标签归档：WireGuard

wireguard 分流

发表于由
回复

wireguard 客户端可以配置成， 根据 IP 段选择 连接对应的wireguard 服务器端？ 例如 wireguard 客户端IP 为 192.168.10.0/24 时， 连接 wireguard 服务器A端， 33.33.33.33 wireguard 客户端IP 为 192.168.20.0/24 时， 连接 wireguard 服务器B端， 44.44.44.44 wireguard 客户端IP 为 192.168.30.0/24 时， 连接 wireguard 服务器C端， 55.55.55.55 wireguard 客户端 安装在openwrt 中， wireguard 服务器端 安装到 centos 服务器中， 有 3台服务器 A，B, C

解决方案

方案一：用 luci-app-pbr（VPN Policy-Based Routing）

1) 安装

opkg update
opkg install luci-app-pbr pbr
#（如未装 WG）
opkg install wireguard-tools kmod-wireguard

2) 配 3 条 WireGuard 接口（/etc/config/network）

关键点：三个接口分别指向 33.33.33.33 / 44.44.44.44 / 55.55.55.55；为避免默认路由被抢占，关闭 route_allowed_ips（或 AllowedIPs 不设 0.0.0.0/0）。

config interface 'wgA'
  option proto 'wireguard'
  list addresses '10.8.0.2/32'       # 你在 A 服务器分给 OpenWrt 的隧道 IP
  option private_key 'XXXXX'
  option peerdns '0'
  option mtu '1420'                  # 视需要调整
  option metric '50'                 # 防止干扰主路由

config wireguard_wgA
  option public_key 'PUBKEY_A'
  option endpoint_host '33.33.33.33'
  option endpoint_port '51820'
  option persistent_keepalive '25'
  list allowed_ips '0.0.0.0/0'       # 让隧道可承载全流量
  option route_allowed_ips '0'       # 但不自动加默认路由

config interface 'wgB'
  option proto 'wireguard'
  list addresses '10.9.0.2/32'
  option private_key 'YYYYY'
  option peerdns '0'
  option mtu '1420'
  option metric '50'

config wireguard_wgB
  option public_key 'PUBKEY_B'
  option endpoint_host '44.44.44.44'
  option endpoint_port '51820'
  option persistent_keepalive '25'
  list allowed_ips '0.0.0.0/0'
  option route_allowed_ips '0'

config interface 'wgC'
  option proto 'wireguard'
  list addresses '10.10.0.2/32'
  option private_key 'ZZZZZ'
  option peerdns '0'
  option mtu '1420'
  option metric '50'

config wireguard_wgC
  option public_key 'PUBKEY_C'
  option endpoint_host '55.55.55.55'
  option endpoint_port '51820'
  option persistent_keepalive '25'
  list allowed_ips '0.0.0.0/0'
  option route_allowed_ips '0'

防火墙：把 wgA/wgB/wgC 加到一个 vpn zone（出方向 ACCEPT，或转发到 WAN），LAN 允许 forward 到 vpn。

3) 策略路由（/etc/config/pbr）

config pbr 'config'
  option enabled '1'
  option strict_enforcement '1'
  option verbosity '1'

config policy
  option name 'LAN10_to_A'
  option src_addr '192.168.10.0/24'
  option interface 'wgA'

config policy
  option name 'LAN20_to_B'
  option src_addr '192.168.20.0/24'
  option interface 'wgB'

config policy
  option name 'LAN30_to_C'
  option src_addr '192.168.30.0/24'
  option interface 'wgC'

重启网络/服务：

/etc/init.d/network restart
/etc/init.d/pbr restart

4）： DNS 防泄漏

/etc/config/dhcp（dnsmasq）

  • 关闭本机 DNS 监听（只当 DHCP 不当 DNS）
  • 各网段通过 DHCP option 6 下发各自专属 DNS
    你可以用自己三台服务器的隧道侧地址（例如在服务器 A/B/C 上监听 10.8.0.1/10.9.0.1/10.10.0.1 的递归或转发 DNS），也可以用公共 DNS。下面给两套写法，你选其一。
config dnsmasq
  option domainneeded '1'
  option boguspriv '1'
  option authoritative '1'
  option noresolv '1'
  option port '0'          # 关闭本机53端口，路由器不提供DNS

# 按你的实际接口名修改（示例假设 br-lan10/20/30 对应的 dhcp 段名为 lan10/lan20/lan30）
config dhcp 'lan10'
  option interface 'lan10'
  option start '100'
  option limit '100'
  option leasetime '12h'
  # 下面两行二选一（只保留你选的那行！）
  # 【A 方案：用服务器A的隧道侧DNS】（建议跑 unbound/dnsmasq 在 10.8.0.1）
  # list dhcp_option '6,10.8.0.1'
  # 【B 方案：用公共DNS（示例Cloudflare）】
  list dhcp_option '6,1.1.1.1,1.0.0.1'

config dhcp 'lan20'
  option interface 'lan20'
  option start '100'
  option limit '100'
  option leasetime '12h'
  # 【A：服务器B】
  # list dhcp_option '6,10.9.0.1'
  # 【B：公共DNS（示例Google）】
  list dhcp_option '6,8.8.8.8,8.8.4.4'

config dhcp 'lan30'
  option interface 'lan30'
  option start '100'
  option limit '100'
  option leasetime '12h'
  # 【A：服务器C】
  # list dhcp_option '6,10.10.0.1'
  # 【B：公共DNS（示例Quad9）】
  list dhcp_option '6,9.9.9.9,149.112.112.112'

若采用【A 方案】，请在三台 CentOS 上各自开一个本地 DNS（unbound/dnsmasq 任一），监听隧道 IP（如 10.8.0.1），并允许递归到公网；这样天然“所有 DNS 一定走隧道”。

5): /etc/config/firewall（严格拦截 53，只放行白名单 DNS）

为每个网段添加两条规则：允许到“白名单 DNS”的 53、拒绝其它 53。
（下面示例分别给出 A/B 两种上游写法，保留你实际使用的 IP）

######## LAN10 -> 只许到 A 方案的 10.8.0.1（或 B 方案的 1.1.1.1/1.0.0.1） ########
config rule
  option name 'LAN10 allow DNS to A(or CF)'
  option src 'lan10'
  option proto 'tcpudp'
  option dest_port '53'
  # A 方案（服务器A在隧道侧的DNS）
  # option dest_ip '10.8.0.1'
  # B 方案（Cloudflare）
  option dest_ip '1.1.1.1 1.0.0.1'
  option target 'ACCEPT'

config rule
  option name 'LAN10 block other DNS'
  option src 'lan10'
  option proto 'tcpudp'
  option dest_port '53'
  option target 'REJECT'

######## LAN20 -> 只许到 B 方案的 10.9.0.1（或 8.8.8.8/8.8.4.4） ########
config rule
  option name 'LAN20 allow DNS to B(or Google)'
  option src 'lan20'
  option proto 'tcpudp'
  option dest_port '53'
  # A 方案（服务器B）
  # option dest_ip '10.9.0.1'
  # B 方案（Google）
  option dest_ip '8.8.8.8 8.8.4.4'
  option target 'ACCEPT'

config rule
  option name 'LAN20 block other DNS'
  option src 'lan20'
  option proto 'tcpudp'
  option dest_port '53'
  option target 'REJECT'

######## LAN30 -> 只许到 C 方案的 10.10.0.1（或 9.9.9.9/149.112.112.112） ########
config rule
  option name 'LAN30 allow DNS to C(or Quad9)'
  option src 'lan30'
  option proto 'tcpudp'
  option dest_port '53'
  # A 方案（服务器C）
  # option dest_ip '10.10.0.1'
  # B 方案（Quad9）
  option dest_ip '9.9.9.9 149.112.112.112'
  option target 'ACCEPT'

config rule
  option name 'LAN30 block other DNS'
  option src 'lan30'
  option proto 'tcpudp'
  option dest_port '53'
  option target 'REJECT'

6): 服务器端（CentOS）最小可用示例（每台一份）

以 A 为例（B/C 同理改端口与网段）：

/etc/wireguard/wg0.conf

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <SERVER_A_PRIVKEY>

# 打开转发 + NAT（iptables 版本，nft/火墙按需替换）
PostUp   = sysctl -w net.ipv4.ip_forward=1 ; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# OpenWrt（wgA）的公钥
PublicKey = <OPENWRT_PUBKEY_FOR_A>
AllowedIPs = 10.8.0.2/32

B/C 建议用不同的隧道网段（如 10.9.0.0/24、10.10.0.0/24），便于区分与排错。
启动：

systemctl enable --now wg-quick@wg0

7): 在 CentOS 服务器上开“隧道侧 DNS”

举例：在 A 服务器（10.8.0.1）用 dnsmasq 作转发器（轻量、够用），B/C 同理改 IP。

/etc/dnsmasq.d/wg-dns.conf：

# 仅监听隧道口
interface=wg0
listen-address=10.8.0.1
bind-interfaces
no-resolv
# 上游你可选 Cloudflare/Google/Quad9 等
server=1.1.1.1
server=1.0.0.1
cache-size=1000

启动并自启：

systemctl enable --now dnsmasq

方案二：纯 UCI 手工（多路由表 + ip rule）

1) 同上先建 3 条 WG 接口（与方案一相同），保持 route_allowed_ips '0'。

2) 自定义路由表与规则（/etc/config/network）

# 路由表 101/102/103：默认走各自的 wg 接口
config route
  option interface 'wgA'
  option target '0.0.0.0'
  option netmask '0.0.0.0'
  option table '101'

config rule
  option src '192.168.10.0/24'
  option lookup '101'
  option priority '1010'

config route
  option interface 'wgB'
  option target '0.0.0.0'
  option netmask '0.0.0.0'
  option table '102'

config rule
  option src '192.168.20.0/24'
  option lookup '102'
  option priority '1020'

config route
  option interface 'wgC'
  option target '0.0.0.0'
  option netmask '0.0.0.0'
  option table '103'

config rule
  option src '192.168.30.0/24'
  option lookup '103'
  option priority '1030'

/etc/init.d/network restart

3）：给每个表加“默认走 wgX”的路由（/etc/config/network）

##### 表101：默认经 wgA #####
config route
  option interface 'wgA'
  option target '0.0.0.0'
  option netmask '0.0.0.0'
  option table '101'          # => ip route add default dev wgA table 101

#（如用IPv6，同样建一条默认路由到 wgA）
# config route6
#   option interface 'wgA'
#   option target '::'
#   option netmask '0'
#   option table '101'

##### 表102：默认经 wgB #####
config route
  option interface 'wgB'
  option target '0.0.0.0'
  option netmask '0.0.0.0'
  option table '102'          # => default dev wgB

# config route6
#   option interface 'wgB'
#   option target '::'
#   option netmask '0'
#   option table '102'

##### 表103：默认经 wgC #####
config route
  option interface 'wgC'
  option target '0.0.0.0'
  option netmask '0.0.0.0'
  option table '103'          # => default dev wgC

# config route6
#   option interface 'wgC'
#   option target '::'
#   option netmask '0'
#   option table '103'

用策略规则把各源网段指向对应表（/etc/config/network）

##### LAN10 -> 表101 -> wgA #####
config rule
  option src '192.168.10.0/24'
  option lookup '101'
  option priority '1010'

##### LAN20 -> 表102 -> wgB #####
config rule
  option src '192.168.20.0/24'
  option lookup '102'
  option priority '1020'

##### LAN30 -> 表103 -> wgC #####
config rule
  option src '192.168.30.0/24'
  option lookup '103'
  option priority '1030'

编辑 /etc/iproute2/rt_tables 末尾追加：

101 t_wgA
102 t_wgB
103 t_wgC

应用并自检

/etc/init.d/network restart

# 查看规则与表
ip rule
ip route show table 101
ip route show table 102
ip route show table 103

# 看 WG 是否在传数据
wg show