WireGuard 组网入门：两台机器打通内网

发布时间:2025-11-30 14:30

## 场景 两台彼此独立的云服务器，想把对方的内网服务当成本机网络直连使用，传统方案要面对证书体系与一堆配置文件。WireGuard 用一对密钥加十几行配置解决问题，内核态执行性能开销小，长期挂着也几乎不占资源，是当下打通机器间内网的首选。它把加密、路由与准入压缩成一套极简模型，配置总量不及传统方案的一个零头，出错面也跟着缩小，排障时需要看的字段屈指可数。 ## 步骤清单 两台机器各自生成密钥对。 ``` wg genkey | tee privatekey | wg pubkey > publickey ``` 在第一台机器写配置，监听端口并声明对端。 ``` [Interface] PrivateKey = 第一台的私钥 Address = 10.0.0.1/24 ListenPort = 51820 [Peer] PublicKey = 第二台的公钥 AllowedIPs = 10.0.0.2/32 ``` 第二台对称配置，Address 换成 10.0.0.2，Peer 段填第一台的公钥。AllowedIPs 的语义要理解准确：它既是路由声明，也是准入过滤，发往这些地址的流量走隧道，也只有这些来源的流量被对端接受。两侧把对方的隧道地址写进各自的 AllowedIPs，正是点对点组网的形态。 ## 验证 ``` wg-quick up wg0 ping 10.0.0.2 ``` 隧道通了的判据就是隧道地址互相 ping 通，再用 wg 命令查看握手时间与收发流量计数，确认加密通道真实有数据经过。握手时间长期不更新说明保活包没通，转而检查两端的公网连通与端口放行；收发计数只有一方增长，多半是某一侧的 AllowedIPs 写漏了对端网段。要在隧道里转发更多网段，把对应网段加进 AllowedIPs 即可，路由由 wg-quick 自动接管。 ## 注意事项 私钥只留在本机，配置文件权限收紧到仅 root 可读。开机自启用 systemd 单元托管，wg-quick@wg0 的服务名直接对应配置文件名。跨公网组建时记得在防火墙规则里放行监听端口，两侧端口不一致也没有关系，各自的监听端口各自声明。顺云多台云服务器之间要互访内网服务的场景，这套点对点配置十分钟就能落地，后续加第三台机器也只是多一段 Peer 配置的事，地址规划提前留好段，扩容不用推倒重来。