VPN 设置多用户多网络拓扑

Question

我相信使用 WireGuard 是解决此问题的绝佳方法。

正如您所建议的，您可以使用主机 A 作为网络的中央集线器（或者在具有公共 IP 地址的其他主机上设置专用集线器）；WireGuard 的持久保持活动选项将允许入站连接通过隧道传输到连接到它的其他客户端（例如 C1、D1 等）。

但是，您不一定需要在主机 A 上使用多个 NIC——您只需要一个物理 NIC（用于连接到 Internet 的 NIC，例如eth0）和一个 WireGuard 虚拟网络接口（例如wg0）。WireGuard 网络中的每个设备都将通过集线器的物理 NIC 将加密数据包发送到集线器，集线器将解密这些数据包并将其重新排队为其 WireGuard 接口的传入数据包。当每个数据包从 WireGuard 接口出现时，您将应用标准防火墙和路由规则来确定如何处理该数据包（通常是通过 WireGuard 接口将其发回，重新加密并发送到另一台设备）。

您可以执行以下操作：

想出一个或多个专用地址块，专门用于您的 WireGuard 网络。例如，假设您决定将地址块用于10.100.0.0/24用户设备，将地址块10.200.0.0/20用于非用户设备。（如果您的所有设备及其需要访问的所有内容都完全支持 IPv6，您可能只想使用 IPv6 地址，以避免地址空间冲突。）
从 #1 开始的适当地址块中为每个设备分配一个 IP 地址，并使用该 IP 地址作为AllowedIPs集线器的 WireGuard 配置中设备的设置。（对于非用户设备，还要在设置中包含可通过设备访问的其他虚拟地址空间AllowedIPs。）
在每个单独设备的 WireGuard 配置中，使用 #2 中分配的 IP 地址作为其Address设置（并指定全部您的 WireGuard 地址在设备AllowedIPs设置中阻止指向集线器）。
在集线器上设置一系列防火墙规则来实现用户授权业务逻辑，使用从 #2 分配的 IP 地址来唯一标识每个设备。（WireGuard 将确保对于接口的每个配置对等体，使用对等体的配置公钥解密的数据包必须具有与对等方的配置设置匹配的源地址AllowedIPs——否则数据包将被丢弃。因此，对于从 WireGuard 接口传入的数据包，使用任何防火墙规则，您都可以确保数据包来自具有与AllowedIPs数据包源地址匹配的设置的特定设备。）
为了提供对冲突地址空间的访问（例如，允许访问192.168.254.0/24站点 C 和站点 D 中的 LAN 子网），请让您的 WireGuard 设备针对每个此类冲突使用来自专用 WireGuard 地址空间的不同地址，并在充当冲突子网网关的 WireGuard 设备上使用 NAT，将您的 WireGuard 地址空间转换为实际的 LAN 地址。

例如，您可以将用作站点 C 中子网10.200.2.0/24的虚拟地址空间，并将其用作站点 D 中子网的虚拟地址空间。在端点 C1（您的 WireGuard 网关到端点 C2）上，使用 NAT 转换为；并在集线器上路由到端点 C1。如果使用端点 B 的用户在 Web 浏览器中导航到，则该请求将通过您的 WireGuard 网络路由到端点 C1，端点 C1 可以适当地转换请求并将其路由到端点 C2。192.168.254.0/2410.200.3.0/24192.168.254.0/2410.200.2.2192.168.254.210.200.2.0/24http://10.200.2.2/

举一个具体的例子，有两个设备——端点 B 作为用户 3 的用户设备，端点 C1 上运行着一个 SSH 服务器，并提供对虚拟10.200.2.0/24网络的访问——集线器的 WireGuard 配置可能如下所示：

# /etc/wireguard/wg0.conf

# local settings for Host A
[Interface]
PrivateKey = AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAEE=
Address = 10.200.0.1
ListenPort = 51820

# remote settings for Endpoint B
[Peer]
PublicKey = fE/wdxzl0klVp/IR8UcaoGUMjqaWi3jAd7KzHKFS6Ds=
AllowedIPs = 10.100.1.3

# remote settings for Endpoint C1
[Peer]
PublicKey = jUd41n3XYa3yXBzyBvWqlLhYgRef5RiBD7jwo70U+Rw=
AllowedIPs = 10.200.1.1, 10.200.2.0/24

端点 B（用户 3 的设备）的 WireGuard 配置可能如下所示：

# /etc/wireguard/wg0.conf

# local settings for Endpoint B
[Interface]
PrivateKey = ABBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBFA=
Address = 10.100.1.3

# remote settings for Host A
[Peer]
PublicKey = /TOE4TKtAqVsePRVR+5AA43HkAK5DSntkOCO7nYq5xU=
Endpoint = 5.5.5.5:51820
AllowedIPs = 10.100.0.0/24, 10.200.0.0/20
PersistentKeepalive = 25

端点 C1 的 WireGuard 配置可能如下所示：

# /etc/wireguard/wg0.conf

# local settings for Endpoint C1
[Interface]
PrivateKey = CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCGA=
Address = 10.200.1.1

# remote settings for Host A
[Peer]
PublicKey = /TOE4TKtAqVsePRVR+5AA43HkAK5DSntkOCO7nYq5xU=
Endpoint = 5.5.5.5:51820
AllowedIPs = 10.100.0.0/24, 10.200.0.0/20
PersistentKeepalive = 25

您可以在集线器上使用如下的 nftables 规则集来接受来自设备的 WireGuard 连接，并实现用户授权规则：

table inet filter {
    # put all your user-authorization rules here
    chain device-access-policies {
        # allow User 3 to access SSH on Endpoint C1
        ip saddr 10.100.1.3 ip daddr 10.200.1.1 tcp dport 22 accept
        # allow User 3 to access webserver on Endpoint C2
        ip saddr 10.100.1.3 ip daddr 10.200.2.2 tcp dport 80 accept
        # deny everything else
        reject with icmpx type admin-prohibited
    }

    chain input {
        type filter hook input priority 0; policy drop;
        iif "lo" accept
        ct state vmap { invalid : drop, established : accept, related : accept }
        iifname "eth0" udp dport 51820 accept
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
        ct state vmap { invalid : drop, established : accept, related : accept }
        iifname "wg0" goto device-access-policies
    }
}

在端点 C1 上，您可能有一个如下所示的 nftables 规则集，以盲目接受和转发集线器发送给它的所有内容，并将虚拟10.200.2.0/24地址空间 NAT 到其本地192.168.254.0/24子网：

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;
        iif "lo" accept
        ct state vmap { invalid : drop, established : accept, related : accept }
        iifname "wg0" accept
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
        ct state vmap { invalid : drop, established : accept, related : accept }
        iifname "wg0" accept
    }
}
table inet nat {
    chain prerouting {
        type nat hook prerouting priority -100; policy accept;
        ip daddr 10.200.2.0/24 dnat ip prefix to 192.168.254.0/24
    }

    chain postrouting {
        type nat hook postrouting priority 100; policy accept;
        iifname "wg0" masquerade
    }
}

Answer 1