wireguard

admin

本脚本适用环境
' T8 ~6 D4 r* F1 a系统支持：CentOS 7+，Debian 8+，Raspbian 10，Ubuntu 16+，Fedora 29+
( m( }1 U2 i# C9 ], J! t, T6 E内存要求：≥256M
日期　　：2020 年 4 月 2 日

, R! X9 S: F6 X/ ^  @8 H关于本脚本
  G$ c( v, ~* |- G, ~. a" j1. 支持两种安装方式：从代码编译安装，从 repository 直接安装；
. J1 W+ T" E' C7 y6 b2. 脚本会创建默认的 wg0 设备，以及 wg0 的客户端配置，并生成客户端配置对应的二维码 png 图片；
& m3 c, B2 {( c: L( j  `4 _7 F  t( N3. 脚本会修改本机防火墙设置，如果未启用防火墙，则会出现警告提示，需要手动去设置；
! W# f% |) L6 \$ M) w& A4. 脚本会从 1024 到 20480 随机生成监听端口；
5. 脚本支持新增，删除，列出客户端功能；
6. 脚本支持查看已安装的 WireGuard 的版本号；
7. 脚本支持从代码编译安装的方式升级 WireGuard 到当前最新版本；

: w" f% l* J: H  p6 w客户端下载
Windows, macOS, Android, iOS 客户端
/ K* X, A- [4 @1 L4 E1 Zhttps://www.wireguard.com/install/
0 Y. M/ q/ R1 \& N  L6 B$ N
( f8 m, O# j+ @" S( N脚本使用方法
* [2 _$ n. _0 z0 D# @9 U0 }使用 root 用户登录系统，运行以下命令下载脚本，赋予执行权限：
' K9 ~$ m: B! o' e: i7 z; w
  r) _/ z8 P+ L# f5 @wget --no-check-certificate -O /opt/wireguard.sh https://raw.githubusercontent.co ... master/wireguard.sh
chmod 755 /opt/wireguard.sh
写在前面
; S+ r' x4 w) O% Y; Z& ]6 JWireGuard 的安装和使用条件是比较苛刻的。因此我不建议在生产系统里安装和使用 WireGuard，除非你知道自己在做什么。
) q$ g  ^: u  Q3 e; o$ \- \+ r它依赖于内核，也就是 kernel，在不同的系统中，内核，内核源码包，内核头文件必须存在且这三者版本要一致。
( m8 q" X+ t, N, z7 ]7 Q" @" M, NRedHat，CentOS，Fedora，Oracle Linux，Amazon Linux 等 rpm 系的名字是 kernel，kernel-devel，kernel-headers。
Debian，Ubuntu 等 deb 系的名字是 kernel，linux-headers。
如果这三者任一条件不满足的话，则不管是从代码编译安装还是从 repository 直接安装，也只是安装了 wireguard-tools 而已。
而 WireGuard 真正工作的部分，是 wireguard-dkms，也就是动态内核模块支持(DKMS)，是它将 WireGuard 编译到系统内核中。
因此，在某些 VPS 商家，是需要你先自主更换系统内核，并事先将这三者安装好，才有可能不会出现编译或安装失败。
! ?3 |/ |( P. j0 B9 b! v
$ B; q, N: l( v/ |, q3 S我在测试的时候，就经历过各种内核的问题导致的安装失败。如果你也遇到了同样的问题，建议先更换内核。
8 U5 ]7 s) S; G就我个人的体验而言，在 CentOS 7 下更换为 elrepo 的内核是最容易的。这里有个脚本，可以更换到最新版内核，且自动开启 BBR 网络传输算法。
一键安装最新内核并开启 BBR 脚本
5 y( M2 K! C& C# z此脚本运行后，最后会提示你重启系统，此时可以输入 n，暂不重启。手动安装 kernel-headers，运行如下命令：

% N9 U; G) G% E  u% \! q" r: fyum -y install kernel-ml-headers
7 y1 Y) V* `) n3 k- @; L( f然后再重启之。运行如下命令：

reboot
重启后进入系统，运行下面的从代码编译安装 WireGuard，基本上就不会出现安装失败的问题了。
# o0 z  R3 F& [6 F! N注意：自主更换内核后，我建议使用从代码编译安装 WireGuard。

更新日志
# k0 M, X6 V- i. V/ @$ q7 G; g9 N2020 年 4 月 2 日：
Linux 内核 5.6 正式发布了，内置了 wireguard module。
本次更新添加了检测系统内核版本，如果大于等于 5.6 则不安装 wireguard module，仅安装 wireguard tools，然后再生成默认配置。
当系统内核小于 5.6 时，则依然安装 wireguard module 和 tools，并生成默认配置。
0 W6 S/ q2 l) i2 U* t. o7 L5 _/ n
* z2 P1 t  {# L+ ]. l. Q7 V2020 年 1 月 6 日：
一个好消息是 WireGuard 即将要合并到内核 5.6 里面了。
于是作者在近期把 repo 改名了，从而导致脚本无法获取到正确的版本号。
* n, }) B! \( r/ f1 H1 M并且还把原来的 repo 一分为二了，分别改为 wireguard-linux-compat 和 wireguard-tools。前者是内核模块，后者是命令行工具。
% \9 R; ^6 V: M. |0 j此次更新就是修复了以上问题。

6 Q1 J# f7 {$ W" q, t( S* I; y3 F2019 年 11 月 16 日：
  v7 |4 a6 u: b* n1、修正客户端配置文件创建时的各参数顺序，与 Windows 客户端的显示顺序一致。
2、新增 Windows 客户端配置示例说明。
9 q/ B! R: L1 f5 k* w
- t$ ^8 [! {# U# M; s/ Y2019 年 10 月 27 日：
1、新增卸载函数，使用方法请参考下面的卸载方法。
2、支持在 CentOS8 下从 repository 安装，或者从代码编译安装。

从代码编译安装 WireGuard
7 u' F2 ^2 i+ f/ i/opt/wireguard.sh -s
从 repository 直接安装 WireGuard
8 r. j% ^, _3 h) r& u/opt/wireguard.sh -r
安装完成后，脚本提示如下
WireGuard VPN Server installation completed
WireGuard VPN default client file is below:
/etc/wireguard/wg0_client
WireGuard VPN default client QR Code is below:
" s9 T+ ~% {7 _$ ]" m* C/etc/wireguard/wg0_client.png
  H6 ^* Z3 ~. p- o- [* {Download and scan this QR Code with your phone
Welcome to visit: https://teddysun.com/554.html
Enjoy it
2 g7 K9 Y$ B& t, i& P" z卸载方法
3 Z" N" W2 G5 c3 _9 u: I/opt/wireguard.sh -n
其他使用选项
查看已安装 WireGuard 版本号
$ \4 p5 q8 C7 H7 V. _5 `- U
  D+ D0 B* ~0 c& o* {7 v) R/opt/wireguard.sh -v
编译升级 WireGuard 到当前最新版本
0 s! l1 U+ D5 I2 H2 N& ?  P
/opt/wireguard.sh -u
新增 WireGuard 客户端配置
1 n+ |, [9 R0 b5 X- c0 z
/opt/wireguard.sh -a
删除 WireGuard 客户端配置
2 |7 `- x1 J1 \0 I: p4 M9 w注意：默认客户端 wg0 不允许删除
: o" C* M5 R" B: Y8 T7 }4 J" V
/opt/wireguard.sh -d
6 y% ]6 [4 F' k# a列出 WireGuard 客户端配置
& L; W  l3 |- N: O5 r/ y$ t0 i8 y0 P
: w5 @. m: k( K9 O/opt/wireguard.sh -l
高级用法
如果你在安装时，需要自定义自己想要的端口，那么可以 export 变量 VPN_SERVER_WG_PORT 的值，这样脚本就会读取这个变量值来定义监听端口，而不会自己随机生成。
比如你想自定义端口为 1234，那么具体做法就是，在执行从代码编译安装 WireGuard 或者从 repository 直接安装 WireGuard 之前，运行如下命令：
) h. J+ |# [. r1 ]' M
: R: B- p( S' H- M1 Rexport VPN_SERVER_WG_PORT=1234
3 y- ~2 T; F) X4 O2 v下面是一份脚本里用到的变量列表名（共计 11 个），以及它们具体代表什么含义的说明。
VPN_SERVER_PUB_IPV4，定义服务器公网 IPv4，如果你的服务器端存在多个可用公网 IPv4，指定此变量的值。
VPN_SERVER_PUB_IPV6，定义服务器公网 IPv6，如果你的服务器端存在多个可用公网 IPv6，指定此变量的值。
# [4 _6 h# s. C' K1 X% s. MVPN_SERVER_PUB_NIC，定义服务器默认网卡名称，如果你的服务器有多个可用网卡，指定此变量的值。
VPN_SERVER_WG_NIC，定义 WireGuard 网卡名，默认为 wg0，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV4，定义 WireGuard 服务端的内网 IPv4，默认为 10.88.88.1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV6，定义 WireGuard 服务端的内网 IPv6，默认为 fd88:88:88::1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_PORT，定义器 WireGuard 服务端的监听端口，默认为从 1024 到 20480 随机生成，如果你想自定义端口，指定此变量的值。
$ [# c) ?& G$ Q* |VPN_CLIENT_WG_IPV4，定义 WireGuard 默认客户端的内网 IPv4，默认为 10.88.88.2，这里一般不推荐指定此变量的值。
; Y* i/ k( s; a: ^: P, F9 RVPN_CLIENT_WG_IPV6，定义 WireGuard 默认客户端的内网 IPv6，默认为 fd88:88:88::2，这里一般不推荐指定此变量的值。
  f! d( B" M0 M) M3 DVPN_CLIENT_DNS_1，定义 WireGuard 默认客户端的 DNS，默认为 1.1.1.1，如果你想自定义为别的 DNS，指定此变量的值。
VPN_CLIENT_DNS_2，定义 WireGuard 默认客户端的 DNS，默认为 8.8.8.8，如果你想自定义为别的 DNS，指定此变量的值。
- l; ^2 q1 k& B5 W, `* _9 M
Windows 客户端配置
+ Z/ S6 g. w% O2 g5 K' G下载，安装，打开客户端软件，点击 Add Tunnel -> Add empty tunnel…
WireGuard 一键安装脚本

此时出现一个可以编辑的界面，将脚本生成的客户端配置 /etc/wireguard/wg0_client 里的内容复制出来，粘贴，保存。
; W4 Y* P! _7 e- _' q8 v6 p$ rWireGuard 一键安装脚本
* Y0 \' l4 ?* N, m! A
* _# {4 F1 n) I* t4 IWireGuard 一键安装脚本
- L9 a  b. W6 N8 _( a8 G' u
点击 Activate，就可以 VPN 连接了。
WireGuard 一键安装脚本

参考链接
) [* w% ^/ d  m/ Hhttps://www.wireguard.com
  @: ]2 x  T  S6 @4 h! l# ~, `https://github.com/WireGuard/WireGuard
https://git.zx2c4.com/WireGuard
https://golb.hplar.ch/2019/07/wireguard-windows.html