我正在尝试在服务器上设置两个（或更多）具有相同端口但不同（不重叠） IP 范围的 wireguard 接口。
端口相同的原因是由于连接被转发到 wireguard 服务器上的端口 51820，我们希望避免在 wireguard 服务器之外更改详细信息。
我的想法是将本地地址端口从当前的 0.0.0.0:51820 更改为例如 wg0 的 10.0.0.0/24:51820 和 wg1 的 10.0.1.0/24:51820。这可行吗？还是我这个解决方案选错了方向？
ip address show wg0 给了我正确的 ip 地址：（10.0.0.1/24，wg1 为 10.0.1.1/24），但 ss -tuln 显示本地地址端口为 0.0.0.0:51820。
我还想删除端口 51820 上与 wg0 和 wg1 对应的 IP 范围之外的所有消息。
服务器在 ubuntu 22.04.4 LTS 上运行。
澄清：
问题是我无法添加具有相同监听端口但不同 IP 范围的第二个接口。
例如：wgX.conf 为：
[Interface]
PrivateKey = unique-key-for-each-X
ListenPort = 51820
命令：ip link add dev wg0 type wireguard
ip address add dev wg0 10.40. 0 .1/24
wg setconf wg0.conf
ip link set up dev wg0
这工作正常，但是当我在不同范围但相同的 listenPort 上添加第二个接口时：
ip link add dev wg1 type wireguard
ip address add dev wg1 10.40. 1 .1/24
wg setconf wg1.conf
ip link set up dev wg1
返回错误“无法设置接口 wg1：RTNETLINK 答案：地址已在使用中”
ip address show wg0 返回
wg0：<POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
link/none
inet 10.40.0.1/24
ss -tuln 返回
udp … 0.0.0.0:51820 …
8
最佳答案
2
您不能让两个 wireguard 接口监听同一个端口。
您可以让两个不同的 wireguard 接口监听不同的端口，然后使用 netfilter 规则重定向流量以实现您的目标。
例如：
在服务器上node0，我们有两个 wireguard 接口；wg0监听端口 50010 和wg1监听端口 50011：
interface: wg0
public key: kItlicrv7nquOmPGP6oMNJkl0wwPbOqSBUBpgagJ9EQ=
private key: (hidden)
listening port: 50010
interface: wg1
public key: IydnbKb7fh+kCRdubNY55YOnvIs9Xfo2WJtAARsaYQs=
private key: (hidden)
listening port: 50011
wg0正在使用网络范围10.0.10.0/24：
3: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
link/none
inet 10.0.10.1/24 scope global wg0
valid_lft forever preferred_lft forever
并且wg1正在使用10.0.11.0/24：
4: wg1: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
link/none
inet 10.0.11.1/24 scope global wg1
valid_lft forever preferred_lft forever
为了实现你使用同一端口不同监听ip的目的，我们给服务器分配多个地址：
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 52:54:00:c7:ae:e3 brd ff:ff:ff:ff:ff:ff
altname enp1s0
inet 192.168.124.102/24 brd 192.168.124.255 scope global dynamic noprefixroute eth0
valid_lft 2149sec preferred_lft 2149sec
inet 192.168.124.210/24 scope global secondary eth0
valid_lft forever preferred_lft forever
inet 192.168.124.211/24 scope global secondary eth0
valid_lft forever preferred_lft forever
inet6 fe80::5054:ff:fec7:aee3/64 scope link noprefixroute
valid_lft forever preferred_lft forever
然后添加几个 NAT 规则。连接到 的客户端192.168.124.210:51820将连接到wg0，连接到 的客户端192.168.124.211:51820将连接到wg1：
-A PREROUTING -d 192.168.124.210/32 \
-p udp --dport 51820 \
-j REDIRECT --to-ports 50010
-A PREROUTING -d 192.168.124.211/32 \
-p udp --dport 51820 \
-j REDIRECT --to-ports 50011
在连接到（10.0.10.0/24）的客户端上wg0，我们使用以下配置：
[Interface]
PrivateKey = ...
ListenPort = 51820
[Peer]
PublicKey = kItlicrv7nquOmPGP6oMNJkl0wwPbOqSBUBpgagJ9EQ=
AllowedIps = 10.0.10.0/24
Endpoint = 192.168.124.210:51820
在连接到（10.0.11.0/24）的客户端上wg1，我们使用：
[Interface]
PrivateKey = ...
ListenPort = 51820
[Peer]
PublicKey = IydnbKb7fh+kCRdubNY55YOnvIs9Xfo2WJtAARsaYQs=
AllowedIps = 10.0.11.0/24
Endpoint = 192.168.124.211:51820
就是这样：您有两个与不同网络范围关联的 wireguard 接口。客户端连接到服务器上的同一端口 (51820)，但根据所需的网络使用不同的目标地址。
1
-
谢谢！这正是我所寻找的！我会尽快尝试这个解决方案。
–
|
无论地址范围如何，您都不能重复使用相同的 ListenPort，因为只有在接收并解密外部 UDP 数据包后，内部（封装的） IP 地址才会变为已知 – 并且解密要求首先将外部数据包映射到 WG 对等体（因为每个对等体关联都有一个唯一的密钥），并且这需要已经知道 WG 接口。
（此外，隧道接口为其自身子网之外的网络发送和接收数据包是完全有效的，因此即使知道内部 IP 地址，根据该信息选择传入接口仍然是错误的。）
1
-
感谢您的澄清，现在我明白了为什么我不能直接根据地址范围进行过滤。
–
|
10.0.0.0/24。通常0.0.0.0意味着所有 IP/接口–
–
–
–
–
|