WireGuard VPN 自建完全指南 2026：服务端部署 + 全平台客户端 + 分流路由配置

1
# Debian / Ubuntu（Linux 5.6+ 内核已内置 WireGuard 模块）
2
apt update && apt install -y wireguard
3

4
# 验证安装
5
wg --version
6
# wireguard-tools v1.0.20210914 - https://git.zx2c4.com/wireguard-tools/

1
# 进入 WireGuard 配置目录
2
cd /etc/wireguard
3

4
# 生成服务端密钥对
5
wg genkey | tee server_private.key | wg pubkey > server_public.key
6

7
# 生成客户端密钥对（每个客户端一对）
8
wg genkey | tee client1_private.key | wg pubkey > client1_public.key
9
wg genkey | tee client2_private.key | wg pubkey > client2_public.key
10

11
# 查看密钥（记下备用）
12
echo "服务端私钥：$(cat server_private.key)"
13
echo "服务端公钥：$(cat server_public.key)"
14
echo "客户端1私钥：$(cat client1_private.key)"
15
echo "客户端1公钥：$(cat client1_public.key)"
16

17
# 保护私钥文件
18
chmod 600 *_private.key
19
chmod 600 /etc/wireguard/  # 整个目录只有 root 可读

1
cat > /etc/wireguard/wg0.conf << EOF
2
[Interface]
3
# 服务端私钥
4
PrivateKey = $(cat /etc/wireguard/server_private.key)
5

6
# VPN 内网 IP（服务端使用 10.0.0.1）
7
Address = 10.0.0.1/24
8

9
# 监听端口（UDP）
10
ListenPort = 51820
11

12
# 启动时开启 IP 转发和 NAT（让客户端流量能出网）
13
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; \
14
           iptables -A FORWARD -o %i -j ACCEPT; \
15
           iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
16
PostDown = iptables -D FORWARD -i %i -j ACCEPT; \
17
           iptables -D FORWARD -o %i -j ACCEPT; \
18
           iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
19

20
# ── 客户端1（手机/电脑）────────────────────────────────────────
21
[Peer]
22
# 客户端1的公钥
23
PublicKey = $(cat /etc/wireguard/client1_public.key)
24
# 允许该客户端使用的 VPN 内网 IP
25
AllowedIPs = 10.0.0.2/32
26

27
# ── 客户端2（另一台设备）──────────────────────────────────────
28
[Peer]
29
PublicKey = $(cat /etc/wireguard/client2_public.key)
30
AllowedIPs = 10.0.0.3/32
31
EOF

1
# 启动 WireGuard
2
systemctl enable wg-quick@wg0
3
systemctl start wg-quick@wg0
4

5
# 查看状态
6
wg show
7
# 输出应显示接口信息和 peer 列表
8

9
# 防火墙放行 WireGuard 端口（UDP）
10
ufw allow 51820/udp

1
# 持久化开启（重启生效）
2
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
3
echo "net.ipv6.conf.all.forwarding = 1" >> /etc/sysctl.conf
4
sysctl -p
5

6
# 验证
7
sysctl net.ipv4.ip_forward
8
# 输出：net.ipv4.ip_forward = 1

1
# 安装 WireGuard
2
apt install -y wireguard
3

4
# 创建配置文件
5
vim /etc/wireguard/wg0.conf
6
# 填入上面的客户端配置内容
7

8
# 连接
9
wg-quick up wg0
10

11
# 验证
12
wg show
13
curl https://ipinfo.io/ip   # 应显示服务器 IP
14

15
# 断开
16
wg-quick down wg0
17

18
# 开机自启
19
systemctl enable wg-quick@wg0

1
# 方法一：App Store 安装官方 WireGuard app（推荐）
2
# 搜索 "WireGuard" → 安装 → 导入配置文件
3

4
# 方法二：Homebrew 命令行
5
brew install wireguard-tools
6
# 配置文件放在 /usr/local/etc/wireguard/wg0.conf
7
sudo wg-quick up wg0

1
# 在服务端生成客户端配置的 QR 码
2
apt install -y qrencode
3

4
# 将客户端配置文件转为 QR 码（终端中显示）
5
qrencode -t ansiutf8 < /tmp/client1.conf
6

7
# 客户端用 WireGuard App 扫描即可导入

1
# 在本地安装 wg-genconf
2
pip install wg-genconf
3
# 或直接下载脚本
4

5
# 生成"排除中国大陆 IP"的 AllowedIPs 列表
6
wg-genconf generate --exclude-cn > allowed_ips.txt
7

8
# AllowedIPs 会是 0.0.0.0/0 减去所有中国 IP 后的 CIDR 集合
9
# 类似：
10
# AllowedIPs = 0.0.0.0/1, 128.0.0.0/3, ...（几十条 CIDR）

1
# /etc/wireguard/wg0.conf 的 PostUp 添加路由规则
2

3
[Interface]
4
...
5
PostUp = /etc/wireguard/add-routes.sh
6
PostDown = /etc/wireguard/del-routes.sh