wireguard

admin

本脚本适用环境
3 ~2 @; y3 o$ \. S系统支持：CentOS 7+，Debian 8+，Raspbian 10，Ubuntu 16+，Fedora 29+
: f* }: M# H' x  l9 D1 _内存要求：≥256M
6 B/ c, Y- W& U& t# P日期　　：2020 年 4 月 2 日
# r8 x- h7 y3 w5 j; z. L
关于本脚本
8 m4 e* d+ R# K+ V' X/ K1. 支持两种安装方式：从代码编译安装，从 repository 直接安装；
2. 脚本会创建默认的 wg0 设备，以及 wg0 的客户端配置，并生成客户端配置对应的二维码 png 图片；
0 s& D  q* b+ z) L& f" u3. 脚本会修改本机防火墙设置，如果未启用防火墙，则会出现警告提示，需要手动去设置；
8 ]( r& Y6 W; I4. 脚本会从 1024 到 20480 随机生成监听端口；
5. 脚本支持新增，删除，列出客户端功能；
  D: e2 b7 c) h% W, ^: }" E6. 脚本支持查看已安装的 WireGuard 的版本号；
; \4 D: Z3 m& @. ?3 o% m7. 脚本支持从代码编译安装的方式升级 WireGuard 到当前最新版本；
7 S8 a  C' E4 r' E3 j
! C% ]7 k! P% v) D客户端下载
Windows, macOS, Android, iOS 客户端
0 c5 W) R- x% ~& chttps://www.wireguard.com/install/

脚本使用方法
使用 root 用户登录系统，运行以下命令下载脚本，赋予执行权限：

wget --no-check-certificate -O /opt/wireguard.sh https://raw.githubusercontent.co ... master/wireguard.sh
& }# z9 R, w6 _1 T! I$ q& a  echmod 755 /opt/wireguard.sh
写在前面
' g9 X" ~: Z, Y( A% dWireGuard 的安装和使用条件是比较苛刻的。因此我不建议在生产系统里安装和使用 WireGuard，除非你知道自己在做什么。
% q# i  ~! F4 X5 M( M1 @) S$ s7 {8 P它依赖于内核，也就是 kernel，在不同的系统中，内核，内核源码包，内核头文件必须存在且这三者版本要一致。
3 v5 Y  e, q! q' JRedHat，CentOS，Fedora，Oracle Linux，Amazon Linux 等 rpm 系的名字是 kernel，kernel-devel，kernel-headers。
Debian，Ubuntu 等 deb 系的名字是 kernel，linux-headers。
3 e9 w! O9 n8 P8 a( k如果这三者任一条件不满足的话，则不管是从代码编译安装还是从 repository 直接安装，也只是安装了 wireguard-tools 而已。
而 WireGuard 真正工作的部分，是 wireguard-dkms，也就是动态内核模块支持(DKMS)，是它将 WireGuard 编译到系统内核中。
# t9 W7 u' J" J3 b- f因此，在某些 VPS 商家，是需要你先自主更换系统内核，并事先将这三者安装好，才有可能不会出现编译或安装失败。

我在测试的时候，就经历过各种内核的问题导致的安装失败。如果你也遇到了同样的问题，建议先更换内核。
就我个人的体验而言，在 CentOS 7 下更换为 elrepo 的内核是最容易的。这里有个脚本，可以更换到最新版内核，且自动开启 BBR 网络传输算法。
一键安装最新内核并开启 BBR 脚本
1 L: T" b2 k, _( W此脚本运行后，最后会提示你重启系统，此时可以输入 n，暂不重启。手动安装 kernel-headers，运行如下命令：
! c$ {! b& J; }" V/ _% t: Y
# o+ {% h8 C5 b) Yyum -y install kernel-ml-headers
( f% d3 P" N: G1 e% U; q* u/ F然后再重启之。运行如下命令：
4 O/ Y5 R4 q1 A: ^' f  s
reboot
重启后进入系统，运行下面的从代码编译安装 WireGuard，基本上就不会出现安装失败的问题了。
注意：自主更换内核后，我建议使用从代码编译安装 WireGuard。
" l5 R3 h+ p% Q( C8 i3 u
更新日志
3 n1 B' L" S+ d0 H$ @! \2020 年 4 月 2 日：
( Z5 S" r$ N2 j/ ?/ |( fLinux 内核 5.6 正式发布了，内置了 wireguard module。
本次更新添加了检测系统内核版本，如果大于等于 5.6 则不安装 wireguard module，仅安装 wireguard tools，然后再生成默认配置。
当系统内核小于 5.6 时，则依然安装 wireguard module 和 tools，并生成默认配置。

2020 年 1 月 6 日：
一个好消息是 WireGuard 即将要合并到内核 5.6 里面了。
% o3 B. l0 g6 N8 R) S* O. P于是作者在近期把 repo 改名了，从而导致脚本无法获取到正确的版本号。
并且还把原来的 repo 一分为二了，分别改为 wireguard-linux-compat 和 wireguard-tools。前者是内核模块，后者是命令行工具。
% v& R7 Z. q' a" N' d, D8 q此次更新就是修复了以上问题。

2019 年 11 月 16 日：
1 ^' d, c- D* {2 `2 ?6 v( T* i1、修正客户端配置文件创建时的各参数顺序，与 Windows 客户端的显示顺序一致。
/ U* Z8 q9 o* ]7 L2、新增 Windows 客户端配置示例说明。

2019 年 10 月 27 日：
8 L" L' |7 M5 v0 g8 H  L1、新增卸载函数，使用方法请参考下面的卸载方法。
2、支持在 CentOS8 下从 repository 安装，或者从代码编译安装。

% M6 W8 `- w! J; f$ N( ~从代码编译安装 WireGuard
/ J# ?5 e; t% A7 k! K/opt/wireguard.sh -s
从 repository 直接安装 WireGuard
% {* X5 G2 j" H$ o; I" g% i/opt/wireguard.sh -r
# E5 R7 \6 R$ y; G; M8 `安装完成后，脚本提示如下
( \+ ^4 `2 _* h/ h! b. ?6 ~7 [WireGuard VPN Server installation completed
WireGuard VPN default client file is below:
/etc/wireguard/wg0_client
! \& J; k# L3 k& SWireGuard VPN default client QR Code is below:
  z# o0 x' w- y/etc/wireguard/wg0_client.png
Download and scan this QR Code with your phone
( z/ a7 L6 i1 g9 W, i: N. {Welcome to visit: https://teddysun.com/554.html
) U; n5 |9 c% _# }' mEnjoy it
- Y1 i1 Y! M* e4 Z3 U卸载方法
  U9 W9 Q2 ]* V( s* I% X  i/opt/wireguard.sh -n
/ V2 n$ G. V* G* c* G% T$ L其他使用选项
9 C6 G9 O9 m; k8 j3 q& X. o! `查看已安装 WireGuard 版本号
4 R# d4 \+ o" X$ U8 ^
; o. \  h1 n- I/ L6 H) P  {. c4 m/opt/wireguard.sh -v
6 ?. }, ?/ ]6 U, g4 w1 X, u+ g5 M* N& S编译升级 WireGuard 到当前最新版本
1 e6 Q* d1 r7 u% V5 D$ @
" i& a9 i! v4 I+ D) Y2 p/opt/wireguard.sh -u
新增 WireGuard 客户端配置

/opt/wireguard.sh -a
删除 WireGuard 客户端配置
6 l. N, Q# }5 W, N6 K' g注意：默认客户端 wg0 不允许删除
5 p/ w4 u# S' ~4 x+ c6 a
/opt/wireguard.sh -d
& y3 t8 i. ^" v. l列出 WireGuard 客户端配置

/opt/wireguard.sh -l
7 e7 X$ o% ?4 Y5 |1 [# W9 Q高级用法
如果你在安装时，需要自定义自己想要的端口，那么可以 export 变量 VPN_SERVER_WG_PORT 的值，这样脚本就会读取这个变量值来定义监听端口，而不会自己随机生成。
比如你想自定义端口为 1234，那么具体做法就是，在执行从代码编译安装 WireGuard 或者从 repository 直接安装 WireGuard 之前，运行如下命令：
6 Z9 g8 {4 l! }% s" R6 `6 {
9 W# U* A7 s9 G' @  J" }export VPN_SERVER_WG_PORT=1234
下面是一份脚本里用到的变量列表名（共计 11 个），以及它们具体代表什么含义的说明。
( s/ d* A0 Z7 i' y, H) NVPN_SERVER_PUB_IPV4，定义服务器公网 IPv4，如果你的服务器端存在多个可用公网 IPv4，指定此变量的值。
' X" `  |( K9 HVPN_SERVER_PUB_IPV6，定义服务器公网 IPv6，如果你的服务器端存在多个可用公网 IPv6，指定此变量的值。
5 _. n( B/ _& A* M1 {5 {6 `VPN_SERVER_PUB_NIC，定义服务器默认网卡名称，如果你的服务器有多个可用网卡，指定此变量的值。
! i+ b/ \. e+ A+ S4 CVPN_SERVER_WG_NIC，定义 WireGuard 网卡名，默认为 wg0，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV4，定义 WireGuard 服务端的内网 IPv4，默认为 10.88.88.1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV6，定义 WireGuard 服务端的内网 IPv6，默认为 fd88:88:88::1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_PORT，定义器 WireGuard 服务端的监听端口，默认为从 1024 到 20480 随机生成，如果你想自定义端口，指定此变量的值。
VPN_CLIENT_WG_IPV4，定义 WireGuard 默认客户端的内网 IPv4，默认为 10.88.88.2，这里一般不推荐指定此变量的值。
3 t5 I0 V$ W  bVPN_CLIENT_WG_IPV6，定义 WireGuard 默认客户端的内网 IPv6，默认为 fd88:88:88::2，这里一般不推荐指定此变量的值。
5 O" m3 x0 e. _6 k' MVPN_CLIENT_DNS_1，定义 WireGuard 默认客户端的 DNS，默认为 1.1.1.1，如果你想自定义为别的 DNS，指定此变量的值。
VPN_CLIENT_DNS_2，定义 WireGuard 默认客户端的 DNS，默认为 8.8.8.8，如果你想自定义为别的 DNS，指定此变量的值。
' Y  k) y/ }3 l* I( o
Windows 客户端配置
下载，安装，打开客户端软件，点击 Add Tunnel -> Add empty tunnel…
5 q" S8 u- i! E4 dWireGuard 一键安装脚本

, D. [# F. |3 E0 C; E/ X此时出现一个可以编辑的界面，将脚本生成的客户端配置 /etc/wireguard/wg0_client 里的内容复制出来，粘贴，保存。
  B- c6 A3 S9 L1 G/ W* r1 wWireGuard 一键安装脚本
0 J6 X  u; o' C% ]  k
WireGuard 一键安装脚本

点击 Activate，就可以 VPN 连接了。
9 ?6 L; ?, n1 t( P, D! e9 ?WireGuard 一键安装脚本

2 ?1 f# g6 b: t0 `  }参考链接
2 p. x$ L% g4 u, k) e# phttps://www.wireguard.com
https://github.com/WireGuard/WireGuard
$ A' W: k5 e; v: b: h3 g7 F& Thttps://git.zx2c4.com/WireGuard
+ k  h2 E. T& X% @# Thttps://golb.hplar.ch/2019/07/wireguard-windows.html