OpenWRT+Wireguard打通异地局域网

稿主自己家的宽带是上海电信 129 融合套餐，psa变压吸附原理网龄升级到 1000m 下行 100m 上行的速度。早年申请了一个公网 IP，配合 DDNS 可以做各种远程操作。

老爸家的宽带是上海电信的一个维系套餐，100m 下行 20m 上行，价格太便宜了不好意思去申请公网 IP。所以本文的目的就是把两个内网通过 wireguard vpn 打通，这样可以远程操作老爸家的设备。

题外话 1：Wireguard 速度是 openvpn 的 3 倍以上。

题外话 2：freshtomato 和 ddwrt 也可以配 Wireguard，但是都没 openwrt 好用。因为 openwrt 可以直接把隧道接口拉到 lan 的防火墙区域里，而那两个都要命令行配置路由表和 iptables 转发。

题外话 3：网上看到的教程都是早年 wireguard 刚集成的时候通过命令行配置的，现在 openwrt 23 的版本可以全部在 luci 里完成配置。

先上一张拓扑图。配置完成后图里的所有设备都可以通过内网 IP 直接互访

自己家的路由器是现在最火的 RAX3000M，下面简称主路由器。上面还挂了一个 500G usb ssd 做 bt 下载用。

老爸家的路由器是小米 R3G，下面简称副路由器。

刷机过程略过，网上教程很多。两个路由器现在都是 openwrt/immortalwrt 23 版本。

首先两个路由器都需要安装 wireguard 支持，在软件包页面更新列表，然后搜索 wireguard，安装它的 luci 组件，光纤周界原理其他需要的东西都会作为依赖自动安装。安装完需要重启路由器

主路由器配置：

首先设置 DDNS，我用的是 freedns。这不是本文重点，所以细节略过。

然后在网络 ->接口里面，点击添加新接口。给它取个名字，协议选 wireguard vpn。

然后编辑这个新接口。在常规设置里点击 " 生成新的密钥对 " 来生成密钥，端口填一个非常规的数字，wireguard 默认是 51820。IP 地址选一个私有网段，我填的是 11.10.0.1/24。

高级设置和 DHCP 服务端都不需要动。在防火墙设置里，把这个接口放进 lan 区域

在对端里面，添加一个新的对端。点击 " 生成新的密钥对 " 和 " 生成预共享密钥 "。

允许的 IP 第一行是副路由器的 wireguard 隧道 IP，第二行是副路由器的内网网段。

路由允许的 IP 要勾上，否则主路由器的内网网段无法访问副路由器的内网网段。

因为副路由器没有公网 IP，端点主机和端点端口都留空，keep-alive 填 25。

主路由器配置已完成，保存。然后再编辑进来，点击生成配置。

这个配置里面默认是全流量走隧道，我们只希望访问主路由器内网的时候走隧道，internet 访问还是走原有的路由。所以把允许的 IP 改成 wireguard 隧道网段和主路由器内网网段。

把 DNS 服务器去掉。地址也只留副路由器的隧道 IP。连接端点选最开始配的 DDNS 地址。

右下角会生成一段配置脚本，拷贝下来，等会儿副路由器配置用。

最后在防火墙的通信规则里，要添加一条，允许 wireguard 连接入站。

副路由器配置：

跟主路由器一样的添加一个 wireguard 接口，然后不需要配置，只需要点击这个加载配置

然后在这个窗口里，把前面拷贝下来的配置贴进去，导入

最后设一下防火墙区域，就 ok 了。

现在在主路由的器的 wireguard 状态里面，应该能看到副路由器过来的连接握手了。

现在两个内网已经完全打通，可以直接互访。在老爸家从主路由器上挂的 ssd 上拷贝东西，跑满了 100m 上行带宽。

老爸家的电视机，在 kodi 里面可以直接播放我自己家的 nas 里的内容

手机设置

我的手机是安卓机，需要翻墙去 play store 下载 wireguard 客户端。

果机的话，我看了一眼我同事的，中国 appstore 里面也没有 wireguard，可能需要特殊手段上外面的 appstore 下载。

首先在主路由器里面再添加一个对端，为它生成新的密钥，分配一个新的 ip 地址。也把配置生成出来。

然后要在防火墙添加一条 nat 规则，所有从 wireguard 隧道访问副路由器内网的请求，都由主路由器做 SNAT 转发。

最后在手机客户端里导入这个配置，注意路由的 IP 段要把两个内网的网段都填上。

好了，现在随时随地都可以访问两个家庭的内网了。