入内网机子网段。

即：个人PC可以访问到100.100.1.2，192.168.80.130等等

安装 WireGuard

需要在个人PC 和内网机子（此处IP为 10.0.0.2）上安装，其他不需要安装WireGuard

https://www.wireguard.com/install/

WireGuard 不区分服务端与客户端，安装也比较简单，不出意外的话可以一行命令直接安装。

部署 wg-easy

原本的wg-easy的流量出口为云服务器，我对其进行了一定的魔改使得流量出口（指定IP段的流量）为内网机子

1

git clone https://github.com/L1aovo/my-wg-easy.git

修改 docker-compose.dev.yml 补全 environment 部分

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


version: "3.8"
services:
 wg-easy:
 image: weejewel/wg-easy
 command: sh -c "cd /;npm install basic-auth;cd /app;npm run serve"
 volumes:
 - ./src/:/app/
 - ./conf:/etc/wireguard
 ports:
 - "51820:51820/udp"
 - "51821:51821/tcp"
 environment: 
 # WG_LOCAL_NAME为流量代理配置名，请先创建WG_LOCAL_NAME配置
 # - PASSWORD=p
 - WG_HOST=
 - PASSWORD=
 - WG_ALLOWED_IPS=192.168.80.0/24, 10.0.0.0/24, 100.100.1.0/24 # 挂载网段
 - WG_DEFAULT_ADDRESS=10.0.0.x  # wg的虚拟网段
 - WG_DEFAULT_DNS=8.8.8.8 # wg的DNS
 - WG_LOCAL_PASS=192.168.80.132 # 此处ip为本地网卡ip,流量出口
 - WG_PERSISTENT_KEEPALIVE=25
 - WG_LOCAL_NAME=l1aotest
 cap_add:
 - NET_ADMIN
 - SYS_MODULE
 sysctls:
 - net.ipv4.ip_forward=1
 - net.ipv4.conf.all.src_valid_mark=1

1

docker-compose -f docker-compose.dev.yml up # 启动服务

web端下发配置，首先创建一个 WG_LOCAL_NAME 配置，并下载到内网机子上（web端验证为 rois:l1ao，wg-easy登陆为PASSWORD你设置的）
在内网机子上打开IP转发：编辑 /etc/sysctl.conf，将 net.ipv4.ip_forward = 0 中的 0 改为 1。然后 sysctl -p 使其生效。
内网机子必须是linux主机，windows做转发会有很多bug，执行命令sudo wg-quick up 配置文件的绝对路径
测试 ping 云服务器 10.0.0.1 不成功的话重启云服务器的wireguard服务再重启内网机子的 wireguard，测试ping，能ping通则可以进行内网转发了
web端下发配置，创建个人PC的配置，并下载到个人PC上，启动vpn
访问内网服务

示例配置

10.0.0.1云服务器的配置

# Note: Do not edit this file directly.
# Your changes will be overwritten!

# Server
[Interface]
PrivateKey = 
Address = 10.0.0.1/24
ListenPort = 51820
PreUp = 
Postup = iptables -A INPUT -p tcp -m tcp --dport 51821 -j ACCEPT;
PostUp = iptables -A INPUT -p udp -m udp --dport 51820 -j ACCEPT; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; 
PostUp = iptables -I FORWARD -s 10.0.0.0/24 -i wg0 -d 10.0.0.0/24 -j ACCEPT
PostUp = iptables -I FORWARD -s 10.0.0.0/24 -i wg0 -d 0.0.0.0/0 -j ACCEPT
PostUp = iptables -I FORWARD -s 0.0.0.0/0 -i wg0 -d 10.0.0.0/24 -j ACCEPT

PreDown = 
Postup = iptables -D INPUT -p tcp -m tcp --dport 51821 -j ACCEPT;
PostDown = iptables -D INPUT -p udp -m udp --dport 51820 -j ACCEPT; iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; 
PostDown = iptables -D FORWARD -s 10.0.0.0/24 -i wg0 -d 10.0.0.0/24 -j ACCEPT
PostDown = iptables -D FORWARD -s 10.0.0.0/24 -i wg0 -d 0.0.0.0/0 -j ACCEPT
PostDown = iptables -D FORWARD -s 0.0.0.0/0 -i wg0 -d 10.0.0.0/24 -j ACCEPT


# Client: l1aotest (xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)
[Peer]
PublicKey = 
PresharedKey = 
AllowedIPs = 10.0.0.2/32, 192.168.80.0/24, 10.0.0.0/24, 100.100.1.0/24

# Client: l1ao's iphone (xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)
[Peer]
PublicKey = 
PresharedKey = 
AllowedIPs = 10.0.0.3/32

10.0.0.2内网机子的配置

[Interface]
PrivateKey = 
Address = 10.0.0.2/24
PostUp = iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.80.132 
PostDown = iptables -t nat -D POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.80.132
DNS = 8.8.8.8


[Peer]
PublicKey = 
PresharedKey = 
AllowedIPs = 10.0.0.0/24
PersistentKeepalive = 25
Endpoint = WG_HOST:51820

个人PC的配置

[Interface] 
PrivateKey = 
Address = 10.0.0.3/24 
DNS = 8.8.8.8 

[Peer] 
PublicKey = 
PresharedKey = 
AllowedIPs = 192.168.80.0/24, 10.0.0.0/24, 100.100.1.0/24 
PersistentKeepalive = 25 
Endpoint = WG_HOST:51820