affaan-m/homelab-wireguard-vpn

家庭实验室 WireGuard VPN 配置、远程访问、密钥管理以及端到端加密。

研究分析开发 Agent Agent 技能调研 WireGuard VPN 部署家庭实验室远程接入密钥对生成与分发端到端加密隧道配置防火墙路由转发规则

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Homelab WireGuard VPN

WireGuard is a fast, modern VPN protocol. It is the right choice for remote access to a home network — simpler to configure than OpenVPN and faster than most alternatives.

All configuration examples show common setups. Review each command — especially the iptables forwarding rules and key file permissions — before applying them to your system, and make changes in a maintenance window.

When to Use

Setting up WireGuard server on a Raspberry Pi, Linux host, pfSense, or router
Generating WireGuard keypairs and writing peer config files
Configuring remote access from a phone or laptop to a home network
Explaining split tunneling (route only home traffic) vs full tunnel (route all traffic)
Troubleshooting WireGuard connections that will not come up
Automating peer configuration generation for multiple clients

How WireGuard Works

Your phone (WireGuard client)
    │
    │  Encrypted UDP tunnel (port 51820)
    │
Your home router (WireGuard server — needs a public IP or DDNS)
    │
    Your home network (192.168.1.0/24, NAS, Pi, etc.)

Every device has a keypair (public + private key).
The server knows each client's public key.
The client …

以下为摘要预览，完整内容请查看 GitHub 原文。

Homelab WireGuard VPN

WireGuard 是一种快速、现代的 VPN 协议。它是远程访问家庭网络的正确选择——相比 OpenVPN 更易配置，相比大多数替代方案速度更快。

所有配置示例展示的是常见用法。在将其应用到你的系统之前，请仔细审阅每条命令——尤其是 iptables 转发规则和密钥文件权限——并在维护窗口内进行变更。

适用场景

在 Raspberry Pi、Linux 主机、pfSense 或路由器上搭建 WireGuard 服务端
生成 WireGuard 密钥对并编写对端配置文件
配置从手机或笔记本电脑到家庭网络的远程访问
解释分流（split tunneling，仅路由家庭流量）与全局隧道（full tunnel，路由所有流量）的区别
排查无法建立的 WireGuard 连接
自动化为多个客户端生成对端配置

WireGuard 工作原理

你的手机（WireGuard 客户端）
    │
    │  加密的 UDP 隧道（端口 51820）
    │
你的家用路由器（WireGuard 服务端——需要公网 IP 或 DDNS）
    │
    你的家庭网络（192.168.1.0/24、NAS、Pi 等）

每个设备都拥有一对密钥（公钥 + 私钥）。
服务端知晓每个客户端的公钥。
客户端知晓服务端的公钥和端点（IP:端口）。
流量端到端加密，无需中央服务器或证书颁发机构。

服务端配置（Linux）

# 安装 WireGuard
sudo apt update && sudo apt install wireguard -y

# 生成服务端密钥对——从一开始就以私有权限创建文件
sudo mkdir -p /etc/wireguard
sudo sh -c 'umask 077; wg genkey > /etc/wireguard/server_private.key'
sudo sh -c 'wg pubkey < /etc/wireguard/server_private.key > /etc/wireguard/server_public.key'

# 编写服务端配置——替换为实际的私钥值
# 不要将私钥存入版本控制系统，也不要泄露
sudo tee /etc/wireguard/wg0.conf << 'EOF'
[Interface]
Address = 10.8.0.1/24              # VPN 子网——服务端使用 .1
ListenPort = 51820
PrivateKey = <在此粘贴服务端私钥>

# 受限的转发规则：仅允许 VPN 流量进出，不要一刀切放行 FORWARD
…

重要提示：源文件不在本站托管，请通过 GitHub 查看与下载。

索引更新于 8/25/2026, 9:18:05 PMGitHub ↗

SKILL.md10.2 KB在 GitHub 查看 ↗