wireguard

admin

本脚本适用环境
! L- F; L2 o8 D0 q% ^系统支持：CentOS 7+，Debian 8+，Raspbian 10，Ubuntu 16+，Fedora 29+
内存要求：≥256M
" _8 R) I/ V% r! z- S/ i/ X3 e日期　　：2020 年 4 月 2 日

关于本脚本
1. 支持两种安装方式：从代码编译安装，从 repository 直接安装；
2. 脚本会创建默认的 wg0 设备，以及 wg0 的客户端配置，并生成客户端配置对应的二维码 png 图片；
3. 脚本会修改本机防火墙设置，如果未启用防火墙，则会出现警告提示，需要手动去设置；
# F7 z& E% l+ {, M7 u$ ?# O9 `( z4. 脚本会从 1024 到 20480 随机生成监听端口；
5. 脚本支持新增，删除，列出客户端功能；
6. 脚本支持查看已安装的 WireGuard 的版本号；
  f# Y8 {9 z7 {: }3 \( F% r- _7. 脚本支持从代码编译安装的方式升级 WireGuard 到当前最新版本；
0 t& u* A" L0 ^4 f1 q
& i2 Y' R' B1 o4 s# Z5 [客户端下载
% ~1 }% W9 {* t9 kWindows, macOS, Android, iOS 客户端
https://www.wireguard.com/install/
/ y8 r* z+ A* [2 u
脚本使用方法
使用 root 用户登录系统，运行以下命令下载脚本，赋予执行权限：

7 {* N/ U5 p" V+ @3 s- y0 ^wget --no-check-certificate -O /opt/wireguard.sh https://raw.githubusercontent.co ... master/wireguard.sh
# V; i7 j& g: ~9 B* E1 @% }0 \& echmod 755 /opt/wireguard.sh
0 s" L, [0 c/ {2 ]. O写在前面
4 @2 S$ K2 C- cWireGuard 的安装和使用条件是比较苛刻的。因此我不建议在生产系统里安装和使用 WireGuard，除非你知道自己在做什么。
! u9 D$ Q' r# T3 o! l它依赖于内核，也就是 kernel，在不同的系统中，内核，内核源码包，内核头文件必须存在且这三者版本要一致。
RedHat，CentOS，Fedora，Oracle Linux，Amazon Linux 等 rpm 系的名字是 kernel，kernel-devel，kernel-headers。
; q) a( U* @3 i. v9 V" \7 XDebian，Ubuntu 等 deb 系的名字是 kernel，linux-headers。
) U( Q, |+ d9 m, s如果这三者任一条件不满足的话，则不管是从代码编译安装还是从 repository 直接安装，也只是安装了 wireguard-tools 而已。
, Q! m# S' g" i而 WireGuard 真正工作的部分，是 wireguard-dkms，也就是动态内核模块支持(DKMS)，是它将 WireGuard 编译到系统内核中。
因此，在某些 VPS 商家，是需要你先自主更换系统内核，并事先将这三者安装好，才有可能不会出现编译或安装失败。
# M! C  O4 |- `3 c
) q. V0 e1 c7 A1 z1 `我在测试的时候，就经历过各种内核的问题导致的安装失败。如果你也遇到了同样的问题，建议先更换内核。
就我个人的体验而言，在 CentOS 7 下更换为 elrepo 的内核是最容易的。这里有个脚本，可以更换到最新版内核，且自动开启 BBR 网络传输算法。
一键安装最新内核并开启 BBR 脚本
! i3 j$ d! V6 L7 n此脚本运行后，最后会提示你重启系统，此时可以输入 n，暂不重启。手动安装 kernel-headers，运行如下命令：
0 B, c9 e6 v- |+ M
6 W/ C, B& e# _yum -y install kernel-ml-headers
然后再重启之。运行如下命令：

reboot
7 L' C' s; \/ v6 f$ q( S1 n0 }. l0 e* e重启后进入系统，运行下面的从代码编译安装 WireGuard，基本上就不会出现安装失败的问题了。
注意：自主更换内核后，我建议使用从代码编译安装 WireGuard。

更新日志
- x! c# B. c9 p2 u. y2020 年 4 月 2 日：
4 F% g$ R& t. P9 C& Y  ILinux 内核 5.6 正式发布了，内置了 wireguard module。
- Y4 ^! _9 T2 x7 |$ Q# M本次更新添加了检测系统内核版本，如果大于等于 5.6 则不安装 wireguard module，仅安装 wireguard tools，然后再生成默认配置。
+ B' y' V+ g+ k0 d当系统内核小于 5.6 时，则依然安装 wireguard module 和 tools，并生成默认配置。

/ j- k1 |$ g. a2020 年 1 月 6 日：
一个好消息是 WireGuard 即将要合并到内核 5.6 里面了。
于是作者在近期把 repo 改名了，从而导致脚本无法获取到正确的版本号。
: L9 X& U2 o, v" G4 O并且还把原来的 repo 一分为二了，分别改为 wireguard-linux-compat 和 wireguard-tools。前者是内核模块，后者是命令行工具。
9 T) q9 W5 n4 ]5 ]此次更新就是修复了以上问题。

2019 年 11 月 16 日：
1、修正客户端配置文件创建时的各参数顺序，与 Windows 客户端的显示顺序一致。
4 z) o( o6 K) M/ Z8 e& n' Y% I2、新增 Windows 客户端配置示例说明。
# ^2 K5 r: f& c, t9 B- R6 N
2019 年 10 月 27 日：
1、新增卸载函数，使用方法请参考下面的卸载方法。
2、支持在 CentOS8 下从 repository 安装，或者从代码编译安装。

从代码编译安装 WireGuard
/opt/wireguard.sh -s
从 repository 直接安装 WireGuard
8 Z9 n8 z% e5 b5 ~- \/opt/wireguard.sh -r
安装完成后，脚本提示如下
2 v' w$ w4 Y$ o$ G& v8 ^0 Q4 h3 yWireGuard VPN Server installation completed
5 u+ T. G# B8 e' cWireGuard VPN default client file is below:
: P  @/ u/ N4 w/etc/wireguard/wg0_client
WireGuard VPN default client QR Code is below:
/etc/wireguard/wg0_client.png
- x4 L( b9 V  W# P# FDownload and scan this QR Code with your phone
/ e; _  X6 Y4 xWelcome to visit: https://teddysun.com/554.html
) e3 w0 ]' K3 _2 v4 VEnjoy it
卸载方法
/opt/wireguard.sh -n
2 B1 X0 i$ \9 ~: x  a8 b4 E6 A* m, F" I其他使用选项
+ l2 q" P/ w0 m* o" u: E查看已安装 WireGuard 版本号

# k! a8 n4 g" Y! G" U; N" r/opt/wireguard.sh -v
% x& [9 S, S* D8 ]1 Q  n/ B: m编译升级 WireGuard 到当前最新版本
# F# D% U- p, T# i' S1 |( A3 V
' M  T  h( y! ~. I) X; m5 B& Z/opt/wireguard.sh -u
& I( s5 [, P! _新增 WireGuard 客户端配置
6 b: H) r7 b( z$ e" F
  Q3 ?! N/ G5 j* \' B! U0 o. v% A/opt/wireguard.sh -a
0 Z2 Y6 m% l% m# ~# e! N! r删除 WireGuard 客户端配置
& u: b# `4 h9 v, r# P' r注意：默认客户端 wg0 不允许删除

/opt/wireguard.sh -d
0 r( K* E! ~/ p+ E/ t3 S列出 WireGuard 客户端配置

# A, O* V3 a) I7 h% n+ @& m# b0 Q/opt/wireguard.sh -l
高级用法
9 I& h, O: w4 ]1 G# a) }6 l如果你在安装时，需要自定义自己想要的端口，那么可以 export 变量 VPN_SERVER_WG_PORT 的值，这样脚本就会读取这个变量值来定义监听端口，而不会自己随机生成。
/ Z- _5 v- k- g+ H比如你想自定义端口为 1234，那么具体做法就是，在执行从代码编译安装 WireGuard 或者从 repository 直接安装 WireGuard 之前，运行如下命令：

( }: `, P4 J* z5 W. I2 @- Y3 iexport VPN_SERVER_WG_PORT=1234
( F1 ^; D( D5 S) {# H8 m下面是一份脚本里用到的变量列表名（共计 11 个），以及它们具体代表什么含义的说明。
2 c. W" f5 c- l- R) f; n) ]# r/ LVPN_SERVER_PUB_IPV4，定义服务器公网 IPv4，如果你的服务器端存在多个可用公网 IPv4，指定此变量的值。
VPN_SERVER_PUB_IPV6，定义服务器公网 IPv6，如果你的服务器端存在多个可用公网 IPv6，指定此变量的值。
VPN_SERVER_PUB_NIC，定义服务器默认网卡名称，如果你的服务器有多个可用网卡，指定此变量的值。
- p/ z4 E9 ?1 W0 p6 p2 u8 |7 zVPN_SERVER_WG_NIC，定义 WireGuard 网卡名，默认为 wg0，这里一般不推荐指定此变量的值。
1 ^/ ~) r4 ?- G7 \$ _VPN_SERVER_WG_IPV4，定义 WireGuard 服务端的内网 IPv4，默认为 10.88.88.1，这里一般不推荐指定此变量的值。
2 C" z9 E  `; S  bVPN_SERVER_WG_IPV6，定义 WireGuard 服务端的内网 IPv6，默认为 fd88:88:88::1，这里一般不推荐指定此变量的值。
4 @, \: h* K- u3 r  L3 EVPN_SERVER_WG_PORT，定义器 WireGuard 服务端的监听端口，默认为从 1024 到 20480 随机生成，如果你想自定义端口，指定此变量的值。
VPN_CLIENT_WG_IPV4，定义 WireGuard 默认客户端的内网 IPv4，默认为 10.88.88.2，这里一般不推荐指定此变量的值。
VPN_CLIENT_WG_IPV6，定义 WireGuard 默认客户端的内网 IPv6，默认为 fd88:88:88::2，这里一般不推荐指定此变量的值。
' q9 ?  c4 X/ u" Y3 mVPN_CLIENT_DNS_1，定义 WireGuard 默认客户端的 DNS，默认为 1.1.1.1，如果你想自定义为别的 DNS，指定此变量的值。
  v3 z' W% y: S* }! U5 I3 yVPN_CLIENT_DNS_2，定义 WireGuard 默认客户端的 DNS，默认为 8.8.8.8，如果你想自定义为别的 DNS，指定此变量的值。

Windows 客户端配置
下载，安装，打开客户端软件，点击 Add Tunnel -> Add empty tunnel…
WireGuard 一键安装脚本
. o0 c, r2 h1 ?
1 `9 y8 l4 P. {& \# r, c此时出现一个可以编辑的界面，将脚本生成的客户端配置 /etc/wireguard/wg0_client 里的内容复制出来，粘贴，保存。
WireGuard 一键安装脚本

5 t( o# R2 R- x8 c+ \9 dWireGuard 一键安装脚本
9 _7 j% ]; w6 `. n! l; g- I# W/ ]
点击 Activate，就可以 VPN 连接了。
WireGuard 一键安装脚本

参考链接
https://www.wireguard.com
  f  [1 w2 K* T7 z1 ~https://github.com/WireGuard/WireGuard
+ R% J# F7 n9 g1 V) [( u/ `' ^https://git.zx2c4.com/WireGuard
8 p0 C! R& Y! Y4 h) C3 Xhttps://golb.hplar.ch/2019/07/wireguard-windows.html