使用 AB wireguard 的网络在 A 和 C 之间路由流量

Question

WireGuard 是一个第 3 层接口（此接口上的最低层是 IPv4（或 IPv6））。这意味着没有网关在该接口的 Linux 路由堆栈中。在这样的接口上使用任何网关参数（有效但被忽略）只会导致其含义混淆。WireGuard 本身使用对等体和AllowedIPs来扮演相关（但不相同）的角色，而路由堆栈对此一无所知。

因此，一旦创建了接口，除了已经自动添加接口地址的“LAN”路由之外，路由堆栈至少还需要这样做（重写时无需网关wg0）：

R# sysctl net.ipv4.conf.wg0.forwarding=1 # will be a one-armed router
B# sysctl net.ipv4.ip_forward=1 # or else as above with eth0 + wg0
A# ip route add 192.168.1.30/32 dev wg0
C# ip route add 172.0.0.10/32 via 192.168.1.20 dev eth0

可选地，C 也可以从中受益（例如：traceroute当rp_filter=1）改为获取 172.0.0.0/24 的完整路由：

C# ip route add 172.0.0.0/24 via 192.168.1.20 dev eth0

现在谈谈AllowedIPs参数。解释如下：WireGuard 加密密钥路由。

在服务器配置中，每个对等体（客户端）将能够将数据包发送到具有与其相应的允许 IP 列表匹配的源 IP 的网络接口。

在服务器配置中，当网络接口想要将数据包发送到对等方（客户端）时，它会查看该数据包的目标 IP，并将其与每个对等方的允许 IP 列表进行比较，以确定将其发送到哪个对等方。

相同的AllowedIPs值既充当传入过滤器（第一个引号），又充当传出对等选择器（第二个引号）。最后一个角色是我在上面描述的与网关相关但不完全相同的角色。

不能有重叠，因为 IP 地址映射到一对等体（或 none 会收到网络错误消息，例如ENOKEY( Required key not available)），再也不会出现这种情况。尝试在多个对等体上使用相同的 IP 地址是没有意义的。这只会默默地删除前一个对等体的条目，并使整体配置错误。

因此，A、R、B（实际上并不是需要，但对于很有用traceroute）之间以及 A 和 C 通过 R 之间的通信配置是：

在 A:
```
[Peer]
PublicKey = rrrrrrrrrrrrrrrrrrrrrrrrrr
[...]
AllowedIPs = 172.0.0.0/24,192.168.1.30/32
```
A 期望来自 R 的任何源 172.0.0.0/24（当前仅存在 R 和 B 的地址，因此可以写入它们而不是整个 /24）加上来自 R 的 192.168.1.30。
在 B 上：
```
[Peer]
PublicKey = rrrrrrrrrrrrrrrrrrrrrrrrrr
[...]
AllowedIPs = 172.0.0.0/24
```
B 期望 R 提供任意 172.0.0.0/24（目前只有 R 和 A 的地址存在，因此可以写入它们而不是整个 /24）。B 不会在任何地方使用 192.168.1.30：它是来自eth0（因此未经 WireGuard 验证）并且也不是通过WG0：它不应该出现在配置中（尽管如果它出现了，除了让读者感到困惑之外，这不会造成任何有害的影响）。
在 R 上：
```
[Peer]
PublicKey = aaaaaaaaaaaaaaaaaaaaaaaaaa
AllowedIPs = 172.0.0.10/32

[Peer]
PublicKey = bbbbbbbbbbbbbbbbbbbbbbbbbb
AllowedIPs = 172.0.0.20/32,192.168.1.30/32
```
这里不能再使用快捷方式 172.0.0.0/24：每个地址都必须出现在正确的对等点上。R 期望源 192.168.1.30 来自对等点 B，而不是来自对等点 A：它必须位于对等点 B 上，而不能位于对等点 A 上。

Answer 1