wireguard

admin

本脚本适用环境
系统支持：CentOS 7+，Debian 8+，Raspbian 10，Ubuntu 16+，Fedora 29+
4 G- p9 ~( Z8 K7 p1 _内存要求：≥256M
日期　　：2020 年 4 月 2 日
3 ?  u3 Y# W+ B1 ^  ^
" Y* V9 Z# ^1 l& X, B关于本脚本
1. 支持两种安装方式：从代码编译安装，从 repository 直接安装；
$ A  l5 X6 J* j- v% \9 R" ]2. 脚本会创建默认的 wg0 设备，以及 wg0 的客户端配置，并生成客户端配置对应的二维码 png 图片；
3. 脚本会修改本机防火墙设置，如果未启用防火墙，则会出现警告提示，需要手动去设置；
% r' Z' [1 u( ~; D% L4. 脚本会从 1024 到 20480 随机生成监听端口；
9 L( Y0 B9 y( \& k- t5. 脚本支持新增，删除，列出客户端功能；
6 k8 B2 }, j! ?  ~9 }) |6. 脚本支持查看已安装的 WireGuard 的版本号；
7. 脚本支持从代码编译安装的方式升级 WireGuard 到当前最新版本；
" |' a- h% }* Y$ h+ h& Q
9 K* ], h/ J7 N5 c% g* s客户端下载
+ {+ T0 u4 h6 G' r. H9 pWindows, macOS, Android, iOS 客户端
# t, U5 F  P: I& p/ b( yhttps://www.wireguard.com/install/

脚本使用方法
使用 root 用户登录系统，运行以下命令下载脚本，赋予执行权限：
% n0 S7 y1 A% u) o  a
wget --no-check-certificate -O /opt/wireguard.sh https://raw.githubusercontent.co ... master/wireguard.sh
chmod 755 /opt/wireguard.sh
5 f  W! I" H. H9 p& o写在前面
4 s( `; i2 j% X5 V/ YWireGuard 的安装和使用条件是比较苛刻的。因此我不建议在生产系统里安装和使用 WireGuard，除非你知道自己在做什么。
它依赖于内核，也就是 kernel，在不同的系统中，内核，内核源码包，内核头文件必须存在且这三者版本要一致。
RedHat，CentOS，Fedora，Oracle Linux，Amazon Linux 等 rpm 系的名字是 kernel，kernel-devel，kernel-headers。
Debian，Ubuntu 等 deb 系的名字是 kernel，linux-headers。
' ?3 p) a0 A# c% _0 a* \如果这三者任一条件不满足的话，则不管是从代码编译安装还是从 repository 直接安装，也只是安装了 wireguard-tools 而已。
7 H! d3 X7 a; l" C5 n9 f而 WireGuard 真正工作的部分，是 wireguard-dkms，也就是动态内核模块支持(DKMS)，是它将 WireGuard 编译到系统内核中。
% T+ ^: d$ i  R- m; Q因此，在某些 VPS 商家，是需要你先自主更换系统内核，并事先将这三者安装好，才有可能不会出现编译或安装失败。

我在测试的时候，就经历过各种内核的问题导致的安装失败。如果你也遇到了同样的问题，建议先更换内核。
$ q! j7 V8 X5 j) j就我个人的体验而言，在 CentOS 7 下更换为 elrepo 的内核是最容易的。这里有个脚本，可以更换到最新版内核，且自动开启 BBR 网络传输算法。
一键安装最新内核并开启 BBR 脚本
此脚本运行后，最后会提示你重启系统，此时可以输入 n，暂不重启。手动安装 kernel-headers，运行如下命令：

, G5 S( V9 Z  N$ I, Byum -y install kernel-ml-headers
然后再重启之。运行如下命令：

, ?" G- m$ }. M5 oreboot
* d% Y$ b2 O; H) t$ U& m3 y* l重启后进入系统，运行下面的从代码编译安装 WireGuard，基本上就不会出现安装失败的问题了。
0 j( z! S% c' @2 W& K! _注意：自主更换内核后，我建议使用从代码编译安装 WireGuard。
& X2 J! r: @& Z3 A+ e+ a7 k( X
" h, [7 \! K3 g# U! C  i! V5 r. c更新日志
2020 年 4 月 2 日：
Linux 内核 5.6 正式发布了，内置了 wireguard module。
. z5 U( T7 i$ M" B" j3 Y  l' T! z9 F本次更新添加了检测系统内核版本，如果大于等于 5.6 则不安装 wireguard module，仅安装 wireguard tools，然后再生成默认配置。
当系统内核小于 5.6 时，则依然安装 wireguard module 和 tools，并生成默认配置。

2020 年 1 月 6 日：
一个好消息是 WireGuard 即将要合并到内核 5.6 里面了。
* G, p0 `) `2 S5 A- a: ], |: H# z, u于是作者在近期把 repo 改名了，从而导致脚本无法获取到正确的版本号。
* |3 n' e- b# Q5 I! k' h3 ]并且还把原来的 repo 一分为二了，分别改为 wireguard-linux-compat 和 wireguard-tools。前者是内核模块，后者是命令行工具。
5 Z3 F: x4 P- i2 v3 F# e9 G此次更新就是修复了以上问题。

7 ?" Q) q- E( Y+ r2019 年 11 月 16 日：
( S( C5 B( ?- q$ B# ^6 _' U1、修正客户端配置文件创建时的各参数顺序，与 Windows 客户端的显示顺序一致。
: R1 A+ V4 N  a  o% [2 I  B2、新增 Windows 客户端配置示例说明。

: H' |' h4 h3 z) w. G; b2019 年 10 月 27 日：
* z/ {4 k' X: w1、新增卸载函数，使用方法请参考下面的卸载方法。
2、支持在 CentOS8 下从 repository 安装，或者从代码编译安装。

从代码编译安装 WireGuard
- G! w% v$ }9 C3 K  ~6 B1 }/opt/wireguard.sh -s
' V) ~5 I" a) V2 r4 s! p3 y9 L1 E; G% n3 k从 repository 直接安装 WireGuard
/opt/wireguard.sh -r
1 U4 t, p- Z) G1 {- g; }" V安装完成后，脚本提示如下
WireGuard VPN Server installation completed
WireGuard VPN default client file is below:
/etc/wireguard/wg0_client
WireGuard VPN default client QR Code is below:
% d3 K. E, W( M" S, ?/etc/wireguard/wg0_client.png
Download and scan this QR Code with your phone
$ s2 b4 p" n* @, u% PWelcome to visit: https://teddysun.com/554.html
. p$ {7 H9 g) H" xEnjoy it
卸载方法
0 Z6 F! x( I3 I- j. C' W; `/opt/wireguard.sh -n
* C/ Q5 e. e5 ]; }其他使用选项
查看已安装 WireGuard 版本号
; D! K8 E! n2 U- d) K  ^
/opt/wireguard.sh -v
编译升级 WireGuard 到当前最新版本
8 C" b* o5 [9 P* _* U( W4 d+ b
/opt/wireguard.sh -u
% A7 o5 u3 v1 q- ~. _0 `新增 WireGuard 客户端配置

: r8 q/ t* e% y% i* O/opt/wireguard.sh -a
删除 WireGuard 客户端配置
7 @6 m; e- R" D2 F' k- _2 N3 D注意：默认客户端 wg0 不允许删除
$ }1 l2 I7 y. a. U
' K6 q( V! Y; r$ D. s/opt/wireguard.sh -d
列出 WireGuard 客户端配置

  b  V9 m# A8 u. C/opt/wireguard.sh -l
高级用法
) D* v: l  W+ e, \如果你在安装时，需要自定义自己想要的端口，那么可以 export 变量 VPN_SERVER_WG_PORT 的值，这样脚本就会读取这个变量值来定义监听端口，而不会自己随机生成。
* w5 N2 l( h/ j- P4 D1 Q比如你想自定义端口为 1234，那么具体做法就是，在执行从代码编译安装 WireGuard 或者从 repository 直接安装 WireGuard 之前，运行如下命令：

6 E! D/ B# V1 L* L) f1 _3 Aexport VPN_SERVER_WG_PORT=1234
/ M, a: I4 T; `3 \- u- W5 j5 k) ]下面是一份脚本里用到的变量列表名（共计 11 个），以及它们具体代表什么含义的说明。
VPN_SERVER_PUB_IPV4，定义服务器公网 IPv4，如果你的服务器端存在多个可用公网 IPv4，指定此变量的值。
VPN_SERVER_PUB_IPV6，定义服务器公网 IPv6，如果你的服务器端存在多个可用公网 IPv6，指定此变量的值。
( J7 i7 w" L" d! NVPN_SERVER_PUB_NIC，定义服务器默认网卡名称，如果你的服务器有多个可用网卡，指定此变量的值。
7 O7 M2 _7 @  k- s* x; I9 J; zVPN_SERVER_WG_NIC，定义 WireGuard 网卡名，默认为 wg0，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV4，定义 WireGuard 服务端的内网 IPv4，默认为 10.88.88.1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV6，定义 WireGuard 服务端的内网 IPv6，默认为 fd88:88:88::1，这里一般不推荐指定此变量的值。
* e* q: q5 C7 E2 g2 A$ K' `  PVPN_SERVER_WG_PORT，定义器 WireGuard 服务端的监听端口，默认为从 1024 到 20480 随机生成，如果你想自定义端口，指定此变量的值。
VPN_CLIENT_WG_IPV4，定义 WireGuard 默认客户端的内网 IPv4，默认为 10.88.88.2，这里一般不推荐指定此变量的值。
- Y7 J! U* [2 |) g2 a) V2 \5 ^0 i: aVPN_CLIENT_WG_IPV6，定义 WireGuard 默认客户端的内网 IPv6，默认为 fd88:88:88::2，这里一般不推荐指定此变量的值。
VPN_CLIENT_DNS_1，定义 WireGuard 默认客户端的 DNS，默认为 1.1.1.1，如果你想自定义为别的 DNS，指定此变量的值。
* @+ J# v9 ~( b- QVPN_CLIENT_DNS_2，定义 WireGuard 默认客户端的 DNS，默认为 8.8.8.8，如果你想自定义为别的 DNS，指定此变量的值。

$ d2 Y/ W  N( M5 w, M$ GWindows 客户端配置
下载，安装，打开客户端软件，点击 Add Tunnel -> Add empty tunnel…
WireGuard 一键安装脚本
  d& P2 D4 H: a% y  f
+ D# w% x6 I, D* y; o此时出现一个可以编辑的界面，将脚本生成的客户端配置 /etc/wireguard/wg0_client 里的内容复制出来，粘贴，保存。
WireGuard 一键安装脚本
) E" Y) M# O2 q1 \! Q4 X( N7 B
. n8 @7 k( r% F3 ^WireGuard 一键安装脚本

点击 Activate，就可以 VPN 连接了。
WireGuard 一键安装脚本
$ j% W1 g2 h  P  {: e
  U* ^% D2 }5 M/ D1 E. d参考链接
( ^) N% E4 B5 F. ?" j# Ohttps://www.wireguard.com
https://github.com/WireGuard/WireGuard
( _5 G5 K( s3 |- lhttps://git.zx2c4.com/WireGuard
https://golb.hplar.ch/2019/07/wireguard-windows.html