wireguard

admin

本脚本适用环境
系统支持：CentOS 7+，Debian 8+，Raspbian 10，Ubuntu 16+，Fedora 29+
- k/ c; q3 m! L2 ^, P" q内存要求：≥256M
日期　　：2020 年 4 月 2 日
2 E6 J, K$ _/ A# h% U
关于本脚本
1. 支持两种安装方式：从代码编译安装，从 repository 直接安装；
2. 脚本会创建默认的 wg0 设备，以及 wg0 的客户端配置，并生成客户端配置对应的二维码 png 图片；
: A  K7 q* f8 b  E) l6 J3. 脚本会修改本机防火墙设置，如果未启用防火墙，则会出现警告提示，需要手动去设置；
+ p2 q' _+ k* w* Q  p! H9 ?8 U4. 脚本会从 1024 到 20480 随机生成监听端口；
, a" q$ R0 r: I# i5. 脚本支持新增，删除，列出客户端功能；
) L; w- v7 r8 r6. 脚本支持查看已安装的 WireGuard 的版本号；
! o' H6 K6 O6 {' b; M0 ]( t9 A3 N! i  z, U3 d7. 脚本支持从代码编译安装的方式升级 WireGuard 到当前最新版本；
8 F% u" |, s/ t# ?: p/ D
客户端下载
Windows, macOS, Android, iOS 客户端
https://www.wireguard.com/install/
& _8 e5 V; [# `: @# i
& n3 a4 v$ n' p7 ?7 k( H: j脚本使用方法
使用 root 用户登录系统，运行以下命令下载脚本，赋予执行权限：

+ }! n$ T$ O3 M' q  Q. r) kwget --no-check-certificate -O /opt/wireguard.sh https://raw.githubusercontent.co ... master/wireguard.sh
% ?7 a( e& _2 O* W4 V% _7 Vchmod 755 /opt/wireguard.sh
写在前面
WireGuard 的安装和使用条件是比较苛刻的。因此我不建议在生产系统里安装和使用 WireGuard，除非你知道自己在做什么。
它依赖于内核，也就是 kernel，在不同的系统中，内核，内核源码包，内核头文件必须存在且这三者版本要一致。
! d) M* i7 D/ b2 Y) oRedHat，CentOS，Fedora，Oracle Linux，Amazon Linux 等 rpm 系的名字是 kernel，kernel-devel，kernel-headers。
Debian，Ubuntu 等 deb 系的名字是 kernel，linux-headers。
! {: b# Z# _) Y& s9 I如果这三者任一条件不满足的话，则不管是从代码编译安装还是从 repository 直接安装，也只是安装了 wireguard-tools 而已。
而 WireGuard 真正工作的部分，是 wireguard-dkms，也就是动态内核模块支持(DKMS)，是它将 WireGuard 编译到系统内核中。
$ d8 p& C2 i4 O  C: l  F& B3 X因此，在某些 VPS 商家，是需要你先自主更换系统内核，并事先将这三者安装好，才有可能不会出现编译或安装失败。

我在测试的时候，就经历过各种内核的问题导致的安装失败。如果你也遇到了同样的问题，建议先更换内核。
就我个人的体验而言，在 CentOS 7 下更换为 elrepo 的内核是最容易的。这里有个脚本，可以更换到最新版内核，且自动开启 BBR 网络传输算法。
一键安装最新内核并开启 BBR 脚本
" O% _% j* z6 D' Y此脚本运行后，最后会提示你重启系统，此时可以输入 n，暂不重启。手动安装 kernel-headers，运行如下命令：
+ ]# u9 H9 _; Q! @" Z1 a/ L' Q% Q  b
yum -y install kernel-ml-headers
) p& T) \2 G8 v, p然后再重启之。运行如下命令：

reboot
1 F( }1 g, K* [  c$ Z5 P: |* _重启后进入系统，运行下面的从代码编译安装 WireGuard，基本上就不会出现安装失败的问题了。
注意：自主更换内核后，我建议使用从代码编译安装 WireGuard。

更新日志
& N0 T7 Z2 l8 t2 C# w6 s2020 年 4 月 2 日：
Linux 内核 5.6 正式发布了，内置了 wireguard module。
本次更新添加了检测系统内核版本，如果大于等于 5.6 则不安装 wireguard module，仅安装 wireguard tools，然后再生成默认配置。
当系统内核小于 5.6 时，则依然安装 wireguard module 和 tools，并生成默认配置。
7 n. _3 u: l2 O, V0 T0 T
7 x1 t* R7 V6 q( h- S; l; v2020 年 1 月 6 日：
一个好消息是 WireGuard 即将要合并到内核 5.6 里面了。
于是作者在近期把 repo 改名了，从而导致脚本无法获取到正确的版本号。
并且还把原来的 repo 一分为二了，分别改为 wireguard-linux-compat 和 wireguard-tools。前者是内核模块，后者是命令行工具。
此次更新就是修复了以上问题。
! m0 Z4 h  A# v$ {6 c' j# ^: [1 z
6 p4 N. F5 X, v2 t7 h2019 年 11 月 16 日：
1、修正客户端配置文件创建时的各参数顺序，与 Windows 客户端的显示顺序一致。
. l) N; {. ?8 J2、新增 Windows 客户端配置示例说明。
2 ~0 t3 O$ s% a: \
2019 年 10 月 27 日：
1、新增卸载函数，使用方法请参考下面的卸载方法。
% `3 A! _, _6 _, g2、支持在 CentOS8 下从 repository 安装，或者从代码编译安装。
# k( ?* q" E7 ~: V$ ]
从代码编译安装 WireGuard
( I( q+ l- ^4 ]" p% T! m/ g  F/opt/wireguard.sh -s
; C" h, J- _- O( E! r" T- m从 repository 直接安装 WireGuard
7 L/ X4 d- V, x6 f; e/opt/wireguard.sh -r
( @9 ~/ ^! ]4 P0 y! e! b安装完成后，脚本提示如下
WireGuard VPN Server installation completed
WireGuard VPN default client file is below:
; M% D8 R3 }+ U4 A/etc/wireguard/wg0_client
& s7 t' R6 U+ }7 q3 VWireGuard VPN default client QR Code is below:
; p: ]* e/ h* ]& B' X- k/etc/wireguard/wg0_client.png
Download and scan this QR Code with your phone
, R: u- C! \; E1 v. {Welcome to visit: https://teddysun.com/554.html
5 M+ {' ?) ^, }! U6 [; f% wEnjoy it
卸载方法
5 Z$ `; c4 Q$ e7 x! J, l7 {. O2 N2 O/opt/wireguard.sh -n
其他使用选项
查看已安装 WireGuard 版本号

9 D! V4 U. j, F3 ]7 t/opt/wireguard.sh -v
  d1 E$ ]2 @1 k# o% D. t编译升级 WireGuard 到当前最新版本

! \* P6 H0 Z5 E, J) w0 v/opt/wireguard.sh -u
新增 WireGuard 客户端配置
) R) d$ K. w/ K5 i1 o
/opt/wireguard.sh -a
删除 WireGuard 客户端配置
1 b+ K! {1 W8 l. u! q1 B注意：默认客户端 wg0 不允许删除
6 K2 ^5 e  P" ~$ T
/opt/wireguard.sh -d
2 [5 |3 k/ h2 ^) }列出 WireGuard 客户端配置

" H" o+ l, X- l( ^/opt/wireguard.sh -l
高级用法
如果你在安装时，需要自定义自己想要的端口，那么可以 export 变量 VPN_SERVER_WG_PORT 的值，这样脚本就会读取这个变量值来定义监听端口，而不会自己随机生成。
  [3 {" Q  e1 x& y3 f0 s( V比如你想自定义端口为 1234，那么具体做法就是，在执行从代码编译安装 WireGuard 或者从 repository 直接安装 WireGuard 之前，运行如下命令：

export VPN_SERVER_WG_PORT=1234
# r( n& x% U' ]' U" H6 z% F# ]: l下面是一份脚本里用到的变量列表名（共计 11 个），以及它们具体代表什么含义的说明。
VPN_SERVER_PUB_IPV4，定义服务器公网 IPv4，如果你的服务器端存在多个可用公网 IPv4，指定此变量的值。
VPN_SERVER_PUB_IPV6，定义服务器公网 IPv6，如果你的服务器端存在多个可用公网 IPv6，指定此变量的值。
VPN_SERVER_PUB_NIC，定义服务器默认网卡名称，如果你的服务器有多个可用网卡，指定此变量的值。
VPN_SERVER_WG_NIC，定义 WireGuard 网卡名，默认为 wg0，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_IPV4，定义 WireGuard 服务端的内网 IPv4，默认为 10.88.88.1，这里一般不推荐指定此变量的值。
! t+ h( q" ~6 RVPN_SERVER_WG_IPV6，定义 WireGuard 服务端的内网 IPv6，默认为 fd88:88:88::1，这里一般不推荐指定此变量的值。
VPN_SERVER_WG_PORT，定义器 WireGuard 服务端的监听端口，默认为从 1024 到 20480 随机生成，如果你想自定义端口，指定此变量的值。
# A. ~' _1 ?1 O, EVPN_CLIENT_WG_IPV4，定义 WireGuard 默认客户端的内网 IPv4，默认为 10.88.88.2，这里一般不推荐指定此变量的值。
. e% r( R- [) }6 i9 v! R0 P" CVPN_CLIENT_WG_IPV6，定义 WireGuard 默认客户端的内网 IPv6，默认为 fd88:88:88::2，这里一般不推荐指定此变量的值。
! v3 r! R% d( d' b0 q2 W/ W5 y6 lVPN_CLIENT_DNS_1，定义 WireGuard 默认客户端的 DNS，默认为 1.1.1.1，如果你想自定义为别的 DNS，指定此变量的值。
VPN_CLIENT_DNS_2，定义 WireGuard 默认客户端的 DNS，默认为 8.8.8.8，如果你想自定义为别的 DNS，指定此变量的值。

Windows 客户端配置
7 o5 U3 Y5 x) B8 D' g, ?* A' l0 x下载，安装，打开客户端软件，点击 Add Tunnel -> Add empty tunnel…
WireGuard 一键安装脚本
3 ~" a3 V' n( h) A: c
* E6 r# P$ g" m: x+ m7 M. U此时出现一个可以编辑的界面，将脚本生成的客户端配置 /etc/wireguard/wg0_client 里的内容复制出来，粘贴，保存。
WireGuard 一键安装脚本

( G" e( E  \- v' vWireGuard 一键安装脚本

点击 Activate，就可以 VPN 连接了。
: U- z/ @/ F1 M7 i3 HWireGuard 一键安装脚本

参考链接
3 P, q. }, W" |  M9 B1 ghttps://www.wireguard.com
https://github.com/WireGuard/WireGuard
https://git.zx2c4.com/WireGuard
4 d$ M3 o  S, G- u, P6 }https://golb.hplar.ch/2019/07/wireguard-windows.html