基于Wireguard安全访问家庭内网

目标

经常在外或公司想访问一下家里内部的一些服务，如查看照片或文件。甚至拿起手机输入像192.168.1.1就可以访问到家里路由网页。直接暴露服务对外是不太安全的。在此之前我已经有一套相对安全的OAuth方案了，不过也心心念想试一下传统的如OpenVPN等方案，刚好Wireguard号称更艺术的VPN解决方案，于是一下能否完美解决这个场景。

准备

安装wireguard和依赖，我以ubuntu为例：

1
apt install resolvconf wireguard

配置

虽然wireguard是强调的对等网络，本身没有server/client之分，而我们这个应用场景，为了描述方便，我会区分server/client。

生成key

不需要特别对等，把家里的一台机器作为接入服务器，所有流量先到它，然后通过它转给内网。其它外网的腾讯云或公司笔记本等都主要是Client角色。

生成服务端key

用于配置家庭内网的一台机器wireguard。

1
2
3
mkdir wireguard
wg genkey > server.key
wg pubkey < server.key > server.key.pub

现在还不能直接配置它，我们还需要client的key，才能构建起一条隧道。

生成客户端key

我暂时以腾讯云上的一台CVM机器作为客户端。

1
2
3
mkdir wireguard
wg genkey > client.key
wg pubkey < client.key > client.key.pub

配置wireguard

服务端配置

如上述，服务端我指定10.10.10.10这个IP作为虚拟局域网IP，创建一个配置文件，随便取个名字如：wg-server.conf，内容如下：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
[Interface]
# 用上述server.key内容代替
PrivateKey = `cat server.key` 
Address = 10.10.10.10/32

# 让服务端监听在51820
ListenPort = 51820  

# 定义一些转发规则
PostUp   = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostUp = sysctl -w net.ipv4.ip_forward=1
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# 用上述client.key.pub内容代替
PublicKey = `cat client.key.pub`
AllowedIPs = 10.10.10.0/24
PersistentKeepalive = 25

简单解释一下，在wireguard中，通过双方定义的密钥等加解密，并且对于来源的ip等都有一些限制。这篇文章有部分讲解wireguard原理。

WireGuard 的核心部分是加密密钥路由（Cryptokey Routing），它的工作原理是将公钥和 IP 地址列表（AllowedIPs）关联起来。每一个网络接口都有一个私钥和一个 Peer 列表，每一个 Peer 都有一个公钥和 IP 地址列表。发送数据时，可以把 IP 地址列表看成路由表；接收数据时，可以把 IP 地址列表看成访问控制列表。

上述我们使用ListenPort来指定监听端口，一般这种情况是让wireguard具备中继能力，固定了端口，而如果不定义会是随机端口（可通过wg show all查看到）。

接着定义了PostUp/PostDown等用于设置一些东西。这是很关键的一点是，为了让这个服务能将消息转给我们内网，使用iptables的nat能力转给eth0(服务器的内网IP所在)设备，这样即达到消息转给内网。

然后将wireguard启用，可以直接用wg命令配置，不过这里推荐使用wg-quick简化操作：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
# 将上述创建的配置文件拷贝到默认目录 
kevin@ingress:~/wireguard$  sudo cp wg-server.conf /etc/wireguard/wg0.conf

# wg-quick，也可以传wg0.conf路径，这里用默认
kevin@ingress:~/wireguard$ wg-quick up wg0 
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip -4 address add 10.10.10.10/32 dev wg0
[#] ip link set mtu 1420 up dev wg0
[#] ip -4 route add 10.10.10.0/24 dev wg0
[#] iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
[#] sysctl -w net.ipv4.ip_forward=1
net.ipv4.ip_forward = 1

配置客户端

客户端的配置就是指定某些IP段消息转给我们内网服务器，你可以直接编辑: /etc/wireguard/wg0.conf，内容如下：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
[Interface]
# 上面生成的客户端私有key
PrivateKey = `cat client.key`
Address = 10.10.10.20/32  # 随便给客户端一个vip
# 如果你内网有DNS服务器提供内部域名解析，这里可以指定它的IP
DNS = 192.168.10.53  

[Peer]
# 使用上述在服务端生成的公共key
PublicKey = `cat server.key.pub`
# 这里要注意，除了wireguard所定义的10.10.10.0/24网段外，我们也加上内网IP段。
AllowedIPs = 10.10.10.0/24,192.168.10.0/24
PersistentKeepalive = 25
# 这里要注意，这个是我们内网服务器的IP（可用域名)和端口
# 视你内网服务器所在机器，有可能需要在路由上做一次端口转发
Endpoint = `domain-of-your-home-or-ip`:51820

以上配置按注释所描述修改后，我们再使用wg-quick起来。

1
2
3
4
5
6
7
ubuntu@tcloud:~/wireguard$ wg-quick up wg0
[#] ip link add wg0 type wireguard
[#] wg setconf wg0 /dev/fd/63
[#] ip -4 address add 10.10.10.20/32 dev wg0
[#] ip link set mtu 1420 up dev wg0
[#] ip -4 route add 192.168.10.0/24 dev wg0
[#] ip -4 route add 10.10.10.0/24 dev wg0

可以看到wg-quick帮我们做的事情，添加了几条ip route规则，将我们定义的网段通过wg0发出。

测试

基础联通性

现在我们先查看client那台的ip address信息，使用ip a即可。也测试ping内网服务器IP：10.10.10.10，发现是联通的。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
ubuntu@tcloud:~/wireguard$ ip a
...
11: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none
    inet 10.10.10.20/32 scope global wg0
       valid_lft forever preferred_lft forever
ubuntu@tcloud:~/wireguard$ ping 10.10.10.10
PING 10.10.10.10 (10.10.10.10) 56(84) bytes of data.
64 bytes from 10.10.10.10: icmp_seq=1 ttl=64 time=9.71 ms
64 bytes from 10.10.10.10: icmp_seq=2 ttl=64 time=9.78 ms
64 bytes from 10.10.10.10: icmp_seq=3 ttl=64 time=9.45 ms
^C
--- 10.10.10.10 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2004ms
rtt min/avg/max/mdev = 9.449/9.648/9.783/0.143 ms

内网转发测试

继续ping一个内网的其它机器：

1
2
3
4
5
6
7
8
9
ubuntu@tcloud:~/wireguard$ ping 192.168.10.1
PING 192.168.10.1 (192.168.10.1) 56(84) bytes of data.
64 bytes from 192.168.10.1: icmp_seq=1 ttl=63 time=12.3 ms
64 bytes from 192.168.10.1: icmp_seq=2 ttl=63 time=11.7 ms
64 bytes from 192.168.10.1: icmp_seq=3 ttl=63 time=11.7 ms
^C
--- 192.168.10.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 11.680/11.897/12.300/0.285 ms

甚至curl一个web服务，也是正常返回的。

1
2
3
ubuntu@tcloud:~/wireguard$ curl -kI https://192.168.10.57
HTTP/2 200
...

如果上面你配置了内网DNS，也可以用内部域名访问了。

1
2
3
ubuntu@mercedes:~/wireguard$ curl -Ik https://nas.home
HTTP/2 200
...

现在我们的这台外网的client已经和家庭内网几乎一样的使用体验了。

移动端配置

我们可以下载Wireguard的移动客户端，Android或iOS都有安装包，然后像上面一样定义一个client给这个客户端分配上。记得在内网服务器上添加上这个client为peer。

然后如果你不想在手机输入那么多客户端的接入信息，那么可以借助qrencode来生成一个配置的二维码。

1
apt install -y qrencode

如果你为你的手机创建了一个client相关的wg配置，比如名称为wg8.conf，内容：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
[Interface]
PrivateKey = ANzJpCQbtitEQfc4D7U28sfAso9SZmeUgMQQgiAeUUE=
Address = 10.10.10.30/32
DNS = 192.168.10.53 # 可选，没DNS则不写

[Peer]
PublicKey = `cat server.key.pub`
AllowedIPs = 10.10.10.0/24,192.168.10.0/24
PersistentKeepalive = 25
Endpoint = `domain-of-your-home-or-ip`:51820