【软路由应用】如何优雅的连接到家里的网络? OpenWrt中使用wireguard教程|一个端口访问局域网内所有设备(如群晖NAS,路由器)

这期节目向大家介绍一下如何使用OpenWrt上的wireguard服务。wireguard服务搭建成功后(通过简单的路由设置)，我们可以在外网通过客户端连接到家庭网络，达到任意访问家里局域网中的设备的目的。
这种方法同样也适用于公司网络以及任何你想在外网连入的网络。相比一些商业服务(比如花生壳,zerotier)此方案更简洁高效(基于Linux内核模块)，代码完全开源，安全有保障，配置也不算复杂。
如果有公网IP，可以通过DDNS直连，如果没有公网IP可以通过FRP端口转发。本期节目少量代码，适合小白入门。
时间轴：
00:00 开场
01:32 前置条件
02:16 方案比较
07:17 实战开始
视频中用到的脚本
动态域名(DDNS)使用教程
以下资料来源于互联网
cloudflare动态域名 keesenz.com/2020/1067.html
阿里云动态域名 blog.csdn.net/pzhier/article/...
eSir精品小包固件下载地址(感谢esir的辛勤付出)
drive.google.com/drive/folder...
OpenWrt安装WireGuard命令(eSir精品小包已集成WireGuard,无需安装)
opkg update
opkg install luci-proto-wireguard luci-app-wireguard wireguard kmod-wireguard wireguard-tools
reboot
WireGuard密钥生成(视频介绍中不能出现尖括号请大家自行替换)
1.设置文件权限
umask 077
2.生成服务端Privatekey和Pubkey
wg genkey | tee sprivatekey | wg pubkey 大于号 spublickey
3.生成客户端端Privatekey和Pubkey
wg genkey | tee cprivatekey | wg pubkey 大于号 cpublickey
4.生成预共享密钥PresharedKey
wg genpsk 大于号 sharekey
客户端模板文件test.conf
[Interface]
Address = 192.168.100.2
PrivateKey = cprivatekey文件内容
DNS = 路由器IP
[Peer]
PublicKey = spublickey文件内容
AllowedIPs = 0.0.0.0/0
如果启用下面这行代码,表示只有192.168.2.0/24, 192.168.100.0/24这两个子网的IP走WireGuard
AllowedIPs = 192.168.2.0/24, 192.168.100.0/24
Endpoint = 公网IP:端口号
PersistentKeepalive = 25
真实的test.conf的例子
[Interface]
Address = 192.168.100.2
PrivateKey = qB5rRYDTF7b7iEQSZ91ixQ7XAvuiY2aXJtg3aasz01Y=
DNS = 192.168.2.1
[Peer]
PublicKey = SfBTCxkXG2P5QMin1CScP5eyaOD7RG9v2OSWlJrcWxY=
AllowedIPs = 0.0.0.0/0
PresharedKey = ENLutSSKXVdHBokmrFu+gOq/JCATLbX+a7SmeXNpvTQ=
Endpoint = yourhome.demo.com:23456
PersistentKeepalive = 25
WireGuard客户端安装地址
www.wireguard.com/install/
wws.lanzoui.com/iCRwqqy0neh 解压密码:www.126126.xyz
Telegram：t.me/first_sunlight
个人网站：www.126126.xyz/
哔哩哔哩： space.bilibili.com/221010336
#Wireguard #OpenWrt #访问家庭网络 #FRP

[@NoNo-jx1ry]

看到up主如此细致的讲解，连视频都做好分段，文件也做了说明，果段粉了。期待更多作品

[@tidegolden7457]

太详细了,而且正需要这个功能.必须点赞.

[@ricebig]

每一個步驟都有清晰說明，非常棒的教材

[@kris-fe2xj]

关于wireguard使用的极品好教程！亲测认证！

[@lukel7979]

讲的非常详细，干货满满❤

[@terryzhang6365]

支持，我去研究一下，“那种服务”哈

[@goodtvbox9829]

非常详细！感谢！

[@sdam6851]

很详细 感谢

[@user-pi6jz2ww6g]

非常棒，作用感觉类似OPENVPN

[@user-kx2sx3jk2l]

b站过来再支持下，这个确实不错，UP讲的也清晰~~~啥时候不用ZeroTier了就换这个。

[@sontjer]

zt有udp限速

[@startc8369]

很好剪辑和解说，没有废话和推销

[@user-cg1kr7rh6y]

很细，已成功~感谢

[@jassina.]

大佬很强，我一个小白也搭建成功了。我想问能不能说一下IPv6版的怎么操作

[@duoduohui9278]

干货满满啊 向技术大神学习中。。。。。。。

[@leolotas]

老师您好，请问可以在云服务器上配置服务端，在其他设备上配置客户端吗？这样也就解决了公网IP的问题。

[@li36593]

正好需要~~谢谢大大

[@user-wr2bt3gv2n]

UP主你好，麻烦问一下脚本中的域名可以是ipv6的公网动态域名吗

[@user-eb1wk5tq3i]

可以问下创建服务器节点的时候 新建接口 设置完了 返回接口显示页面 看不到设置的wg接口有设置的ipv4地址是怎么回事啊

[@gangchen7051]

早就是你的粉了，一直用你的方法，稳定流爽。近日网络需要双路由，可在旁路由上建立wireguard时却出现了问题，主路由上开放端口转发，旁路由上也加了规则，就是无法成功，请问还需要注意什么？

[@chfjxmtable]

up主，照您的视频第一次设置成功，但几日后想再设置一个设备的wireguard，但出现：Warning: writing to world accessible file. Consider setting the umask to 077 and trying again提示，可是我已经在wireguard文件下umask 077，但还是会出现一样的错误提示，不知为什么会这样

[@downtodo]

請教的一下，共享密钥，是每一個客戶端都要設一組嗎?

[@hejing5217]

希望以后能介绍下mikrotik L2TP SSTP这些组网技术

[@pengpeng7796]

博主你好。openwrt是旁路，wg是安装在openwrt上，按视频设置好后，外网只能访问openwrt，不能访问局域网内其他的设备，请问该怎么设置啊？ 谢谢

[@harryguo7616]

大佬你好，我有个问题，如果没有公网ipv4，是ipv6的地址，那么ip地址和允许ip，端点主机这些应该怎么填，有什么变化么，ipv6的填法真的不太懂

[@52qiuqiu]

感谢，我就是那个有多少端口就转发多少个端口的，直到上当了才想起研究vpn

[@user-dr8es7uc6c]

又是位隔壁的老王，，

[@jimgreen2286]

感谢up主，学到东西了。想请教一下，我的内网是有一台主路由和一台旁路由，都是openwrt，没有公网ip，有一台VPS，搭设了frp服务器，在旁路由上运行frp客户端，设置好之后外网能访问内网。现在按照这个教程，在旁路由上添加了wireguard接口，配置好了，外网电脑上wireguard客户端也配置好了，连的是frp服务器，能连接上，但日志里显示Handshake did not complete after 5 seconds, retrying ，这种情况下，是主路由要打开相应端口还是旁路由打开？需要做主路由到旁路由的转发吗？内网穿透时的设置，是穿透到主路由ip还是旁路由ip呢？可能几句话也说不清楚，麻烦有空看下，谢谢！

[@firstsunlight]

你是FRP客户端和wireguard都在旁路由上, 所以不用考虑主路由(主路由不需要做任何设置), 只要把旁路由的FRP客户端配置好了就可以了, 注意转发的是UDP端口, 旁路由配置FRP时, 内网主机参数就填127.0.0.1, 端口就是wireguard的端口, 你的情况可能是端口不通

[@pansir029]

大佬请教下如果我wg主节点在魔法上网旁路由上那么手机连接上走家里旁路由就直接可以魔法上网了吗？

[@guozhengzhao5867]

你好up，用了你的方法怎么总是提示Handshake did not complete after 5 seconds, retrying (try 2)

[@rcz8888]

真详细，照抄就行了，不过不在墙内已经没openwrt设备了，只有台pfsense但还没用过wireguard

[@user-cm8gx5iw2y]

大佬，这个如果是移动没有IPV4公网，但是有IPV6公网，这个可以设置吗。谢谢。

[@thememe258]

请问endpoint要怎么设置呀？

[@shucai]

大佬，openwrt22.3开始是 nftables 了，那条 iptables 命令要怎么改？

[@user-sh1kx9qz7m]

手机连接 wg 后， 消耗的流量是 open wrt 的流量还是手机流量

[@leochoo2971]

握手成功了，用手机网络访问局域网速度有点慢只有100kb，不是p2p的吗

[@Arlik]

请问大大有没有研究过怎样把OpenWRT同时做wireguard的伺服端+客户端呢? 最终目标的 手机可以连到家内网络用NAS等等东西之余 访问网外就可以走家内网络设定的VPN

[@user-ej2te4xh9k]

你dns设置你openwrt的ip不就可以实现效果了。你openwrt旁路有不就是dns是旁路有ip吗吗，实际效果不好，取决于你家的上传带宽

[@BL1ACH]

转发协议是UDP吗，一般不都是TCP这俩有啥区别啊？

[@zmy6742]

frp不还是要ip吗？

[@dingwang3015]

没有V4公网IP只有V6的，wireguard支持V6吗？

[@sontjer]

老王试试tailscale也是棒棒的！基于wireguard更加简单易用

[@firstsunlight]

好的，我看看

[@sontjer]

@@firstsunlight 我三个住处，每处一个有一台openwrt或者linux设备作为router，就可以让所有局域网设备跨网段可以互访，非常之稳定，都可以跑满上传带宽上限，比zerotier这个基于udp的不知道高明到哪里去了。

[@jameslin7718]

我相信tailscale一定很易用，但我选择wg就是不想再借助第三方公司的服务

[@yuan.pingchen3056]

wireguard需要那些指令集以實現硬件加速? AES-NI ?一般的支援該處理器的throughputs是多少? 會增加多少毫秒的latency ?

[@polaris_96]

更新了op的系统以后发现只能连接op不能访问其他的设备，去网络那里发现是wg的防火墙借口改成不指定了，手动修改为lan口就能访问了

[@chenwenjun000]

我已经成功连接到家里的网络了。可是路由器是可以环游世界的。手机不能。是不是需要设置什么其他？

[@anncewang8733]

太复杂了

[@pigback]

老大，已经连回家中。可以访问局域网，访问百度。但是科学上网失败，求解。家中网络已经是科学上网环境。谢谢！

[@djtu2528]

王总,能做个走TCP的访问内网的教程吗? Wireguard 走UPD,用了一段时间就被电信屏蔽了.

[@firstsunlight]

开个V2ray的服务就可以了，你搜v2ray回家，很多教程

[@kayuenzhang2929]

这种方法安全吗？

[@yff5789]

设置成功了，但是手机只能打开路由器后台，不能上网，求解

[@guo0207]

支持 命令行操作吗？类似wg-quick up /etc/wireguard/wg0.conf的方法，能出一期教程吗？

[@firstsunlight]

如果纯命令行操作，我就不建议用openwrt了，直接上个普通Linux,比如ubuntu可能更方便些，这类教程网上也很多。在openwrt下我还是建议用它的网页界面.

[@guo0207]

@@firstsunlight 谢谢，如果原有客户端比较多openwrt就显得麻烦了。我用debian新开个虚拟机，Debian资源占用还少一些。

[@guo0207]

@@firstsunlight debian流量走openwrt，效果一样。openwrt换固件也没关系了。

[@user-qr5yu7sb2w]

有公网ip的wg搞定了。内网穿透我也会，我用的NPS。我家没有公网IP，就把wg和nps结合起来，但只成功过一次，然后客户端一直连不上家里的内网。openwrt的状态显示可以成功握手。希望UP主，可以出下内网穿透+wireguard的详细教程。

[@firstsunlight]

内网穿透问题有机会我出一个视频吧

[@djtu2528]

估计是被墙了，我开始用FRP成功用了一段时间，后来就连不上了。

[@MrXiaOh]

wireguard快还是frp快？

[@dbyan9421]

动态域名需要https不？

[@andyoy9686]

大佬,建议再出一期视频详细的讲一下,好几个地方的网络怎么连起来,比如说北京,上海,深圳三地的各有一个局域网,分别有三台OpenWrt,怎么让三个局域网内的设备可以互访.

[@marthjack6518]

zerotier

[@andyoy9686]

@@marthjack6518 谢谢,已经用这个组网了,但是速度不怎么样,所以想试试这个速度怎么样

[@user-wy7zq4iv3r]

我也想知道怎么用，，我就会用一台云服务器那种办法，

[@weidai5604]

大佬出个基于tr069组建大局域网的教程呗？

[@user-rf8wn1jg9w]

免费NAS用户的福音啊，这样子就能远程用samba协议保存照片影片了。

[@ylw4708]

怎样使二级路由是OpenWrt自带的网络共享插件共享的挂载盘共享到一级路由上？

[@user-lm1mc9sd8e]

试试静态路由

[@yaowang6548]

果断收藏

[@zhouzilin]

一直用的SoftEther VPN 跟这个比有什么优缺点，哪个比较好？

[@firstsunlight]

唯一好处是wg完全开源, 另外wg代码比较精简, 内核模块级别, 效率高些, 要是方便性SoftEther VPN 我觉得更好

[@user-cm8gx5iw2y]

还是有点麻烦，还是tailscale方便，又不就是zerotier也行！

[@user-ur4no1rh2i]

那种服务，哪种服务？

[@user-sb8pk7kw5s]

顶一下

[@king-mt6ho]

教程不错，不过我用SoftEther,不用客户端，配置也简单，因为折腾了好多次，现在基本3分钟就可以设置完了，也不用代码，不知道这个有什么优势

[@firstsunlight]

主要是给大家提供另外一个思路, 你要说有什么好处, 我觉得主要是我这个方案是完全开源的, 自己可以完全掌控,不受任何商业公司的影响.另外就是折腾的乐趣了

[@yrfapp]

请问这个没有公网IP也能用吗？

[@firstsunlight]

@@yrfapp 没有公网ip的需要服务器中转，不能直接用，可以考虑用frp

[@yrfapp]

@@firstsunlight 谢谢回复，有公网IP的话不如用DDNS了。我现在用DDNS.to

[@jfzhang6013]

客户端节点密钥可以多个设备同时使用吗

[@jfzhang6013]

密钥目录能在home里面新建吗

[@guyu6426]

你好可以讲一下如何传透后科学上网嘛

[@mascotaks7491]

魔法工具里监听wg0端口就可以了。

[@sunwolf9062]

远程桌面还是连不上呢！一步一步跟着弄的！

[@long-eb7xn]

如果我两个地方有两个宽带，一个有公网ip，一个没有，那可不可以在有公网ip的上面配置wg服务端，没公网ip的配置客户端，然后让两边路由下的设备都支持互相访问？

[@firstsunlight]

你理解的对，实际操作中建议两个网络使用不同的网段，如果是openwrt,在"允许的ip"中配置好路由就可以

[@user-wy7zq4iv3r]

@@firstsunlight 我家里是公网IP的，在家里OpenWrt设置了wireguard的，，怎么把公司电脑组网的，用手机能远程桌面公司电脑

[@user-qw3qu9iy1n]

公网ipv6怎么弄

[@nhmi6707]

不知道那个环节问题 内网的基本上链接上了速度很慢 frp连不上防火墙开了 想不通

[@hell-j8j8]

动态域名怎么来的?

[@user-to1tn9bn9v]

一次性配置成功，so easy，即使是passwall，wireguard连接成功以后也可以顺利“那种功能”，目前公司，家里都配置了，实现了高可用性。手机的小火箭可以卸载了。😋

[@WeirdTKJackson]

那就是连回家时候，视频中的DNS填写OpenWRT这个软路由的IP吗？

[@leochoo2971]

用易有云的ddns 穿透到旁路由 可以吗

[@firstsunlight]

易有云穿透似乎是不支持UDP,可能用不了

[@leochoo2971]

@@firstsunlight 好的 谢谢回复，难怪弄了好久 都不行

[@52qiuqiu]

问下大佬，连接成功了，但是一旦我路由开启passwall，wg就连不上了，有什么解决方案吗？谢谢

[@kunyiw7813]

同问

[@52qiuqiu]

@@kunyiw7813 不用passwall，用另一个插件，ssrp，接口控制里面把wg端口勾上，wg连上之后就能正常科学上网了

[@Kc-Link]

按照你的方法Wireguard已搭建起来了，可以访问家里任何设备，但无法享用家里已搭建好的科学上网服务，请问是哪里出了问题？

[@mascotaks7491]

我用openvpn连回群晖，也无法使用路由器里的科学上网……应该是流量没全部走vpn，

[@Kc-Link]

@@mascotaks7491 我想也是，流量依然走的是本地流量，并没有走VPN流量，尝试各种设置仍无法实现，放弃

[@firstsunlight]

如果你用的是ssr plus+, 在"访问控制"那个页面, 把wireguard那个接口打上勾

[@Kc-Link]

@@firstsunlight 感谢指教，谢谢你。

[@djtu2528]

@@Kc-Link Wireguard 这玩意儿是不是会被墙，最近用不到了，怪了。

[@zhaijohnny6393]

openwrt 22.03的防火墙没有自定义规则，其他都设置好了，就iptables那条不知道怎么弄，客户端可以连上服务器，可以列表文件但无法操作文件。谁能指点一下怎么设置防火墙那块啊。

[@a7533sys]

我也有同樣問題...

[@YorickChen]

这样的速度是不是很慢？仅和本地上传速度相关吗？

[@firstsunlight]

仅受家庭宽带上传速度限制, 除非部分运营商会对UDP协议进行QOS

[@YorickChen]

@@firstsunlight 谢谢

[@user-px5zo5sl3v]

这个访问速度慢怎么解决 、

[@wq3444]

还要装客户端 这一点都不优雅 softether_vpn 怎么设置转发

[@firstsunlight]

softether_vpn没用过，不过通过路由规则理论上应该都可以设置。

[@FuckCCP1949]

openwrt有IPv6公网的话也支持，但我还没有搞定。。。

[@Lemontree520]

感觉这东西没啥用啊，我都有动态公网IP了，直接DDNS就是了，端口映射不就完了；我都用上frp了那不也等于内网穿透了吗，那用着玩意的意义在哪呢， 就只为了直接暴露端口在公网吗？

[@jfzhang6013]

你的数据都要过frp服务器，你觉得安全吗？而且还要考虑服务商的网络质量，还要担心对方是否倒闭了。

[@zzzzzzzxin]

@@jfzhang6013 frp是自己的服务器 没用过就别乱说

[@djtu2528]

设置成功，有个问题想请教一下。在外网时，不想让所有流量走wireguard, 因为要中转，有点慢，能否只让某些流量走wireguard? 如youtube.

[@firstsunlight]

这个wireguard可能做不到，至少在手机上做不到。

[@0endif]

frp都用上了不是直接就可以访问了吗

[@firstsunlight]

我的意思是对于没有公网IP的可以用FRP中转一下

[@neocheung6023]

这还叫非常简单啊？

[@GorSmilence]

按照你的教程，一步步设置成功了，也用wireguard连接到家里的路由器了,但是任何网页都打不开，似乎断开连接了，怎么回事？

[@songeric8244]

一样的毛病，同问！

[@user-hm9vv9ez4h]

为什么我只能配置一个客户端？第二个配置在wireguard状态里面根本就不显示，也连不上

[@wzcsxjl]

关闭wg0接口后再连接，相当于重启

[@user-hm9vv9ez4h]

@@wzcsxjl 有显示状态了。不过这个协议好像有点问题，握手之后收发数据都不动弹。

[@wzcsxjl]

@@user-hm9vv9ez4h 先在内网测试有数据没。我的宽带对UDP限制很厉害，在外边经常连不上，换一个端口可以暂时使用，不是随时可用的，要是WireGuard支持TCP就好了

[@firstsunlight]

每次加一个客户端都要点接口设置中那个添加按钮

[@vinkeylin6359]

tr069可以使用吗？

[@firstsunlight]

都想白嫖电信的网，其实吧我也研究过，就是我的光猫这项被禁止了，就放弃了

[@user-zl7uo8kl3c]

@@firstsunlight 老哥是不是光猫里面带tr069都不能用wg了？ 我只能内网使用wg

[@firstsunlight]

@@user-zl7uo8kl3c 和tr069没关系，目前我只遇到过sfe加速和wg冲突

[@user-zl7uo8kl3c]

老哥啥时候整个汇总的答疑视频吗，小白有很多不懂，两边平台下面评论有讨论但没写具体解决方法

[@libescavasa]

怎么关闭这个功能

[@ddh8063]

通过你的教程，我成功链接了我家里的软路由，但是为什么链接不了其他设备？

[@battlefield18]

十分複雜

[@firstsunlight]

多看几遍😛

[@pegcheng2244]

Zerotier呢

[@firstsunlight]

Zerotier挺好的，我只是给大家另外一个选择

[@redroverm2295]

我还是觉得softether vpn方便

[@firstsunlight]

softether vpn设置的地方会少一些

[@chenwenjun000]

我还是没有成功。有一起讨论的小伙伴吗？

[@Just-rf8db]

这种方法,是不是没有秘钥的设备就无法访问.比如我在外面想用一台他人电脑就需要导入一份秘钥.

[@firstsunlight]

是必须有私钥才能使用，如果在外面使用，建议用自己的手机连接，如果一定用电脑，也可以考虑一下windows to go的方式

[@user-lm1mc9sd8e]

没太听懂两个 公钥私钥

[@firstsunlight]

现代的加密算法特点就是算法公开，安全性完全由密钥保证。公钥和私钥是非对称加密算法的两把钥匙，简单理解就是公钥和私钥之间有关系，但是根据公钥无法推出私钥（数学算法保证的）。在wireguard的每个节点都是对等关系，每个节点的配置文件都要配置自己的私钥和对方节点的公钥，这组密钥我的理解就是认证用的，太细节的东西我说不好，总之配置方法举例来说： A连接B， A的配置文件中填A的私钥和B的公钥， B的配置文件中填B的私钥和A的公钥。

[@user-lm1mc9sd8e]

@@firstsunlight 大致明白了，私钥自己留着公钥给对方，还有个share 那个是啥作用呀不理解他在整个环节的作用，还有要是三个四个wG 互相通讯是不是特别麻烦？

[@izenabizenak3673]

什么叫“那种服务”？境外的世界没有墙，但依然需要翻那个墙回去看被墙了的国内视频，音乐等等。。。

[@YangLan1977]

还是老实用我的OpenVPN吧

[@Sam-6699]

您好，首先感谢你的教程，辛苦了。我在跟着你教程的操作过程中卡在了为01节点创建预共享密钥这一步上，ssh后输入root密码，以root权限执行cd wireguard进入WG目录，然后输入mkdir 01创建01目录，输入cd 01进入目录，此时显示root@OpenWrt:~/wireguard/01#，我现在已经在01目录内了，然后输入genpsk 大于号 sharekey，就显示出了警告信息: writing to world accessible file. Consider setting the umask to 077 and try again 的提示了。请问是不是我在设置默认权限上有问题呢？谢谢你啦。

[@ggboom8127]

你没有设置权限 , 别人都可以访问 ,可以用 但是不安全

[@Sam-6699]

@@ggboom8127 我找到答案了，其实即便是有上面的警告信息，但是仍然可以输入ls执行查找是否已经创建了sharekey了，不用管他就好，下面的操作命令改怎么执行怎么执行即可

[@CJason]

root@OpenWrt:~/wireguard/01# wg genpsk > sharekey Warning: writing to world accessible file. Consider setting the umask to 077 and trying again. 出现这样的情况 怎么解决呀 就是创建sharekey的时候

[@chenwenjun000]

@jiexunkeji 加一下我TG 我有公网IP 。VPN显示已经连接。但是我就是不能访问家里的文件。和电脑