OpenWrt配置WireGuard进行加密通道搭建

本次教程需要用到的设备：电脑一台、红米AX6000路由器一台。

本次教程是前面教程的后续，你的路由器要是没有WireGuard相关的软件，请自行去搜索并安装。

首先我们登录路由器后台，点击左栏的网络-接口，然后点击左下角的添加新接口，名称请输入你喜欢的就行，协议选择WireGuard VPN，然后再点击创建接口

在打开的新的窗口里，点击生成密钥，记住，要将私钥复制到记事本里，后面获取公钥要用，监听端口请你填写你喜欢的，不要和其他一样的端口，后面要用，IP地址要选择和你现在使用的网段是不同的，比如路由器使用的是192.168.6.1/24，你就可以填写192.168.7.1/24，后面我们就用192.168.7.1/24来作为新添加的网段。

然后我们选择防火墙设置，在创建/分配防火墙区域选择lan，

点击对端，点击添加对端

描述里填写你对接入该加密通道里设备的别称，路由器的公钥获取方法在后面，允许的IP是你加入加密通道里的IP地址，可以填写为192.168.7.2/32，然后将路由允许的IP勾选起来，持续Keep-Alive的值填25。

在网页中我们没有获取路由器公钥的渠道，我们需要使用Mobaxterm通过连接路由器的ssh来进行路由器公钥的获取，我们先登录进去，输入如下命令

echo "你的私钥" | wg pubkey

就会在下面生成你需要的路由器公钥了。然后我们去WireGuard的官网下载软件，安装并打开它，点击下图如红框所示的地方，我们会打开新的窗口，里面有WireGuard的公钥和私钥，你将WireGuard的公钥输入进路由器对端里面的公钥即可，点击右下角的保存和关闭，再点击右下角的保存并应用。

然后我们来到创建新隧道信息填写，名称填你喜欢的即可，代码如下

[Interface]
PrivateKey = 路由器的公钥
Address = 192.168.7.2/32
DNS = 192.168.7.1

[Peer]
PublicKey = WireGuard的私钥
AllowedIPs = 192.168.6.0/24, 192.168.7.0/24
Endpoint = 你的域名:你创建的接口里的监听端口
PersistentKeepalive = 25

Address部分是你路由器里创建的对端里给它设置的IP地址，DNS是你创建的接口里的IP地址，AllowedIPs是你让WireGuard代理的网段，可以填写你内网中使用的全部的内网网段，Endpoint里填写你在前面教程里Couldfare注册的域名(必须配好DDNS才可以正常使用)。然后点击右下角的保存，你就创建好了WireGuard的配置文件了，当你配置好后面的教程时，在左栏选中好你配置好的隧道，点击连接，你就可以通过WireGuard在外网访问你家的网络了。

然后就是防火墙的配置，点击网络-防火墙-自定义规则，输入下面的代码，作用是允许你可以通过加密通道访问家里的其它设备。

iptables -t nat -A POSTEROUTING -s 192.168.7.0/24 -o br-lan -j MASQUERADE

最后是最重要的一点，也是很多人会遗忘的一点，你要来到你新创建的接口，停止并重启接口，你的接口才会启用，你可以来到状态-WireGuard，你如果看到你的对端正确添加了，那就说明你的路由器已经配置好WireGuard了。