wireguard

admin

本脚本适用环境
% W  ~0 A+ d, ?# @系统支持：CentOS 7+，Debian 8+，Raspbian 10，Ubuntu 16+，Fedora 29+
# C1 I' }" h! {  m) v内存要求：≥256M
日期　　：2020 年 4 月 2 日
5 m0 v6 q" a/ x+ Y
* Y) Q* n& ?, M0 a9 g9 e, G5 D关于本脚本
" s, G" q' N! J4 f1. 支持两种安装方式：从代码编译安装，从 repository 直接安装；
. j1 }7 a9 m; Q6 r. v2. 脚本会创建默认的 wg0 设备，以及 wg0 的客户端配置，并生成客户端配置对应的二维码 png 图片；
* `9 W) d# q2 k. m) p  L) G3. 脚本会修改本机防火墙设置，如果未启用防火墙，则会出现警告提示，需要手动去设置；
4. 脚本会从 1024 到 20480 随机生成监听端口；
  {1 F3 H+ z" W$ w2 ^7 s) a" C5. 脚本支持新增，删除，列出客户端功能；
6. 脚本支持查看已安装的 WireGuard 的版本号；
7. 脚本支持从代码编译安装的方式升级 WireGuard 到当前最新版本；
& q& D1 ~/ \, Y1 z9 W# B
1 |6 F' z- e$ @0 `+ v/ m客户端下载
Windows, macOS, Android, iOS 客户端
https://www.wireguard.com/install/
' c8 c" n# \# y/ @3 L/ ~
脚本使用方法
使用 root 用户登录系统，运行以下命令下载脚本，赋予执行权限：

9 V, K: T! O9 [5 Twget --no-check-certificate -O /opt/wireguard.sh https://raw.githubusercontent.co ... master/wireguard.sh
% [% K5 f! l& k* c+ ~; Xchmod 755 /opt/wireguard.sh
写在前面
8 K$ F  }' w" }* ?, U4 b7 k9 q! YWireGuard 的安装和使用条件是比较苛刻的。因此我不建议在生产系统里安装和使用 WireGuard，除非你知道自己在做什么。
它依赖于内核，也就是 kernel，在不同的系统中，内核，内核源码包，内核头文件必须存在且这三者版本要一致。
RedHat，CentOS，Fedora，Oracle Linux，Amazon Linux 等 rpm 系的名字是 kernel，kernel-devel，kernel-headers。
# A- T  t- K6 i3 ]0 G& w0 K9 YDebian，Ubuntu 等 deb 系的名字是 kernel，linux-headers。
$ g0 d5 r/ x# Q" D* P1 u" f! ^如果这三者任一条件不满足的话，则不管是从代码编译安装还是从 repository 直接安装，也只是安装了 wireguard-tools 而已。
' q" r9 B8 p8 z- _( K2 ~$ q而 WireGuard 真正工作的部分，是 wireguard-dkms，也就是动态内核模块支持(DKMS)，是它将 WireGuard 编译到系统内核中。
因此，在某些 VPS 商家，是需要你先自主更换系统内核，并事先将这三者安装好，才有可能不会出现编译或安装失败。

我在测试的时候，就经历过各种内核的问题导致的安装失败。如果你也遇到了同样的问题，建议先更换内核。
& K1 `6 L/ R7 y  F, F就我个人的体验而言，在 CentOS 7 下更换为 elrepo 的内核是最容易的。这里有个脚本，可以更换到最新版内核，且自动开启 BBR 网络传输算法。
5 m- Y8 Z: \( Z一键安装最新内核并开启 BBR 脚本
4 W  |8 i# `' r0 A( V此脚本运行后，最后会提示你重启系统，此时可以输入 n，暂不重启。手动安装 kernel-headers，运行如下命令：
- s, A" t$ B0 O5 f+ T
yum -y install kernel-ml-headers
然后再重启之。运行如下命令：

: t$ o0 n: _9 x9 q- a* Mreboot
- M3 j' N% S" i, r重启后进入系统，运行下面的从代码编译安装 WireGuard，基本上就不会出现安装失败的问题了。
注意：自主更换内核后，我建议使用从代码编译安装 WireGuard。

" w+ j. w2 s+ q8 @2 F更新日志
2020 年 4 月 2 日：
5 f( P! |) X# VLinux 内核 5.6 正式发布了，内置了 wireguard module。
5 B1 q. `4 u$ w0 D- b' U2 f. u; u本次更新添加了检测系统内核版本，如果大于等于 5.6 则不安装 wireguard module，仅安装 wireguard tools，然后再生成默认配置。
当系统内核小于 5.6 时，则依然安装 wireguard module 和 tools，并生成默认配置。
7 ?' b$ c. J2 m' [1 H% a
7 E( m* S% B  l5 U8 l1 b. a2020 年 1 月 6 日：
9 r" `0 F8 _5 f$ M一个好消息是 WireGuard 即将要合并到内核 5.6 里面了。
9 \/ C! D. y  [7 T" G8 z3 q于是作者在近期把 repo 改名了，从而导致脚本无法获取到正确的版本号。
$ [& g- {5 x  `  l( {7 _并且还把原来的 repo 一分为二了，分别改为 wireguard-linux-compat 和 wireguard-tools。前者是内核模块，后者是命令行工具。
此次更新就是修复了以上问题。

2019 年 11 月 16 日：
1、修正客户端配置文件创建时的各参数顺序，与 Windows 客户端的显示顺序一致。
2、新增 Windows 客户端配置示例说明。

2019 年 10 月 27 日：
1、新增卸载函数，使用方法请参考下面的卸载方法。
2、支持在 CentOS8 下从 repository 安装，或者从代码编译安装。
9 ?$ X4 }1 T; H* f% ^/ d
/ S0 k: |) N' g5 Z- E从代码编译安装 WireGuard
/opt/wireguard.sh -s
7 E1 e' R: p  s$ @$ h从 repository 直接安装 WireGuard
: `2 p* G5 N9 |$ N' R' P/opt/wireguard.sh -r
1 _' p' q6 n7 u7 m  L. w安装完成后，脚本提示如下
WireGuard VPN Server installation completed
WireGuard VPN default client file is below:
/etc/wireguard/wg0_client
WireGuard VPN default client QR Code is below:
/etc/wireguard/wg0_client.png
Download and scan this QR Code with your phone
Welcome to visit: https://teddysun.com/554.html
Enjoy it
卸载方法
+ b: d6 z5 r, _7 y8 P5 t/ @2 r/ E) i/opt/wireguard.sh -n
9 J  s3 u3 M* [' y其他使用选项
, w# R/ _  b1 i  X1 ~. C查看已安装 WireGuard 版本号
3 I$ C1 }( [5 ~, Q; P! U
/opt/wireguard.sh -v
' x5 M  L: }+ X- ?0 o编译升级 WireGuard 到当前最新版本

' r9 d5 l0 E" M; g; h. o/opt/wireguard.sh -u
- x1 J9 ^* T  w2 j* z新增 WireGuard 客户端配置
4 W' H+ b9 j4 z3 i
/opt/wireguard.sh -a
% i( J9 @7 R/ v4 f" w4 }$ Z" R" W% E( ?6 n删除 WireGuard 客户端配置
注意：默认客户端 wg0 不允许删除
5 p6 K7 L6 G9 p' t+ N; k
9 p! b/ C3 C. J" M+ `/opt/wireguard.sh -d
) r* @. b6 R' _) j3 ?' z" R0 Y列出 WireGuard 客户端配置

! x" T9 U9 ?: b$ `/opt/wireguard.sh -l
( J; U9 V, _. b- Y" l: {高级用法
如果你在安装时，需要自定义自己想要的端口，那么可以 export 变量 VPN_SERVER_WG_PORT 的值，这样脚本就会读取这个变量值来定义监听端口，而不会自己随机生成。
2 b, y# U0 K1 O: a6 ]' N+ w4 p7 n比如你想自定义端口为 1234，那么具体做法就是，在执行从代码编译安装 WireGuard 或者从 repository 直接安装 WireGuard 之前，运行如下命令：
$ {) F8 l" t0 b8 `% a" M
export VPN_SERVER_WG_PORT=1234
下面是一份脚本里用到的变量列表名（共计 11 个），以及它们具体代表什么含义的说明。
VPN_SERVER_PUB_IPV4，定义服务器公网 IPv4，如果你的服务器端存在多个可用公网 IPv4，指定此变量的值。
VPN_SERVER_PUB_IPV6，定义服务器公网 IPv6，如果你的服务器端存在多个可用公网 IPv6，指定此变量的值。
; X; B& z* W) K& VVPN_SERVER_PUB_NIC，定义服务器默认网卡名称，如果你的服务器有多个可用网卡，指定此变量的值。
* p3 G" \/ c' p: }* {/ qVPN_SERVER_WG_NIC，定义 WireGuard 网卡名，默认为 wg0，这里一般不推荐指定此变量的值。
+ g/ q0 h, d, I3 |6 A' kVPN_SERVER_WG_IPV4，定义 WireGuard 服务端的内网 IPv4，默认为 10.88.88.1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV6，定义 WireGuard 服务端的内网 IPv6，默认为 fd88:88:88::1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_PORT，定义器 WireGuard 服务端的监听端口，默认为从 1024 到 20480 随机生成，如果你想自定义端口，指定此变量的值。
VPN_CLIENT_WG_IPV4，定义 WireGuard 默认客户端的内网 IPv4，默认为 10.88.88.2，这里一般不推荐指定此变量的值。
' ?1 E  }2 W( z5 h: \VPN_CLIENT_WG_IPV6，定义 WireGuard 默认客户端的内网 IPv6，默认为 fd88:88:88::2，这里一般不推荐指定此变量的值。
VPN_CLIENT_DNS_1，定义 WireGuard 默认客户端的 DNS，默认为 1.1.1.1，如果你想自定义为别的 DNS，指定此变量的值。
VPN_CLIENT_DNS_2，定义 WireGuard 默认客户端的 DNS，默认为 8.8.8.8，如果你想自定义为别的 DNS，指定此变量的值。

6 s0 G4 J: \* r1 Z2 b8 lWindows 客户端配置
6 N& h% M- S. N* G* o4 A8 T. D下载，安装，打开客户端软件，点击 Add Tunnel -> Add empty tunnel…
WireGuard 一键安装脚本
3 \  P7 J) i' B4 x/ C
此时出现一个可以编辑的界面，将脚本生成的客户端配置 /etc/wireguard/wg0_client 里的内容复制出来，粘贴，保存。
3 Y. T; |" a  ]" o. AWireGuard 一键安装脚本

+ F  ]+ Y6 u& o& h( q* k$ [WireGuard 一键安装脚本
$ [8 j" }) b, K( n
点击 Activate，就可以 VPN 连接了。
WireGuard 一键安装脚本
7 D( \# c2 B9 V
: k5 y* m" U& A  \参考链接
https://www.wireguard.com
5 d1 T7 Z0 B" Thttps://github.com/WireGuard/WireGuard
https://git.zx2c4.com/WireGuard
& l: {0 `3 v# r9 P$ vhttps://golb.hplar.ch/2019/07/wireguard-windows.html