通过 WireGuard Hub 和 Spoke VPS（Nftables）路由所有流量

Question

没有提供路线（ip route...），但我假设主机的 B 路线已由系统和正确配置wg-quick。

由于 WG IP 地址不公开，因此在通过链接接入互联网时必须进行 NAT 处理后布线. 添加此块，仍在table inet basic-filter块内：

        chain natpostrouting {
                type nat hook postrouting priority 100; policy accept;
                iifname $wg_iface oifname $pub_iface masquerade
        }

如果 VPS 的内核太旧（早于内核 5.5) 输入接口名称表达式必须替换为源地址表达式，这取决于精确的设置。例如，代替上面的：

        chain natpostrouting {
                type nat hook postrouting priority 100; policy accept;
                ip saddr 10.0.0.0/8 oifname $pub_iface masquerade
        }

现在，nftables缺少允许（上述）与 Internet 的流量的转发规则。在正向链中的reject语句规则之前插入以下两个规则。第二条规则允许从 WG 转发到 Internet，第一条规则允许流量以有状态的通用方式返回，就像在输入链。

                ct state { established,related } accept
                iifname $wg_iface oifname $pub_iface accept

还有一些其他的小细节。

不需要安装和删除不同的nftables隧道上行或下行时的规则集

但这取决于你自己的方便。
拒绝可能被归类为无效的接收延迟数据包时可能导致 TCP 连接意外中止

因此，在拒绝它们之前，请先删除它们。在最终reject语句规则之前的任何位置插入此规则，一次在链中input，一次在forward链中：
```
                ct state invalid drop
```
A可能的未来补丁可能会不再需要这个。
IPv6下一个并不直接等同于 IPv4 的协议

因为可能存在扩展头固定头和上层协议头之间。

互联网上的很多文档都有这个错误。

因此几乎永远不应该使用它（因为在意图匹配的情况下它可能无法匹配）：
```
ip6 nexthdr ipv6-icmp accept
```
并被系统已知的元信息替换，因为它正确地解析了所有的包：
```
meta nfproto ipv6 meta l4proto ipv6-icmp accept
```
或者简单来说：
```
meta l4proto ipv6-icmp accept
```

Answer 1