在 Raspberry Pi 2/3 B+ 安装部署 WireGuard，建立 VPN 隧道

关于 WireGuard

WireGuard 是简单、快速、高效并且安全的开源 VPN 软件，它采用最先进的加密协议，基于 Linux 内核实现。

WireGuard 项目官方网站 https://www.wireguard.com/

WireGuard 源代码由开发者自我托管，代码仓库 https://git.zx2c4.com/WireGuard/

WireGuard 源代码在 GitHub 的镜像仓库 https://github.com/WireGuard

两端环境

服务器系统为 Ubuntu 17.10

Raspberry Pi 2/3 B+ 操作系统（RASPBIAN STRETCH LITE, 2017-09-07, Kernel 版本 4.9）

服务器端安装 WireGuard

服务器端安装 WireGuard 可以参考之前的（笨）办法：在 Ubuntu 部署 VPN 隧道 WireGuard

（将会另写一篇用 wg-quick 快速脚本启动 WireGuard 的内容）

Raspberry Pi 安装 WireGuard

在 Raspberry Pi 安装 WireGuard 可以参考链接中的方法，详细有效。 Install WireGuard on Raspberry Pi

另外，还要给 Raspberry Pi 安装 Linux 内核头文件，安装 WireGuard 需要编译内核模块。参考链接：Raspberry Pi kernel source installer

为了方便安装，将内容摘录如下，如有注意事项会注释说明，涉及未知问题请自行研究。

sudo apt-get install bc libncurses5-dev

安装内核头文件并编译内核模块，用 rpi-source 脚本搞定。

sudo wget https://raw.githubusercontent.com/notro/rpi-source/master/rpi-source -O /usr/bin/rpi-source && sudo chmod +x /usr/bin/rpi-source && /usr/bin/rpi-source -q --tag-update

sudo rpi-source

rpi-source 脚本安装时会检查 gcc 版本，如果 gcc 版本低于内核构建的版本，需要升级，如果高于内核构建的版本，跳过就行。
（详细方法参见 gcc version check）

检查 Raspberry Pi 已安装的 gcc 版本

$ cat /proc/version
Linux version 4.9.58-v7+ (dc4@dc4-XPS13-9333) (gcc version 4.9.3 (crosstool-NG crosstool-ng-1.22.0-88-g8460611) ) #1046 SMP Tue Oct 24 17:07:15 BST 2017

$ gcc --version | grep gcc
gcc (Raspbian 6.3.0-18+rpi1) 6.3.0 20170516

我的 gcc 版本没问题，不用升级，如果有错误提示，给 rpi-source 加上跳过参数

sudo rpi-source --skip-gcc

继续安装 WireGuard

安装编译 WireGuard 所需依赖包

sudo apt-get install libmnl-dev build-essential git

git WireGuard 源码并编译安装

git clone https://git.zx2c4.com/WireGuard
cd WireGuard/
cd src/
make
sudo make install

如果没什么错误提示就完成了 WireGuard 安装。

两端 VPN 隧道连接情况

（假设服务器端公网 IPv4 是 12.34.56.78 ，客户端映射的内网 IPv4 是 111.222.1.1）

显示服务器端的连接状态

$ sudo wg show
interface: wg0
  public key: mh+9HFTbMJKF6tU2sQpoJG1G89OihD+/tHAUWEjjHHU=
  private key: (hidden)
  listening port: 943

peer: 0PvXwI7H0S+CcDMimq/MPbNqSyGDUA5FYjjS2gCy5S0=
  endpoint: 111.222.1.1:51770
  allowed ips: 10.10.0.252/32
  latest handshake: 24 seconds ago
  transfer: 2.91 MiB received, 3.13 MiB sent

显示 Raspberry Pi 的连接状态

$ sudo wg show
interface: wg0
  public key: 0PvXwI7H0S+CcrfdBV/MPbNSgCGAUA5FYjjS6Iyy5S0=
  private key: (hidden)
  listening port: 51770
  fwmark: 0xd3d

peer: mh+9HFTbMJKF8UGFEQpoJG1G81AMQ5+/tHAUWLIjHHU=
  endpoint: 12.34.56.78:943
  allowed ips: 0.0.0.0/0
  latest handshake: 56 seconds ago
  transfer: 3.05 MiB received, 3.72 MiB sent
  persistent keepalive: every 25 seconds

其他

服务器端 wg0.conf 配置文件示例

[Interface]
PrivateKey = GBKJGDPE5KDQA9TFvQHqlOeEbJoxs1IH9/WUmo26Unw=
Address = 10.10.0.1/24
ListenPort = 943
PostUp = echo nameserver 8.8.8.8; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
SaveConfig = true

服务器端添加客户端的命令

sudo wg set wg0 peer 0PvXwI7H0S+CcDMimq/MPbNqSyGDUA5FYjjS2gCy5S0= allowed-ips 10.10.0.5

启动服务器端值守进程

sudo wg-quick up wg0

停止服务器端值守进程

sudo wg-quick down wg0

在 Raspberry Pi 上 wg0.conf 配置文件示例

[Interface]
PrivateKey = SHBjWA3uAYAZc+TUvr8RCTA5SVQnt+aSVkdlPKhD1Hk=
Address = 10.10.0.5/24
PostUp = echo nameserver 8.8.8.8 | resolvconf -a tun.%i -m 0 -x
PostDown = resolvconf -d tun.%i

[Peer]
PublicKey = mh+9HFTbMJKF8UGFEQpoJG1G81AMQ5+/tHAUWLIjHHU=
Endpoint = 12.34.56.78:943
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

启动 Raspberry Pi 值守进程

sudo wg-quick up wg0

停止 Raspberry Pi 值守进程

sudo wg-quick down wg0

关于 WireGuard 默认端口

WireGuard 默认端口是 51820 ，对于 GFW 来说修改端口意义不大，不过换一个也无妨。

服务器端的端口在 wg0.conf 配置文件中指定监听端口就可以。 Raspberry Pi 通过修改 wg-quick 文件约第 152 行

sudo vi /usr/bin/wg-quick

DEFAULT_TABLE=
add_default() {
	if [[ -z $DEFAULT_TABLE ]]; then
		DEFAULT_TABLE=51820 // 默认端口 51820 可以改为其他端口，如 943
		while [[ -n $(ip -4 route show table $DEFAULT_TABLE) || -n $(ip -6 route show table $DEFAULT_TABLE) ]]; do
			((DEFAULT_TABLE++))
		done

Raspberry Pi 编译 WireGuard 可能出现的错误

Raspberry Pi 编译时可能出现类似 make: *** [module] Error 2 的错误，提示内核模块没有找到（这个错误提示暂时没有重现，有的话会补上）

先用 rpi-update 更新 Raspberry Pi 内核和固件，重启后重新编译 WireGuard。

（用 wg-quick 脚本启动 WireGuard 服务会另写一篇。）

原创内容，转载请注明出处
内容修订请浏览 https://github.com/aturl/awesome-anti-gfw