如何配置 wireguard 转发客户端 IP 地址（带网关）？

Question

我正在尝试将 wireguard 配置为 VPN 服务器。主要问题是网关仅将 VPN 服务器 IP 转发到其他服务器，而不是我的客户端 IP。

我的设置如下：

                                                        - server A (10.10.0.4)
                                                      /
CLIENT (10.10.1.3) -> wireguard server (10.10.1.2) -- 
                                       (10.10.0.2)    \
                                                        - server B (10.10.0.3)

wireguard 服务器运行在一台有两块接口的机器上：

• eth0（10.10.0.2）
• wg0 (10.10.1.2)

建立 VPN 连接后，我可以连接到服务器 A 和服务器 B（通过 ssh）。问题是，Wireguard 服务器的 IP 地址被转发（nat）到服务器 A 和 B。每次通过 ssh 登录时都会显示最后一个连接来自 10.10.0.2（在服务器 A 和 B 上）。但在 wireguard 服务器上，最后登录的 IP 是我的真实客户端 IP（10.10.1.3）。

我想要做的是配置 wireguard，以便我的 IP（10.10.1.3）正确转发到服务器 A 和 B。

这是我的客户端 wireguard 配置文件：

[Interface]
PrivateKey = xxx
Address = 10.10.1.3/24
DNS = 10.10.0.2, 8.8.8.8

[Peer]
PublicKey = XXX
AllowedIPs = 10.10.0.0/24
Endpoint = xxx.xxx.xxx.xxx:41194
PersistentKeepalive = 15

我的 wireguard 服务器（wg0.conf）配置：

[Interface]
Address = 10.10.1.2/24

## My VPN server port ##
ListenPort = 41194

PrivateKey = xxx

# Internet Gateway config: nat wg1 out to the internet on ens10
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
## Desktop/client VPN public key ##
PublicKey = xxx

AllowedIPs = 10.10.1.3/32

我猜测 iptables 配置错误，因为 nat/MASQUERADE，但我无法正确配置网关。

我感谢您的帮助。

更新

在服务器 A 上执行（在 B 上也一样）

ip -br link; ip -br address; ip route

返回（公共 IP 被屏蔽）：

lo               UNKNOWN        00:00:00:00:00:00 <LOOPBACK,UP,LOWER_UP>
eth0             UP             96:00:01:29:d6:9b <BROADCAST,MULTICAST,UP,LOWER_UP>
ens10            UP             86:00:00:08:9c:c5 <BROADCAST,MULTICAST,UP,LOWER_UP>
lo               UNKNOWN        127.0.0.1/8 ::1/128
eth0             UP             10.10.0.3/32  fe80::9400:1ff:fe29:d69b/64
ens10            UP             49.xxx.xxx.xxx/32  2a01:xxx:xxx:xxx::1/64  fe80::8400:ff:fe08:9cc5/64
default via 172.31.1.1 dev ens10 proto dhcp src 49.xxx.xxx.xxx metric 100
10.10.0.0/16 via 10.10.0.1 dev eth0
10.10.0.1 dev eth0 scope link
172.31.1.1 dev ens10 proto dhcp scope link src 49.xxx.xxx.xxx metric 100

Answer 1

NAT 由配置完成，因此您可以按要求获取 NAT。要避免使用 NAT，您必须：

• 确保终端服务器 A 和 B 有一条真正的路由返回到客户端

  如果不是这种情况，请至少在 A 和 B 上添加以下内容（如果运行 Linux）：

  ip route add 10.10.1.3/32 via 10.10.0.2

  更新：OP 的路由设置（在云中）使 A 和 B 到 10.10.0.2 的流量（甚至彼此之间的流量）通过额外的路由器 10.10.0.1（云网络）。所以这部分路线必须添加，这一点已得到楼主的确认。

• 删除 wireguard 服务器上的 NAT

  iptables只需删除两个 WireGuard PostUp和配置中的第二个命令PostUp，并通过仅运行这次来确保没有先前添加的条目：

  iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
  

• 可选：AllowedIPs在客户端上更新

  如果客户端想要使用隧道端而非 eth0 端的服务器地址来访问 wireguard 服务器，或者要确保 wireguard 服务器发回的 ICMP 能够被接收（例如：traceroute在没有 的情况下让服务器 A 正常工作* * *），也应该加入 10.10.1.2 以AllowedIPs满足WireGuard 的加密密钥路由。

  在客户端上替换：

  AllowedIPs = 10.10.0.0/24
  

  和：

  AllowedIPs = 10.10.1.2,10.10.0.0/24