🧩 关于 Vultr 界面和 Ubuntu 22.04 的说明

🔍 为什么 “Operating System” 里没直接看到 Ubuntu 22.04？

• Vultr 通常会在基础操作系统列表里优先展示最新的 LTS 版本（比如现在的 Ubuntu 24.04），而旧版（如 22.04）可能需要在搜索或更多选项里找到，或者通过 Marketplace Apps 间接提供。
• 另外，Ubuntu 22.04 虽然还在支持周期内，但 Vultr 为了引导用户使用更安全、更新的版本，会把它从默认列表里后置。

🛒 Marketplace Apps 是什么？

• 核心特点：一键部署，省去了手动安装和配置的麻烦，比如你选 “OpenVPN Access Server”，它会直接给你一个已经装好 OpenVPN 的 Ubuntu 22.04 系统。
• 费用：这些 App 本身是免费的，你只需要为底层的 VPS 服务器资源付费，没有额外的软件授权费。
• 特化处理：每个 App 都做了针对性优化，比如预装依赖、配置防火墙、初始化服务等，让你部署后就能直接用。

🔒 安全性问题

• 官方审核：Vultr 会对 Marketplace 里的 App 进行基本审核，但本质上是第三方或 Vultr 官方打包的镜像，所以不能 100% 保证没有漏洞。
• 风险提示：Vultr 在条款里明确说明，他们不对第三方 App 的安全性负责。建议你部署后：
  1. 立即更新系统和软件包（sudo apt update && sudo apt upgrade）。
  2. 检查防火墙规则，确保只开放必要端口。
  3. 对于重要应用，优先选择 Vultr 官方维护的镜像，而非第三方上传的。

📌 如果你只想装纯 Ubuntu 22.04

• 可以在 “Operating System” 标签页里用搜索功能，输入 “Ubuntu 22.04” 试试看。
• 如果还是找不到，也可以先部署一个 Ubuntu 24.04，然后手动降级或更换软件源到 22.04 的仓库。

🛠️ 关于 SSH Key 和 Vultr 计费的说明

🔑 SSH Key 是什么 & 怎么创建

• 创建步骤：
  1. 在你的 Ubuntu 22.04 终端里，输入 ssh-keygen -t ed25519（推荐用更安全的 Ed25519 算法）。
  2. 一路回车，默认会在 ~/.ssh/ 目录下生成 id_ed25519（私钥，本地保存）和 id_ed25519.pub（公钥，上传用）。
  3. 打开 id_ed25519.pub 文件，复制里面的内容。
  4. 回到 Vultr 面板，在“Account”→“SSH Keys”里粘贴公钥并保存，之后部署服务器时就能选择它了。
• 为什么现在不让你创建：因为你正处在部署服务器的流程里，Vultr 要求你提前在账户设置里上传好 SSH Key，才能在这一步选择。

💰 Vultr 计费 & 10 美元预付费的说明

• 10 美元不是押金：这是预充值到你账户的资金，用来按小时抵扣服务器费用。
• 计费方式：Vultr 是按小时实时计费的，你创建的服务器每运行一小时，就从这 10 美元里扣对应金额。比如你选的是 $5/月的套餐，折算下来每小时约 $0.007，扣完为止。
• “免费版”的误解：你看到的“免费”很可能是指“无技术支持的基础服务”，或者是新用户注册时的 $10 赠金活动。Vultr 的所有云服务器资源都是收费的，没有永久免费的实例。
• 阿里云支付：Vultr 本身不直接支持支付宝，但你是通过阿里云国际站的 Marketplace 购买的，所以走的是阿里云的支付渠道，那笔 10 美元的费用会由阿里云代 Vultr 收取。

🔒 关于安全配置和 WireGuard 的建议

🛡️ 1. 如何安全地从 root 切换到普通用户 + sudo

1. 先用 root 登录服务器（因为目前只有 root 有 SSH 访问权限）。
2. 创建新用户（比如叫 nick）：
   bash

   运行

   adduser nick
   
3. 给新用户授予 sudo 权限：
   bash

   运行

   usermod -aG sudo nick
   
4. 复制 root 的 SSH Key 到新用户家目录（这样你就能用同一个 Key 登录）：
   bash

   运行

   rsync --archive --chown=nick:nick ~/.ssh /home/nick
   
5. 验证新用户登录：
   退出当前 root 会话，在本地终端用新用户重新连接：
   bash

   运行

   ssh nick@你的服务器IP
   
   登录成功后，尝试执行一个需要 sudo 的命令，比如：
   bash

   运行

   sudo apt update
   
   如果能正常执行，说明配置完成。
6. （可选但推荐）禁用 root 的 SSH 登录：
   修改 SSH 配置文件 /etc/ssh/sshd_config，找到：
   plaintext

   PermitRootLogin yes
   
   改成：
   plaintext

   PermitRootLogin no
   
   然后重启 SSH 服务：
   bash

   运行

   sudo systemctl restart sshd
   

• 你的 SSH Key 只需要在服务器上的 ~/.ssh/authorized_keys 文件里存在，就能被对应的用户使用。
• 上面的第 4 步就是把 root 的公钥复制给新用户，所以你不需要生成新的 Key。

🛠️ 2. WireGuard 的权限与安全配置

• 服务端：WireGuard 作为系统服务运行，本身就需要 root 权限来创建虚拟网卡和处理网络流量。你用 root 或 sudo wg-quick up/down 来启动/停止它，效果是一样的。
• 客户端：你的本地电脑上，WireGuard 客户端在 Windows/macOS 上通常是以普通用户权限运行的图形界面程序，在 Linux 上也只需要用 sudo 来启动，和你日常用什么用户登录没有关系。

1. 遵循最小权限原则：
   • 服务端的 WireGuard 配置文件（/etc/wireguard/wg0.conf）权限设为 600，只允许 root 读写：
     bash

     运行

     sudo chmod 600 /etc/wireguard/wg0.conf
     
   • 不要用 root 账号长期登录服务器，只用它来做初始配置和紧急维护。
2. 配置强防火墙规则：
   在 wg0.conf 的 [Interface] 部分添加 PostUp 和 PostDown 脚本，只允许 WireGuard 客户端之间的必要通信。
3. 定期更新系统和 WireGuard：
   bash

   运行

   sudo apt update && sudo apt upgrade wireguard
   

🖧 服务器网络设备的识别与说明

📝 各网络接口的具体说明

补充说明：

• Vultr 会给服务器分配多个内网网卡（en8s0/en9s0），用于机房内部的网络通信，默认不影响你的使用，也无需修改。
• 你执行 wg-quick down wg0.conf 后，wg0 虚拟网卡被删除，所以 ifconfig 里看不到它了，这是正常的。

🔑 关于 WireGuard 与用户权限的补充

1. 操作 WireGuard 必须用 root/sudo：
   不管是 wg-quick up/down 还是修改 /etc/wireguard/wg0.conf，都需要 root 权限（普通用户加 sudo 即可），这和你本地电脑的用户权限无关。
2. 客户端访问无需 root 对齐：
   你本地电脑（Windows/macOS/Linux）用普通用户运行 WireGuard 客户端即可，不需要用 root，和服务器端的权限体系是分开的，不会有“权限不对称”的问题。

总结

1. 你服务器上的 enp1s0/en8s0/en9s0 都是 Vultr 原生网卡，和 WireGuard 无关，无需处理；
2. WireGuard 仅会创建 wg 开头的虚拟网卡，操作它必须用 sudo（推荐用普通用户+sudo，而非直接 root 登录）；
3. 本地客户端无需 root 权限，和服务器端权限体系独立，不用刻意“对称”。

🛠️ 配置 WireGuard 客户端使用服务器端 DNS（10.0.0.1）

1. 修改 WireGuard 客户端配置文件

[Interface]
PrivateKey = 你的客户端私钥
Address = 10.0.0.2/32  # 你的客户端在 VPN 里的 IP
DNS = 10.0.0.1         # 核心配置：指定 DNS 服务器为 WireGuard 服务器的 VPN IP

[Peer]
PublicKey = 服务器的公钥
Endpoint = 你的服务器公网IP:51820
AllowedIPs = 0.0.0.0/0  # 所有流量走 VPN（如果只需要 DNS 走 VPN，可调整）

2. 重启 WireGuard 客户端使配置生效

sudo wg-quick down wg0
sudo wg-quick up wg0

3. 验证 DNS 是否生效

Global
         Protocols: -LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
  resolv.conf mode: foreign
Current DNS Server: 10.0.0.1
       DNS Servers: 10.0.0.1

🔍 关键原理

• WireGuard 的 DNS 指令会自动通过 systemd-resolved 修改系统的 DNS 配置，让全局默认 DNS 指向 10.0.0.1。
• 如果你的 AllowedIPs 设为 0.0.0.0/0，所有流量（包括 DNS 查询）都会走 VPN，resolvectl 就会显示 10.0.0.1 为当前 DNS。
• 如果你只希望 DNS 查询走 VPN，而其他流量不走，可以把 AllowedIPs 改为：
  ini

  AllowedIPs = 10.0.0.0/24, 0.0.0.0/0, ::/0
  
  这样既能保证 DNS 解析通过 VPN，又能灵活控制其他流量。

🛠️ 手动用 resolvectl 配置 DNS 服务器（10.0.0.1）

1. 核心操作：手动配置全局 DNS

# 第一步：设置全局 DNS 服务器为 10.0.0.1（WireGuard 服务器 IP）
sudo resolvectl dns global 10.0.0.1

# 第二步（可选）：关闭其他可能干扰的 DNS 协议（如 LLMNR/mDNS）
sudo resolvectl config global --set llmnr=no --set mdns=no

# 第三步：验证配置是否生效
resolvectl

Global
         Protocols: -LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
  resolv.conf mode: foreign
Current DNS Server: 10.0.0.1  # 核心目标：这里显示 10.0.0.1
       DNS Servers: 10.0.0.1

2. 针对 WireGuard 接口（wg0）单独配置 DNS

# 第一步：先启动 WireGuard（确保 wg0 接口存在）
sudo wg-quick up wg0

# 第二步：只为 wg0 接口设置 DNS 服务器
sudo resolvectl dns wg0 10.0.0.1

# 第三步：将 wg0 设为默认 DNS 路由（优先使用该接口的 DNS）
sudo resolvectl domain wg0 "~."

# 第四步：验证
resolvectl status wg0

Link 766 (wg0)
    Current Scopes: DNS
         Protocols: +DefaultRoute +LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
Current DNS Server: 10.0.0.1
       DNS Servers: 10.0.0.1
        DNS Domain: ~.

3. 恢复默认配置（如需回滚）

# 清除全局 DNS
sudo resolvectl dns global ""

# 清除 wg0 接口的 DNS
sudo resolvectl dns wg0 ""
sudo resolvectl domain wg0 ""

# 重启 systemd-resolved 服务
sudo systemctl restart systemd-resolved

🔍 关键说明

• resolvectl dns <接口> <DNS地址>：为指定接口（global 表示全局）设置 DNS 服务器；
• resolvectl domain wg0 "~."：表示所有域名都优先通过 wg0 接口的 DNS 解析（核心指令）；
• 手动配置的 DNS 会在系统重启后失效，如果需要永久生效，建议还是在 WireGuard 客户端配置文件中加 DNS = 10.0.0.1，或修改 /etc/systemd/resolved.conf：
  ini

  # 编辑 resolved.conf
  sudo nano /etc/systemd/resolved.conf
  
  # 添加以下内容
  [Resolve]
  DNS=10.0.0.1
  FallbackDNS=
  LLMNR=no
  mDNS=no
  
  # 重启服务生效
  sudo systemctl restart systemd-resolved
  

总结

1. 手动配置全局 DNS：sudo resolvectl dns global 10.0.0.1（最快看到效果）；
2. 仅为 VPN 接口配置 DNS：先启动 wg0，再执行 resolvectl dns wg0 10.0.0.1 + resolvectl domain wg0 "~."；
3. 永久生效：要么写进 WireGuard 配置文件，要么修改 /etc/systemd/resolved.conf。

🚨 修正 resolvectl 配置命令（解决 "No such device" 错误）

1. 先明确核心：正确的 resolvectl 语法

场景 1：只想让 WireGuard (wg0) 接口用 10.0.0.1 做 DNS（推荐）

# 第一步：先启动 WireGuard（确保 wg0 接口存在）
sudo wg-quick up wg0

# 第二步：给 wg0 接口设置 DNS 服务器为 10.0.0.1（关键修正）
sudo resolvectl dns wg0 10.0.0.1

# 第三步：设置所有域名都优先通过 wg0 接口解析（核心）
sudo resolvectl domain wg0 "~."

# 第四步：验证配置结果
resolvectl status wg0

场景 2：让整个系统（所有接口）优先用 10.0.0.1 做 DNS

# 先查看你的主网络接口名称（找 "Current Scopes: DNS" 的那个）
resolvectl status

# 假设你的主接口是 enp0s31f6，执行以下命令
sudo resolvectl dns enp0s31f6 10.0.0.1
sudo resolvectl domain enp0s31f6 "~."

# 验证
resolvectl status enp0s31f6

2. 验证最终效果

resolvectl

Global
         Protocols: -LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
  resolv.conf mode: foreign

Link 2 (enp0s31f6)
    Current Scopes: DNS
         Protocols: +DefaultRoute +LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
Current DNS Server: 10.0.0.1  # 已生效
       DNS Servers: 10.0.0.1

Link 766 (wg0)
    Current Scopes: DNS
         Protocols: +DefaultRoute +LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
Current DNS Server: 10.0.0.1  # 已生效
       DNS Servers: 10.0.0.1
        DNS Domain: ~.

3. 补充：永久生效的配置（避免重启后失效）

# 编辑你的 WireGuard 客户端配置
sudo nano /etc/wireguard/wg0.conf

[Interface]
PrivateKey = 你的客户端私钥
Address = 10.0.0.2/32  # 你的客户端 VPN IP
DNS = 10.0.0.1          # 自动设置 DNS
Domains = ~.            # 所有域名都走这个 DNS 解析

sudo wg-quick down wg0 && sudo wg-quick up wg0

总结

1. 错误原因：resolvectl dns 不支持 global 作为接口名，必须指定真实接口（如 wg0/enp0s31f6）；
2. 推荐命令：先启动 wg0，再执行 sudo resolvectl dns wg0 10.0.0.1 + sudo resolvectl domain wg0 "~."；
3. 永久生效：在 WireGuard 客户端配置文件中添加 DNS = 10.0.0.1 和 Domains = ~.。

🎯 彻底解决：让 WireGuard (wg0) 成为全局默认 DNS（优先解析）

第一步：先启动 WireGuard 并确认 wg0 接口存在

# 启动 wg0 接口（确保配置文件正确）
sudo wg-quick up wg0

# 验证 wg0 是否创建成功
ip link show wg0  # 输出有 "wg0: <POINTOPOINT,UP,LOWER_UP>" 即为成功

第二步：强制设置 wg0 为全局默认 DNS（核心操作）

# 1. 清空主接口 enp0s31f6 的 DNS（避免干扰）
sudo resolvectl dns enp0s31f6 ""

# 2. 给 wg0 接口设置 DNS 服务器为 10.0.0.1
sudo resolvectl dns wg0 10.0.0.1

# 3. 关键：将 wg0 标记为 "默认路由接口"（+DefaultRoute）
sudo resolvectl set-property wg0 'DNS Default Route' yes

# 4. 强制所有域名（~.）都通过 wg0 解析
sudo resolvectl domain wg0 "~."

# 5. 重启 systemd-resolved 让配置生效
sudo systemctl restart systemd-resolved

第三步：验证配置是否生效

# 查看全局 DNS 状态（重点看 Global 和 wg0 部分）
resolvectl status

# 测试 DNS 解析（验证是否走 10.0.0.1）
resolvectl query www.baidu.com

Global
       Protocols: -LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
resolv.conf mode: foreign
Current DNS Server: 10.0.0.1  # 全局默认 DNS 已改为 10.0.0.1
       DNS Servers: 10.0.0.1

Link 2 (enp0s31f6)
    Current Scopes: none  # 主接口已无 DNS 优先级
         Protocols: -DefaultRoute +LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported

Link XXX (wg0)
    Current Scopes: DNS
         Protocols: +DefaultRoute +LLMNR -mDNS DNSOverTLS=opportunistic DNSSEC=no/unsupported
Current DNS Server: 10.0.0.1
       DNS Servers: 10.0.0.1
        DNS Domain: ~.

第四步：永久生效（避免重启/重连 VPN 失效）

sudo nano /etc/wireguard/wg0.conf

[Interface]
PrivateKey = 你的客户端私钥
Address = 10.0.0.2/32  # 你的客户端 VPN IP（和服务器端匹配）
DNS = 10.0.0.1          # WireGuard 服务器 DNS 地址
Domains = ~.            # 所有域名都走该 DNS 解析
PostUp = resolvectl set-property %i 'DNS Default Route' yes  # 启动时设为默认 DNS
PostDown = resolvectl set-property %i 'DNS Default Route' no; resolvectl dns %i ""  # 关闭时恢复

[Peer]
PublicKey = 服务器的公钥
Endpoint = 你的服务器公网IP:51820  # 如 96.30.204.97:51820
AllowedIPs = 0.0.0.0/0, ::/0       # 所有流量走 VPN（确保 DNS 也走 VPN）
PersistentKeepalive = 25

# 重启 VPN 验证永久配置
sudo wg-quick down wg0 && sudo wg-quick up wg0

关键补充：为什么之前的配置不生效？

1. enp0s31f6 有 +DefaultRoute 标记，是系统默认 DNS 接口；
2. wg0 默认没有 +DefaultRoute，即使设置了 DNS 也不会优先；
3. resolvectl set-property wg0 'DNS Default Route' yes 是核心——给 wg0 加上默认路由标记，优先级超过 enp0s31f6。

回滚方案（如需恢复原配置）

# 关闭 wg0
sudo wg-quick down wg0

# 恢复 enp0s31f6 的 DNS（以你的原 DNS 为例）
sudo resolvectl dns enp0s31f6 218.85.157.99
sudo resolvectl set-property enp0s31f6 'DNS Default Route' yes

# 重启服务
sudo systemctl restart systemd-resolved

总结

1. 核心问题：wg0 缺少 DNS Default Route 标记，优先级低于主接口；
2. 临时生效：启动 wg0 后执行 resolvectl set-property wg0 'DNS Default Route' yes + resolvectl domain wg0 "~."；
3. 永久生效：在 wg0.conf 中添加 PostUp/PostDown 指令，自动配置默认 DNS 优先级。

🚦 核心解决：调整路由表优先级，让 wg0 成为默认路由（最高优先级）

核心原理

1. 删除原有默认路由（enp0s31f6 的 192.168.1.1）；
2. 添加 wg0 作为默认路由，且设置更小的 metric（比如 50）；
3. 保留 192.168.1.0/24 本地网段路由（避免内网访问失效）。

方案 1：手动临时调整路由（立即生效，重启失效）

# 第一步：先启动 wg0（确保接口存在）
sudo wg-quick up wg0

# 第二步：删除原有默认路由（enp0s31f6 的 192.168.1.1）
sudo ip route del default via 192.168.1.1 dev enp0s31f6

# 第三步：添加 wg0 作为默认路由，metric=50（优先级高于 100）
sudo ip route add default via 10.0.0.1 dev wg0 metric 50

# 第四步：验证路由表（关键看 default 行的 dev 是 wg0，metric=50）
ip route

default via 10.0.0.1 dev wg0 metric 50  # 最高优先级
10.0.0.0/24 dev wg0 proto kernel scope link src 10.0.0.2 
192.168.1.0/24 dev enp0s31f6 proto kernel scope link src 192.168.1.8 metric 100 
169.254.0.0/16 dev virbr0 scope link metric 1000 linkdown 
192.168.122.0/24 dev virbr0 proto kernel scope link src 192.168.122.1 linkdown 

方案 2：永久写入 WireGuard 配置（重启/重连 VPN 自动生效）

# 编辑 WireGuard 客户端配置
sudo nano /etc/wireguard/wg0.conf

[Interface]
PrivateKey = 你的客户端私钥
Address = 10.0.0.2/32  # 客户端 VPN IP
DNS = 10.0.0.1          # WireGuard 服务器 DNS
Domains = ~.            # 所有域名走 wg0 解析

# 启动时调整路由（核心）
PostUp = ip route del default via 192.168.1.1 dev enp0s31f6; ip route add default via 10.0.0.1 dev %i metric 50
# 关闭时恢复原有默认路由
PostDown = ip route del default via 10.0.0.1 dev %i; ip route add default via 192.168.1.1 dev enp0s31f6 metric 100

[Peer]
PublicKey = 服务器公钥
Endpoint = 你的服务器公网IP:51820  # 如 96.30.204.97:51820
AllowedIPs = 0.0.0.0/0, ::/0       # 所有流量走 VPN
PersistentKeepalive = 25

sudo wg-quick down wg0 && sudo wg-quick up wg0
ip route  # 确认 default 路由是 wg0

关键补充：避免本地网段访问失效

# 手动添加（临时）
sudo ip route add 192.168.1.0/24 dev enp0s31f6 metric 90

# 或写入 PostUp（永久）
PostUp = ip route del default via 192.168.1.1 dev enp0s31f6; ip route add default via 10.0.0.1 dev %i metric 50; ip route add 192.168.1.0/24 dev enp0s31f6 metric 90

验证路由生效

# 1. 查看路由表（确认 default 是 wg0）
ip route

# 2. 测试 DNS 查询是否走 wg0（看服务器 IP 是 10.0.0.1）
resolvectl query www.baidu.com

# 3. 测试外网访问（看出口 IP 是 WireGuard 服务器的公网 IP）
curl ifconfig.me

总结

1. 核心操作：删除原有默认路由，添加 wg0 作为默认路由并设置 metric=50（比 100 小，优先级更高）；
2. 临时生效：ip route del default ... + ip route add default via 10.0.0.1 dev wg0 metric 50；
3. 永久生效：把路由指令写入 wg0.conf 的 PostUp/PostDown，启动 VPN 自动调整。

🚀 正确方案：保留系统默认路由，通过「路由前缀优先级」让 wg0 流量优先

核心原理

• 0.0.0.0/0（default）是最短前缀（0 位匹配），优先级最低；
• 0.0.0.0/1 和 128.0.0.0/1 是更长的前缀（1 位匹配），会优先于 0.0.0.0/0 匹配，且这两个网段合起来覆盖了整个 IPv4 地址空间（0.0.0.0-255.255.255.255）；
• 这样既保留了系统默认 default 路由，又让所有外网流量优先走 wg0。

方案 1：手动临时配置（立即生效，重启失效）

# 第一步：确保 wg0 已启动
sudo wg-quick up wg0

# 第二步：添加两个长前缀路由，让 wg0 优先（核心命令）
sudo ip route add 0.0.0.0/1 via 10.0.0.1 dev wg0
sudo ip route add 128.0.0.0/1 via 10.0.0.1 dev wg0

# 第三步：验证路由表（会看到 0.0.0.0/1 和 128.0.0.0/1 排在 default 前面）
ip route

0.0.0.0/1 via 10.0.0.1 dev wg0          # wg0 优先路由（第一位）
default via 192.168.1.1 dev enp0s31f6 proto dhcp metric 100  # 保留系统默认路由
10.0.0.0/24 dev wg0 proto kernel scope link src 10.0.0.2 
169.254.0.0/16 dev virbr0 scope link metric 1000 linkdown 
192.168.1.0/24 dev enp0s31f6 proto kernel scope link src 192.168.1.8 metric 100 
192.168.122.0/24 dev virbr0 proto kernel scope link src 192.168.122.1 linkdown 

方案 2：永久写入 WireGuard 配置（重启/重连自动生效）

# 编辑 WireGuard 客户端配置
sudo nano /etc/wireguard/wg0.conf

[Interface]
PrivateKey = 你的客户端私钥
Address = 10.0.0.2/32
DNS = 10.0.0.1
Domains = ~.

# 启动时添加优先路由（核心）
PostUp = ip route add 0.0.0.0/1 via 10.0.0.1 dev %i; ip route add 128.0.0.0/1 via 10.0.0.1 dev %i
# 关闭时删除这些路由（恢复原状）
PostDown = ip route del 0.0.0.0/1 via 10.0.0.1 dev %i; ip route del 128.0.0.0/1 via 10.0.0.1 dev %i

[Peer]
PublicKey = 服务器公钥
Endpoint = 你的服务器公网IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

sudo wg-quick down wg0 && sudo wg-quick up wg0
ip route  # 确认 0.0.0.0/1 和 128.0.0.0/1 已添加且排在前面

补充：验证路由优先级是否生效

# 测试外网访问（出口 IP 会是 WireGuard 服务器的公网 IP）
curl ifconfig.me

# 测试本地内网访问（依然走 enp0s31f6，不影响）
ping 192.168.1.1

总结

1. 核心思路：不修改系统默认 default 路由，而是添加 0.0.0.0/1 和 128.0.0.0/1 两个长前缀路由，利用「最长前缀匹配」让 wg0 流量优先；
2. 临时生效：sudo ip route add 0.0.0.0/1 via 10.0.0.1 dev wg0 && sudo ip route add 128.0.0.0/1 via 10.0.0.1 dev wg0；
3. 永久生效：把上述命令写入 wg0.conf 的 PostUp/PostDown，启动 VPN 自动配置。

🚨 核心排查：WireGuard 能握手但 ping 不通 10.0.0.1 的原因 & 解决方法

第一步：先明确核心排查方向（按优先级排序）

• ✅ 客户端 ↔ 服务器：握手成功（endpoint 96.30.204.97:65432 通信正常）；
• ❌ 客户端 ping 10.0.0.1：100% 丢包（内网路由/防火墙阻断）。

排查 1：服务器端 10.0.0.1 地址是否正确配置

# 登录你的 Vultr 服务器（96.30.204.97），执行：
sudo wg show wg0  # 查看服务器端 wg0 配置
ip addr show wg0  # 查看 wg0 接口的 IP 地址

3: wg0: <POINTOPOINT,UP,LOWER_UP> mtu 1420 qdisc noqueue state UP group default qlen 1000
    inet 10.0.0.1/24 scope global wg0
       valid_lft forever preferred_lft forever

排查 2：服务器端是否开启 IP 转发（核心）

# 登录服务器执行，检查 IP 转发是否开启：
sysctl net.ipv4.ip_forward

sudo sysctl -w net.ipv4.ip_forward=1
# 永久开启（重启不失效）：
sudo echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sudo sysctl -p

排查 3：服务器端防火墙/iptables 阻断了 ICMP（ping）或 wg0 流量

# 登录服务器，检查 iptables 规则（重点看 wg0 相关）：
sudo iptables -L -n -v  # 查看过滤规则
sudo iptables -t nat -L -n -v  # 查看 NAT 规则

修复：服务器端添加必要的 iptables 规则（复制粘贴执行）

# 允许 wg0 接口的入站/出站流量
sudo iptables -A INPUT -i wg0 -j ACCEPT
sudo iptables -A OUTPUT -o wg0 -j ACCEPT

# 允许 wg0 转发流量
sudo iptables -A FORWARD -i wg0 -j ACCEPT
sudo iptables -A FORWARD -o wg0 -j ACCEPT

# 允许 ICMP（ping）流量（关键：让客户端能 ping 通 10.0.0.1）
sudo iptables -A INPUT -i wg0 -p icmp --icmp-type echo-request -j ACCEPT
sudo iptables -A OUTPUT -o wg0 -p icmp --icmp-type echo-reply -j ACCEPT

# 配置 NAT 转发（让 VPN 客户端能访问外网）
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

注：如果服务器用 ufw 防火墙，需额外允许 wg0：

bash

运行

sudo ufw allow in on wg0
sudo ufw allow out on wg0
sudo ufw reload

排查 4：客户端 WireGuard 配置的 AllowedIPs 是否覆盖 10.0.0.1

# 本地客户端执行：
cat /etc/wireguard/wg0.conf | grep AllowedIPs

排查 5：客户端路由表是否包含 10.0.0.0/24 指向 wg0

# 本地客户端执行：
ip route | grep 10.0.0.0

sudo ip route add 10.0.0.0/24 dev wg0

第二步：一站式修复（客户端+服务器）

1. 服务器端（Vultr 96.30.204.97）修复

# 1. 停止 wg0
sudo wg-quick down wg0

# 2. 确保服务器端 wg0.conf 正确（关键：Address 是 10.0.0.1/24）
sudo cat /etc/wireguard/wg0.conf
# 确认 [Interface] 部分有：
# Address = 10.0.0.1/24
# ListenPort = 65432
# PrivateKey = 服务器私钥

# 3. 重启 wg0
sudo wg-quick up wg0

# 4. 开启 IP 转发 + 配置防火墙
sudo sysctl -w net.ipv4.ip_forward=1
sudo iptables -F
sudo iptables -t nat -F
sudo iptables -A INPUT -i wg0 -j ACCEPT
sudo iptables -A OUTPUT -o wg0 -j ACCEPT
sudo iptables -A FORWARD -i wg0 -j ACCEPT
sudo iptables -A FORWARD -o wg0 -j ACCEPT
sudo iptables -A INPUT -i wg0 -p icmp --icmp-type echo-request -j ACCEPT
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

2. 客户端修复

# 1. 停止 wg0
sudo wg-quick down wg0

# 2. 重启 wg0
sudo wg-quick up wg0

# 3. 手动添加 10.0.0.0/24 路由
sudo ip route add 10.0.0.0/24 dev wg0

# 4. 测试 ping
ping 10.0.0.1

总结

1. 核心原因：90% 是服务器端未开启 IP 转发，或防火墙阻断了 wg0 的 ICMP/转发流量；
2. 关键验证：服务器端 wg0 必须有 10.0.0.1/24 地址，且 net.ipv4.ip_forward=1；
3. 修复步骤：先开 IP 转发 → 配置 iptables 允许 wg0 流量和 ICMP → 确认客户端路由包含 10.0.0.0/24。

🚨 最终定位：WireGuard 不通的核心原因 & 一键修复

问题 1：服务器端 INPUT 链防火墙阻断了 wg0 的 ICMP（ping）流量

• INPUT 链默认策略是 DROP（拒绝所有入站流量）；
• 虽然 FORWARD 链允许 wg0 转发，但 INPUT 链没有明确允许 wg0 接口的入站 ICMP 流量（ping 请求）；
• 客户端的 ping 包能到服务器，但服务器的 ping 响应被防火墙拦截，导致 100% 丢包。

问题 2：服务器端 wg0 接口有大量 RX 错误（RX errors 267）

wg0: RX packets 228  bytes 22276 (22.2 KB)
     RX errors 267  dropped 0  overruns 0  frame 267

一键修复（服务器端执行）

# 1. 临时关闭 UFW 防火墙（先验证通信，后续再精细化配置）
sudo ufw disable

# 2. 清空现有 iptables 规则（避免冲突）
sudo iptables -F
sudo iptables -t nat -F
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT

# 3. 配置核心规则（允许 wg0 所有流量 + ICMP + NAT 转发）
sudo iptables -A INPUT -i wg0 -j ACCEPT
sudo iptables -A OUTPUT -o wg0 -j ACCEPT
sudo iptables -A FORWARD -i wg0 -j ACCEPT
sudo iptables -A FORWARD -o wg0 -j ACCEPT
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
sudo iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 4. 修复 wg0 MTU 问题（解决 RX 错误）
sudo ip link set wg0 mtu 1400
sudo wg-quick down wg0 && sudo wg-quick up wg0

# 5. 验证配置
sudo wg show wg0
ip addr show wg0

客户端验证（本地执行）

# 1. 重启客户端 wg0
sudo wg-quick down wg0 && sudo wg-quick up wg0

# 2. 测试 ping 服务器 10.0.0.1
ping 10.0.0.1

# 3. 测试外网访问（验证 NAT 转发）
curl ifconfig.me  # 应返回服务器公网 IP 96.30.204.97

后续精细化配置（可选，恢复防火墙安全）

# 1. 重新开启 UFW
sudo ufw enable

# 2. 允许必要流量（SSH + WireGuard + ICMP）
sudo ufw allow 22/tcp
sudo ufw allow 65432/udp  # WireGuard 监听端口
sudo ufw allow in on wg0
sudo ufw allow out on wg0
sudo ufw allow icmp

# 3. 重启 UFW 生效
sudo ufw reload

总结

1. 核心问题：服务器端 UFW 防火墙默认拒绝入站流量，且未允许 wg0 的 ICMP 流量，同时 wg0 接口 MTU 不匹配导致数据包解析错误；
2. 修复关键：先临时关闭 UFW 验证通信，配置 iptables 允许 wg0 所有流量 + ICMP，调整 wg0 MTU 解决 RX 错误；
3. 验证标准：客户端能 ping 通 10.0.0.1，且 curl ifconfig.me 返回服务器公网 IP。

🎉 服务器端修复完成！现在验证客户端通信

客户端验证步骤（本地执行）

# 1. 先重启客户端的 wg0（确保配置生效）
sudo wg-quick down wg0 && sudo wg-quick up wg0

# 2. 测试 ping 服务器 10.0.0.1（核心验证）
ping 10.0.0.1

PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=XX.X ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=XX.X ms

补充验证（可选）：

# 3. 查看客户端 wg 连接状态（确认 handshake 是最新的）
sudo wg show

# 4. 测试外网访问（验证 NAT 转发是否生效，应返回服务器公网 IP 96.30.204.97）
curl ifconfig.me

若仍不通？最后 2 个排查点（客户端侧）

1. 客户端 wg0 路由是否正确：
   bash

   运行

   ip route | grep 10.0.0.0
   # 预期输出：10.0.0.0/24 dev wg0 proto kernel scope link src 10.0.0.2
   # 若无则手动添加：sudo ip route add 10.0.0.0/24 dev wg0
   
2. 客户端防火墙是否阻断 wg0：
   bash

   运行

   sudo ufw disable  # 临时关闭客户端防火墙，验证通信
   

总结

1. 服务器端已完成关键修复：关闭 UFW 阻断、配置 iptables 允许 wg0/ICMP 流量、修复 MTU 错误；
2. 客户端只需重启 wg0，即可验证 ping 10.0.0.1；
3. 通信正常后，可按需在服务器端重新开启 UFW 并精细化配置（允许 22/tcp、65432/udp、wg0 流量）。

🚨 核心修复：客户端能 ping 通 10.0.0.1 但无法访问外网（8.8.8.8）

第一步：先确认服务器端 NAT 转发是否真的生效

# 1. 检查 POSTROUTING 链是否有 MASQUERADE 规则
sudo iptables -t nat -L POSTROUTING -n -v

# ✅ 预期输出（必须有这一行）：
# pkts bytes target     prot opt in     out     source               destination         
#    0     0 MASQUERADE  all  --  *      eth0    0.0.0.0/0            0.0.0.0/0

# 2. 若没有则重新添加（关键）：
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 3. 再次确认 IP 转发永久开启（避免重启失效）：
sudo echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sudo sysctl -p

第二步：客户端配置「强制所有外网流量走 wg0」

方案 1：手动临时配置（立即生效）

# 1. 确保客户端 wg0 已启动
sudo wg-quick up wg0

# 2. 添加「最长前缀路由」，强制所有外网流量走 wg0（不修改系统 default 路由）
sudo ip route add 0.0.0.0/1 via 10.0.0.1 dev wg0
sudo ip route add 128.0.0.0/1 via 10.0.0.1 dev wg0

# 3. 验证路由表（应看到 0.0.0.0/1 和 128.0.0.1/1 指向 wg0）
ip route

# 4. 测试访问外网 DNS 8.8.8.8
ping 8.8.8.8

方案 2：永久写入 WireGuard 配置（重启不失效）

sudo nano /etc/wireguard/wg0.conf

[Interface]
PrivateKey = 你的客户端私钥
Address = 10.0.0.2/32
DNS = 10.0.0.1  # 或直接用 8.8.8.8 测试

# 启动时自动添加优先路由
PostUp = ip route add 0.0.0.0/1 via 10.0.0.1 dev %i; ip route add 128.0.0.0/1 via 10.0.0.1 dev %i
# 关闭时删除路由
PostDown = ip route del 0.0.0.0/1 via 10.0.0.1 dev %i; ip route del 128.0.0.0/1 via 10.0.0.1 dev %i

[Peer]
PublicKey = 服务器公钥（4fD3yAJ+N+sNat4e4oLgbfZln1ZVga0PnVOJTNuRdzM=）
Endpoint = 96.30.204.97:65432
AllowedIPs = 0.0.0.0/0, ::/0  # 核心：覆盖所有 IP 段，强制走 VPN
PersistentKeepalive = 25

sudo wg-quick down wg0 && sudo wg-quick up wg0

# 测试外网访问
ping 8.8.8.8
curl ifconfig.me  # 应返回服务器公网 IP 96.30.204.97

第三步：终极兜底（服务器端全量重置转发规则）

# 1. 停止 wg0
sudo wg-quick down wg0

# 2. 清空所有 iptables 规则
sudo iptables -F
sudo iptables -t nat -F
sudo iptables -t mangle -F
sudo iptables -X

# 3. 重置默认策略为 ACCEPT
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT

# 4. 重新配置转发规则
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o wg0 -j ACCEPT -m state --state RELATED,ESTABLISHED

# 5. 重启 wg0
sudo wg-quick up wg0

# 6. 验证转发规则
sudo iptables -t nat -L POSTROUTING -n -v

关键排查：为什么外网不通？

1. 客户端 AllowedIPs 配置错误：若 AllowedIPs 仅写 10.0.0.0/24，则只有内网流量走 wg0，外网流量走本地网卡；
2. 服务器 NAT 规则未生效：MASQUERADE 规则必须绑定服务器公网卡（eth0），且 IP 转发永久开启；
3. 服务器公网卡名称错误：若服务器公网卡不是 eth0（比如是 enp1s0），需将 iptables 中的 eth0 改为实际网卡名（可通过 ip addr 查看）。

总结

1. 核心修复：客户端 AllowedIPs = 0.0.0.0/0 + 服务器端 MASQUERADE 规则绑定 eth0；
2. 路由保障：客户端添加 0.0.0.0/1 和 128.0.0.0/1 路由，强制外网流量走 wg0；
3. 验证标准：ping 8.8.8.8 通，且 curl ifconfig.me 返回服务器公网 IP 96.30.204.97。

🎯 最终修复：服务器端 NAT 规则绑定错误（eth0 ≠ 实际公网卡）

第一步：服务器端修复 NAT 转发（核心）

# 1. 删除错误绑定 eth0 的 MASQUERADE 规则
sudo iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# 2. 添加正确绑定 enp1s0 的 MASQUERADE 规则（你的实际公网卡）
sudo iptables -t nat -A POSTROUTING -o enp1s0 -j MASQUERADE

# 3. 补充转发规则（确保流量双向通行）
sudo iptables -A FORWARD -i wg0 -o enp1s0 -j ACCEPT
sudo iptables -A FORWARD -i enp1s0 -o wg0 -j ACCEPT -m state --state RELATED,ESTABLISHED

# 4. 验证规则是否生效（关键看 out 是 enp1s0）
sudo iptables -t nat -L POSTROUTING -n -v

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  *      enp1s0  0.0.0.0/0            0.0.0.0/0           

第二步：客户端验证外网访问

# 1. 重启客户端 wg0（确保路由生效）
sudo wg-quick down wg0 && sudo wg-quick up wg0

# 2. 测试访问外网 DNS 8.8.8.8（核心验证）
ping 8.8.8.8

# 3. 测试外网网页访问
curl ifconfig.me  # 应返回服务器公网 IP 96.30.204.97
curl www.baidu.com

PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=128 time=XX.X ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=128 time=XX.X ms

第三步：永久保存服务器端 iptables 规则（避免重启失效）

# 安装 iptables-persistent（保存规则）
sudo apt install -y iptables-persistent

# 保存当前规则
sudo netfilter-persistent save

# 验证保存结果
sudo netfilter-persistent reload

关键说明：为什么 eth0 不对？

总结

1. 核心问题：服务器端 NAT 规则绑定了不存在的 eth0，实际公网卡是 enp1s0；
2. 修复关键：删除 eth0 的 MASQUERADE 规则，重新绑定到 enp1s0；
3. 验证标准：客户端 ping 8.8.8.8 通，且 curl ifconfig.me 返回服务器公网 IP。

🎉 服务器端 NAT 规则已修复！现在验证客户端外网访问

客户端验证步骤（本地执行）

# 1. 重启客户端 wg0（确保路由和配置全量生效）
sudo wg-quick down wg0 && sudo wg-quick up wg0

# 2. 测试访问外网 DNS 8.8.8.8（核心验证）
ping 8.8.8.8

# 3. 测试外网 IP 访问（验证 NAT 转发）
curl ifconfig.me  # 应返回服务器公网 IP：96.30.204.97

# 4. 测试域名解析（验证 DNS 生效）
nslookup www.baidu.com 10.0.0.1  # 用 WireGuard 服务器做 DNS 解析

# ping 8.8.8.8 输出
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=128 time=30.5 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=128 time=30.2 ms

# curl ifconfig.me 输出
96.30.204.97

若仍不通？最后 1 个客户端侧排查点

# 查看客户端 wg0.conf 的 AllowedIPs
cat /etc/wireguard/wg0.conf | grep AllowedIPs

# ✅ 必须是：AllowedIPs = 0.0.0.0/0, ::/0
# ❌ 若仅为 10.0.0.0/24，需修改并重启 wg0：
sudo nano /etc/wireguard/wg0.conf  # 改 AllowedIPs 为 0.0.0.0/0, ::/0
sudo wg-quick down wg0 && sudo wg-quick up wg0

最终收尾：永久化配置（可选）

1. 服务器端保存 iptables 规则（重启不失效）

sudo apt install -y iptables-persistent
sudo netfilter-persistent save

2. 客户端永久化路由（无需手动添加）

[Interface]
PostUp = ip route add 0.0.0.0/1 via 10.0.0.1 dev %i; ip route add 128.0.0.0/1 via 10.0.0.1 dev %i
PostDown = ip route del 0.0.0.0/1 via 10.0.0.1 dev %i; ip route del 128.0.0.0/1 via 10.0.0.1 dev %i
AllowedIPs = 0.0.0.0/0, ::/0

总结

1. 核心修复完成：服务器端 NAT 规则已绑定正确的公网卡 enp1s0，IP 转发已永久开启；
2. 客户端验证关键：重启 wg0 后，ping 8.8.8.8 通 + curl ifconfig.me 返回服务器公网 IP 即为成功；
3. 兜底配置：确保客户端 AllowedIPs = 0.0.0.0/0，覆盖所有外网流量。

WireGuard 服务器端（Vultr Ubuntu 22.04）配置踩坑备忘录

一、核心问题总结（导致内网/外网不通的关键遗漏项）

二、服务器端必配项（按优先级排序）

1. 基础网络配置（必须永久生效）

# 1. 永久开启 IP 转发（核心，重启不失效）
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p  # 立即生效
# 验证：sysctl net.ipv4.ip_forward → 输出 1

# 2. 关闭反向路径过滤（避免流量被拦截）
cat >> /etc/sysctl.conf << EOF
net.ipv4.conf.all.rp_filter = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.wg0.rp_filter = 0
net.ipv4.conf.enp1s0.rp_filter = 0
EOF
sysctl -p

2. 防火墙/iptables 核心规则（关键！）

# 1. 临时关闭 UFW（先验证通信，后续可精细化配置）
ufw disable

# 2. 清空旧规则，重置默认策略
iptables -F
iptables -t nat -F
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

# 3. 允许 wg0 接口所有流量（解决内网 ping 不通）
iptables -A INPUT -i wg0 -j ACCEPT
iptables -A OUTPUT -o wg0 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT  # 允许 ping

# 4. 配置 NAT 转发（核心！绑定实际公网卡 enp1s0）
iptables -t nat -A POSTROUTING -o enp1s0 -j MASQUERADE

# 5. 允许 wg0 ↔ enp1s0 双向转发（解决外网不通）
iptables -A FORWARD -i wg0 -o enp1s0 -j ACCEPT
iptables -A FORWARD -i enp1s0 -o wg0 -j ACCEPT -m state --state RELATED,ESTABLISHED

# 6. 永久保存规则（重启不失效）
apt install -y iptables-persistent
netfilter-persistent save

3. WireGuard 接口配置（避免 RX 错误）

# 1. 修复 wg0 MTU（解决数据包解析错误）
ip link set wg0 mtu 1420
# 2. 重启 wg0 生效
wg-quick down wg0 && wg-quick up wg0

# 验证 wg0 状态：无 RX errors
ip addr show wg0  # 查看 RX errors → 应为 0

4. 关键验证命令（配置后必查）

# 1. 验证 NAT 规则（out 列必须是 enp1s0）
iptables -t nat -L POSTROUTING -n -v
# 2. 验证 IP 转发
sysctl net.ipv4.ip_forward
# 3. 验证 wg0 接口
wg show wg0  # 有 handshake 且无报错
# 4. 验证公网卡（enp1s0 对应公网 IP 96.30.204.97）
ip addr show enp1s0

三、避坑关键点

1. 网卡命名陷阱：Vultr Ubuntu 22.04 公网卡不是传统 eth0，而是 enp1s0，NAT 规则必须绑定此网卡，否则转发失效；
2. 防火墙优先级：UFW 默认策略为 DROP，会阻断 wg0 入站/ICMP 流量，需先关闭验证，后续可精细化放行（22/tcp、65432/udp、wg0 流量）；
3. MTU 匹配：wg0 默认 MTU 1420，不匹配会导致 RX 错误，需手动调整；
4. 规则永久化：iptables 规则默认重启失效，需安装 iptables-persistent 保存；IP 转发需写入 sysctl.conf，仅 sysctl -w 是临时生效。

四、服务器端最终状态验证标准

1. ping 10.0.0.1（客户端→服务器）：通；
2. ping 8.8.8.8（客户端→外网）：通；
3. curl ifconfig.me（客户端）：返回服务器公网 IP 96.30.204.97；
4. iptables -t nat -L POSTROUTING -n -v：MASQUERADE 规则 out 列是 enp1s0；
5. sysctl net.ipv4.ip_forward：输出 1；
6. wg show wg0：有最新 handshake，无 RX/TX 错误。

五、补充：客户端联动要点（备忘）

1. wg0.conf 中 AllowedIPs = 0.0.0.0/0, ::/0（覆盖所有外网流量）；
2. 执行自定义 DNS 脚本（无需修改路由表）：
   bash

   运行

   sudo resolvectl flush-caches
   sudo resolvectl domain wg0 '~.'
   sudo resolvectl domain enp0s31f6 ''
   sudo resolvectl default-route wg0 true
   sudo resolvectl dns wg0 8.8.4.4 8.8.8.8
   
3. 无需修改系统 default 路由，仅通过 0.0.0.0/1 + 128.0.0.0/1 前缀路由优先走 wg0。

新 Vultr WireGuard 服务器（10.1.0.1）客户端密钥生成 + 配置流程

一、核心前提

• 服务器 WireGuard 内网 IP：10.1.0.1
• 客户端分配内网 IP：10.1.0.2
• 以下操作优先在服务器端执行（也可在客户端执行，最后将公钥同步到服务器）。

二、客户端密钥生成完整流程

1. 检查 WireGuard 工具是否安装（服务器/客户端通用）

# 检查 wg 工具是否存在
wg --version

# 若未安装，执行安装（Ubuntu/Debian）
sudo apt update && sudo apt install -y wireguard

2. 生成客户端密钥对（公私钥）

# 1. 创建密钥存储目录（可选，建议规范管理）
mkdir -p ~/wireguard/client_keys
cd ~/wireguard/client_keys

# 2. 生成客户端私钥（绝对保密，仅客户端保存）
wg genkey | tee client_private.key

# 3. 从私钥生成公钥（需同步到服务器端）
cat client_private.key | wg pubkey | tee client_public.key

# 4. 查看生成的密钥（记录下来备用）
echo "客户端私钥：$(cat client_private.key)"
echo "客户端公钥：$(cat client_public.key)"

客户端私钥：xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx=
客户端公钥：yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy=

3. 服务器端添加客户端授权（核心步骤）

# 1. 编辑服务器端 WireGuard 配置文件（默认 /etc/wireguard/wg0.conf）
sudo nano /etc/wireguard/wg0.conf

# 2. 在文件末尾添加以下 [Peer] 段（替换为实际客户端公钥）
[Peer]
PublicKey = 客户端公钥（上一步生成的 client_public.key 内容）
AllowedIPs = 10.1.0.2/32  # 固定分配给该客户端的内网 IP

# 3. 重启服务器端 WireGuard 生效
sudo wg-quick down wg0 && sudo wg-quick up wg0

# 4. 验证客户端是否已添加到服务器
sudo wg show wg0
# 输出中能看到该 Peer 的 PublicKey + AllowedIPs = 10.1.0.2/32 即为成功

4. 生成客户端配置文件（wg0.conf）

[Interface]
# 客户端私钥（步骤2生成的 client_private.key 内容）
PrivateKey = 客户端私钥
# 客户端内网 IP（固定为 10.1.0.2/32）
Address = 10.1.0.2/32
# DNS 配置（复用你之前的生效配置）
DNS = 8.8.8.8, 8.8.4.4

# 启动时自动配置 DNS 优先级（无需改路由）
PostUp = resolvectl flush-caches; resolvectl domain %i '~.'; resolvectl default-route %i true; resolvectl dns %i 8.8.8.8 8.8.4.4
# 关闭时恢复原 DNS
PostDown = resolvectl domain %i ''; resolvectl default-route %i false; resolvectl dns %i ''

[Peer]
# 服务器端公钥（执行 sudo wg show wg0 可查看服务器 PublicKey）
PublicKey = 服务器公钥
# 服务器公网 IP + WireGuard 监听端口（如 123.45.67.89:51820，需确认服务器端口）
Endpoint = 新 Vultr 服务器公网IP:51820（或服务器实际监听端口）
# 允许所有流量走 VPN（核心，无需改系统路由）
AllowedIPs = 0.0.0.0/0, ::/0
# 保持长连接（避免断线）
PersistentKeepalive = 25

5. 客户端启动 & 验证

# 1. 启动客户端 WireGuard
sudo wg-quick up wg0

# 2. 验证密钥配对 & 握手状态
sudo wg show

# 3. 验证内网连通性（ping 服务器 10.1.0.1）
ping 10.1.0.1

# 4. 验证外网连通性（ping 8.8.8.8）
ping 8.8.8.8

# 5. 验证 DNS 解析（走 wg0）
resolvectl status wg0
# 确认 Current DNS Server: 8.8.8.8

三、关键注意事项（复刻避坑）

1. 端口放行：确保新 Vultr 服务器防火墙/安全组放行 WireGuard 监听端口（默认 51820/udp，若服务器改了端口需对应）；
2. 密钥保密：客户端私钥（client_private.key）仅客户端保存，切勿泄露；服务器公钥可公开，客户端公钥需准确同步到服务器；
3. IP 一致性：客户端 Address 必须和服务器 AllowedIPs 一致（10.1.0.2/32）；
4. 无需改路由：全程通过 AllowedIPs = 0.0.0.0/0 + DNS 配置实现流量优先，不修改系统 default 路由；
5. 服务器基础配置：复刻前先完成服务器端核心配置（IP 转发、iptables NAT 绑定正确网卡、关闭/放行 UFW），参考之前的备忘录。

四、快速验证清单（确保复刻成功）

📌 新 Vultr 预装 WireGuard 服务器密钥问题解析 + 正确操作流程

一、核心结论

1. 预装配置里的 [Peer] 段是 Vultr 模板默认生成的「示例客户端公钥」，无实际可用的客户端私钥（你无法获取）；
2. 无需保留这个默认 Peer，直接替换为你自己生成的客户端公钥即可；
3. 服务器端的 PrivateKey/Address/PostUp/PostDown/ListenPort 都是正确的（已绑定 enp1s0、开启转发），无需修改，仅需更新 Peer 公钥。

二、分步操作（保留服务器原有正确配置，仅替换客户端密钥）

1. 先备份服务器原有配置（避免误操作）

sudo cp /etc/wireguard/wg0.conf /etc/wireguard/wg0.conf.bak

2. 生成你的自定义客户端密钥对（服务器/客户端执行均可）

# 生成新的客户端公私钥（替换预装的默认公钥）
mkdir -p ~/wireguard && cd ~/wireguard
wg genkey | tee client_private.key  # 客户端私钥（仅客户端保存）
cat client_private.key | wg pubkey | tee client_public.key  # 客户端公钥（同步到服务器）

# 查看新生成的密钥（记录下来）
echo "新客户端私钥：$(cat client_private.key)"
echo "新客户端公钥：$(cat client_public.key)"

3. 替换服务器配置中的 Peer 公钥（核心）

# 编辑服务器 wg0.conf，替换默认 Peer 公钥
sudo nano /etc/wireguard/wg0.conf

[Interface]
  # 保留服务器原有私钥
Address = 10.1.0.1/24  # 保留
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o enp1s0 -j MASQUERADE  # 保留（已绑定正确网卡）
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o enp1s0 -j MASQUERADE  # 保留
ListenPort = 51820  # 保留

[Peer]
PublicKey = 你新生成的 client_public.key 内容  # 替换这一行！
AllowedIPs = 10.1.0.2/32  # 保留（客户端 IP 不变）

4. 重启服务器 WireGuard 生效

sudo wg-quick down wg0 && sudo wg-quick up wg0

# 验证 Peer 是否更新成功
sudo wg show wg0
# 输出中 Peer 的 PublicKey 应为你新生成的公钥，AllowedIPs=10.1.0.2/32

5. 生成你的客户端配置文件（用新私钥）

[Interface]
PrivateKey = 你新生成的 client_private.key 内容  # 关键：用自己的私钥
Address = 10.1.0.2/32
DNS = 8.8.8.8, 8.8.4.4
PostUp = resolvectl flush-caches; resolvectl domain %i '~.'; resolvectl default-route %i true; resolvectl dns %i 8.8.8.8 8.8.4.4
PostDown = resolvectl domain %i ''; resolvectl default-route %i false; resolvectl dns %i ''

[Peer]
PublicKey = 服务器公钥  # 执行 sudo wg show wg0 查看服务器 PublicKey
Endpoint = 新服务器公网IP:51820  # Vultr 服务器公网 IP
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

三、关键说明（避免踩坑）

1. 服务器原有配置的优势：
   • PostUp/PostDown 已正确绑定 enp1s0（无需再改 NAT 网卡）；
   • 已包含 FORWARD 规则和 MASQUERADE 转发（无需手动配置 iptables）；
   • ListenPort=51820 是 WireGuard 默认端口，Vultr 安全组已放行。
2. 为什么不保留默认 Peer 公钥：
   • 预装的公钥无对应的私钥文件（Vultr 仅做模板，未生成配套私钥）；
   • 即使找到私钥，也存在安全风险（默认密钥可能被公开），必须替换为自己生成的密钥。
3. 验证服务器配置是否完整：

   预装配置缺少「IP 转发永久开启」，需补充执行：
   bash

   运行

   # 永久开启 IP 转发（预装配置未包含，必须加）
   echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
   sysctl -p
   

四、最终验证步骤

1. 客户端启动：sudo wg-quick up wg0；
2. 验证握手：sudo wg show → 有 latest handshake 时间；
3. 验证内网：ping 10.1.0.1 → 通；
4. 验证外网：ping 8.8.8.8 → 通；
5. 验证 DNS：resolvectl status wg0 → DNS 为 8.8.8.8。

总结

1. 预装配置的 Peer 公钥 是模板示例，直接替换为自己生成的客户端公钥即可；
2. 服务器原有 Interface 段配置（私钥、PostUp/PostDown、端口）均正确，无需修改；
3. 仅需补充「永久开启 IP 转发」，其余流程和之前验证通过的一致；
4. 客户端用新生成的私钥配置，即可正常连接新服务器。

📱 荣耀手机 WireGuard 客户端配置文件生成指南（可直接导入）

一、核心前提（先确认服务器端信息）

二、生成手机端 WireGuard 配置文件（.conf 格式）

1. 配置文件内容（复制到服务器/本地文本编辑器，替换占位符）

[Interface]
# 手机端私钥（自己生成的 client_private.key 内容，绝对保密）
PrivateKey = 你的客户端私钥
# 手机端内网 IP（和服务器 AllowedIPs 一致：10.1.0.2/32）
Address = 10.1.0.2/32
# DNS 服务器（手机端建议用 8.8.8.8/8.8.4.4，避免解析问题）
DNS = 8.8.8.8, 8.8.4.4

[Peer]
# 服务器公钥（从服务器获取的 PublicKey）
PublicKey = 你的服务器公钥
# 服务器公网 IP + 端口（Vultr 公网 IP:51820）
Endpoint = 你的服务器公网IP:51820
# 允许所有流量走 VPN（手机端无需改路由，此配置即可）
AllowedIPs = 0.0.0.0/0, ::/0
# 保持长连接（手机休眠后仍能连，建议设 25 秒）
PersistentKeepalive = 25

2. 配置文件命名 & 格式要求

• 文件名：wg_phone.conf（后缀必须是 .conf，不能是 .txt）；
• 编码：UTF-8（纯文本格式，无特殊字符）；
• 示例（替换后完整配置）：
  ini

  [Interface]
  
  Address = 10.1.0.2/32
  DNS = 8.8.8.8, 8.8.4.4
  
  [Peer]
  PublicKey = 4fD3yAJ+N+sNat4e4oLgbfZln1ZVga0PnVOJTNuRdzM=
  Endpoint = 96.30.204.97:51820
  AllowedIPs = 0.0.0.0/0, ::/0
  PersistentKeepalive = 25
  

三、荣耀手机导入配置文件的 2 种方法

方法 1：系统自带 VPN（推荐，无需装第三方 APP）

1. 传输配置文件到手机：
   • 将 wg_phone.conf 通过微信/QQ/数据线传到手机，保存到「文件管理」-「下载」文件夹；
2. 进入 VPN 设置：
   • 打开手机「设置」→「移动网络」→「VPN」→ 点击右上角「+」；
   • 选择「WireGuard」（若没有，先升级系统到最新版）；
3. 导入配置文件：
   • 点击「导入配置文件」→ 选择「文件管理」中保存的 wg_phone.conf；
   • 系统会自动识别配置内容，确认无误后点击「保存」；
4. 连接 VPN：
   • 回到 VPN 列表，点击刚添加的 WireGuard 配置 → 点击「连接」；
   • 连接成功后，手机状态栏会显示「VPN」图标。

方法 2：第三方 WireGuard APP（兼容旧系统）

1. 应用市场搜索「WireGuard」（认准官方图标，开发者：WireGuard LLC）；
2. 打开 APP → 点击右下角「+」→ 选择「导入隧道（从文件或存档）」；
3. 选择手机中保存的 wg_phone.conf → 自动解析配置；
4. 点击隧道名称旁的开关，即可连接。

四、手机端连接验证

1. 确认连接状态：
   • 系统 VPN：查看「VPN」列表显示「已连接」；
   • WireGuard APP：隧道旁显示「已激活」，并能看到「最新握手」时间；
2. 网络验证：
   • 打开浏览器访问 https://ifconfig.me → 显示服务器公网 IP（96.30.204.97）；
   • 测试 ping 外网：打开「终端模拟器」（需安装），执行 ping 8.8.8.8 → 通；
3. DNS 验证：
   • 访问 https://dnscheck.tools → 显示 DNS 服务器为 8.8.8.8/8.8.4.4。

五、避坑关键点（手机端专属）

1. 配置文件格式：
   • 禁止用记事本编辑后保存为 .txt，必须改后缀为 .conf；
   • 私钥/公钥不能有空格、换行，必须完整复制（少一个字符都会连接失败）；
2. 端口放行：
   • 确保服务器安全组/防火墙放行 51820/udp（Vultr 预装服务器已放行，无需额外配置）；
3. 网络权限：
   • 手机连接时允许「WireGuard/VPN」使用「蜂窝网络+WLAN」权限；
4. PersistentKeepalive：
   • 必须设 25 秒，否则手机休眠后 VPN 会断开（荣耀手机省电策略会关闭长连接）；
5. AllowedIPs：
   • 手机端必须设 0.0.0.0/0, ::/0，否则部分 APP 会绕开 VPN 走本地网络。

总结

1. 手机端配置文件核心：替换「客户端私钥、服务器公钥、服务器 Endpoint」3 个占位符，格式为 .conf；
2. 荣耀手机优先用系统自带 VPN 导入，旧系统用官方 WireGuard APP；
3. 验证标准：连接后外网 IP 显示服务器公网 IP，所有 APP 流量均走 VPN；
4. 若连接失败，先检查密钥是否复制完整、服务器端口是否放行、手机网络权限是否开启。

📱 荣耀手机 WireGuard 域名无法访问（IP通/DNS不通）核心解决

📱 荣耀手机 WireGuard 域名无法访问（IP通、域名不通）核心问题&彻底解决

一、问题根源

1. WireGuard官方APP仅会给APP自身配置DNS，但无法强制Android系统级的DNS解析走VPN（Android的DNS管理机制和Linux不同，系统会优先使用网卡/路由器的DNS，而非VPN分配的DNS）；
2. 荣耀手机的Magic UI（基于Android）有DNS缓存/私有DNS机制，会绕过VPN的DNS配置，直接用移动网络/WiFi的DNS解析域名；
3. 仅在WireGuard配置文件里写DNS = 8.8.8.8是不够的，这只是「建议性配置」，而非「强制性配置」。

二、分3步彻底解决（从简单到根治，荣耀手机专属）

第一步：先优化WireGuard APP的配置文件（基础必做）

[Interface]
PrivateKey = 你的手机端私钥
Address = 10.1.0.2/32
DNS = 8.8.8.8, 8.8.4.4, 1.1.1.1  # 多填几个公共DNS，避免单节点失效
MTU = 1420  # 新增，匹配服务器MTU，避免解析包丢失

[Peer]
PublicKey = 你的服务器公钥
Endpoint = 服务器公网IP:51820
AllowedIPs = 0.0.0.0/0, ::/0  # 强制所有IP流量走VPN，包括DNS解析的53端口
PersistentKeepalive = 25

第二步：关闭荣耀手机的「私有DNS」（关键！必做）

1. 打开手机「设置」→ 找到「移动网络」/「网络和互联网」；
2. 点击「私有DNS」（部分机型在「更多网络设置」里）；
3. 选择**「关闭」**（不要选「自动」或自定义域名，如dns.google）；
4. 关闭后，杀掉WireGuard APP进程，重新连接VPN。

第三步：3种方法强制Android系统DNS走VPN（根治，选其一即可）

方法1：WireGuard APP开启「隧道DNS」（最简单，推荐）

1. 打开WireGuard APP，找到你配置的隧道，点击右侧「⊕/设置」图标；
2. 开启**「使用隧道DNS」**（部分机型显示为「强制DNS通过隧道」）；
3. 同时开启**「绕过隧道的本地地址」**（避免内网解析出问题）；
4. 保存后重新连接，此时系统所有DNS解析都会强制走WireGuard隧道。

方法2：修改WireGuard配置，添加DNS端口强制转发（备用）

[Peer]
# 原有配置不变，新增以下AllowedIPs（和原有合并，不要删）
AllowedIPs = 0.0.0.0/0, ::/0, 0.0.0.0/0:53, ::/0:53

原理：DNS解析默认走53端口，强制这个端口的所有流量走VPN，就不会绕开了。

方法3：荣耀手机手动设置系统DNS（兜底）

1. 连接WiFi/移动网络后，长按网络名称 → 「修改网络」→ 勾选「高级选项」；
2. IP设置改为**「静态」**；
3. DNS1填8.8.8.8，DNS2填8.8.4.4，保存；
4. 此方法是让系统直接用公共DNS，而非路由器的DNS，配合WireGuard即可实现解析走VPN。

三、荣耀手机专属避坑点（缺一不可）

1. 关闭省电策略对WireGuard的限制：
   荣耀手机的「省电管理」会后台杀掉WireGuard进程，导致DNS解析中断：
   「设置」→「电池」→「应用省电管理」→ 找到WireGuard → 选择**「无限制」**。
2. 关闭网络加速/智能DNS：
   荣耀的「网络助手」「游戏加速」「智能DNS」会劫持DNS解析，必须关闭：
   「设置」→「应用」→「系统应用」→「网络助手」→ 关闭「智能DNS加速」。
3. 清空DNS缓存：
   手机原有DNS缓存会导致解析失效，手动清空：
   打开Termux，执行su获取ROOT（若无ROOT，重启手机即可），再执行：
   bash

   运行

   ndc resolver flushdefault  # 清空系统DNS缓存
   ping -c 1 google.com        # 重新解析，测试是否生效
   
4. 避免多VPN共存：
   如果手机装了OpenVPN、Clash等其他VPN，会和WireGuard冲突，导致DNS解析混乱，暂时卸载/关闭其他VPN。

四、验证是否生效（2个简单方法）

1. Termux验证：
   bash

   运行

   nslookup google.com  # 查看解析的DNS服务器是否是8.8.8.8/8.8.4.4
   ping google.com      # 域名能ping通即解析成功
   
2. 浏览器验证：
   打开手机浏览器，访问https://dnscheck.tools，查看「使用的DNS服务器」是否为你配置的8.8.8.8，且「出口IP」是WireGuard服务器的公网IP。

五、和OpenVPN APP的区别（为什么OpenVPN不会有这个问题）

总结

📱 荣耀手机WireGuard域名不通「无ROOT/无私有DNS/端口配置报错」专属解决方案

核心问题再梳理

1. WireGuard APP不支持AllowedIPs = 0.0.0.0/0:53这种带端口的写法，会直接报配置错误，这是APP本身的语法限制；
2. 部分荣耀新版本把「私有DNS」藏入深层菜单或直接整合，找不到≠没开启，无需刻意找，用配置绕过即可；
3. Termux是Android终端模拟器，本身没有ROOT权限，无法执行系统级DNS缓存清理/配置修改，放弃Termux操作。

方法一：【首选】WireGuard APP内置「DNS强制接管」配置（纯配置文件修改，无系统操作）

步骤1：修改手机端WireGuard配置文件（仅加1行，其余不变）

[Interface]
PrivateKey = 你的手机端私钥
Address = 10.1.0.2/32
DNS = 8.8.8.8,8.8.4.4  # 核心：仅保留纯DNS地址，无端口、无空格
MTU = 1420  # 匹配服务器，避免包丢失

[Peer]
PublicKey = 你的服务器公钥
Endpoint = 服务器公网IP:51820
AllowedIPs = 0.0.0.0/0, ::/0  # 仅纯IP段，不加任何端口
PersistentKeepalive = 25

步骤2：WireGuard APP开启「高级隧道选项」（强制DNS接管）

1. 先删除原有错误配置，点击右下角+号→从文件导入，选择修改后的正确wg0.conf；
2. 导入后，点击隧道名称右侧的三个点（⋮）→编辑隧道；
3. 拉到最底部，找到**「高级选项」**（部分版本显示为「更多设置」），全部开启：
   • ✅ 开启**「使用隧道的DNS服务器」**（核心！强制APP接管所有DNS解析）
   • ✅ 开启**「禁止系统绕过隧道」**（关键！阻止Android系统绕开VPN走本地DNS）
   • ✅ 开启**「保持隧道活动」**（避免荣耀省电策略断开）
4. 保存后，关闭APP后台，重新点击「连接」，此时隧道会强制接管系统所有DNS解析。

方法二：【兜底】荣耀手机「网络场景隔离」配置（无任何APP/系统修改，秒生效）

步骤1：断开当前WiFi/移动网络，重新配置

1. 若用WiFi：长按你连接的WiFi名称→修改网络→勾选**「显示高级选项」**；
   • IP设置改为**「DHCP」**（不要选静态，避免配置错误）；
   • 拉到最底部，找到**「DNS设置」**（荣耀新版本均有，藏在高级选项里）；
   • 选择**「手动」**，删除原有DNS，仅添加：8.8.8.8、8.8.4.4，保存；
2. 若用移动网络（流量）：打开「设置」→「移动网络」→「移动数据」→「接入点名称（APN）」；
   • 选择你当前的APN（如「中国移动cmnet」）→点击**「编辑」**；
   • 找到**「DNS1」「DNS2」**，删除原有值，分别填8.8.8.8、8.8.4.4，保存；
   • 重启移动数据，让新的DNS配置生效。

步骤2：仅在该网络下连接WireGuard

关键：荣耀手机「防杀后台」配置（必做，否则会反复断连）

1. 打开「设置」→「电池」→「应用省电管理」；
2. 找到WireGuard→选择**「无限制」**（允许后台运行、允许联网、禁止自动清理）；
3. 返回手机桌面，长按WireGuard APP图标→添加到后台保护（荣耀小窗/后台列表会锁定APP，不会被清理）。

验证：无需Termux，浏览器直接验证（无ROOT也能看结果）

1. 连接WireGuard后，打开浏览器，访问https://ifconfig.me；
   • 若显示WireGuard服务器的公网IP，说明流量已走VPN；
2. 再访问https://dnscheck.tools；
   • 页面会显示**「使用的DNS服务器」，若为8.8.8.8/8.8.4.4，且「出口IP」是服务器公网IP，说明DNS解析已成功走VPN**；
   • 此时直接在浏览器输入google.com，就能正常访问了。

避坑：你之前操作的3个错误点（重点提醒）

1. ❌ 给AllowedIPs加:53端口：WireGuard APP不支持带端口的IP段写法，仅服务端iptables支持，客户端配置加端口必报错；
2. ❌ 试图在Termux里操作ROOT：Termux是用户级模拟器，没有Android系统ROOT权限，所有系统级命令都无法执行，放弃即可；
3. ❌ 纠结「私有DNS」：荣耀新版本把私有DNS整合到「DNS设置」里，无需单独找，直接用方法二修改网络的DNS，等同于关闭私有DNS绕开。

最终总结（荣耀手机WireGuard域名不通「极简执行流程」）

1. 改：修改客户端配置文件，仅保留纯IP段+纯DNS地址，无端口、无空格；
2. 开：WireGuard APP开启「使用隧道DNS」+「禁止系统绕过隧道」；
3. 护：给WireGuard加荣耀后台白名单，设置「无限制」省电策略；
4. 验：浏览器访问dnscheck.tools，验证DNS和出口IP均走VPN。

替代Vultr的高性价比云服务器推荐（适配WireGuard搭建，无低价套路/配置不虚标）

一、DigitalOcean（开发者首选，无价格套路，适配WireGuard）

核心信息

• 起步价：4美元/月（约28元），低配长期在售，无隐藏涨价，按小时计费（不用可删，最低扣费0.0055美元/小时）
• 基础配置：1核/1G内存/25G SSD/1TB流量，足够搭建WireGuard（支持多设备连接）
• 节点：全球13个机房（纽约/新加坡/伦敦等，优选新加坡/东京，国内访问延迟低）

适配WireGuard优势

1. 操作界面和Vultr几乎一致，后台一键部署Ubuntu 22.04，复刻你之前的WireGuard配置零成本；
2. 网络稳定性比Vultr更高，UDP端口（51820）无限制，WireGuard握手/转发速度更稳；
3. 无低配下架套路，4美元基础款常年在售，续费价格和新购一致，无坐地起价。

小缺点

二、Linode（Akamai旗下，价格透明，稳定性拉满）

核心信息

• 起步价：5美元/月（约35元），低配永久在售，价格全程透明，支持按小时计费
• 基础配置：1核/1G内存/50G SSD/1TB流量，配置比同价位Vultr/DigitalOcean更高（SSD翻倍）
• 节点：全球11个机房（东京/新加坡/法兰克福等，东京节点国内访问延迟最低，适合WireGuard）

适配WireGuard优势

1. 被Akamai收购后网络基建升级，公网带宽更充足，WireGuard多设备连接无卡顿；
2. 系统镜像纯净，预装Ubuntu 22.04无冗余软件，直接按你之前的备忘录配置iptables/NAT即可；
3. 无任何价格套路，新用户/老用户同价，低配不会随意下架，适合长期搭建VPN使用。

小缺点

三、AWS Lightsail（亚马逊旗下，新手友好，低价稳配）

核心信息

• 起步价：3.5美元/月（约24.5元），目前海外云服务器中低价且无套路的优选，低配常年在售
• 基础配置：1核/512M内存/20G SSD/1TB流量，足够单/双设备WireGuard使用
• 节点：全球20+机房（新加坡/东京/俄勒冈等，优选俄勒冈，带宽大、延迟低）

适配WireGuard优势

1. 亚马逊官方出品，网络稳定性吊打Vultr，WireGuard几乎无掉线，适合对稳定性要求高的场景；
2. 后台操作简单，和Vultr一样支持一键创建实例、开放端口（51820/UDP），新手易上手；
3. 价格全程透明，3.5美元低配无涨价套路，续费和新购同价，且支持免费试用1个月（新用户）。

小缺点

四、3款厂商和Vultr核心对比（避坑重点）

五、选机核心建议（适配WireGuard搭建）

1. 优先选「1G内存款」

2. 节点优选「东京/新加坡」

3. 避开「低价引流陷阱」

4. 保留你的配置备忘录

六、新服务器搭建WireGuard极简流程

1. 选上述厂商创建实例，选Ubuntu 22.04系统，开放51820/UDP端口（后台安全组/防火墙）；
2. 按你之前的备忘录，执行IP转发永久开启、iptables配置（绑定enp1s0） 命令；
3. 生成客户端密钥对，替换服务器wg0.conf的Peer公钥，重启WireGuard；
4. 手机/电脑按之前的配置文件导入，直接连接即可，全程无需改配置逻辑。

核心说明：

1. 当前页面的「NAT Gateways」是VPC级别的公网转发服务，主要用于让VPC内的私有实例（无公网IP）访问外网，而你的WireGuard服务器本身有公网IP，不需要这个服务；
2. 你之前配置的iptables -t nat -A POSTROUTING -o enp1s0 -j MASQUERADE，已经在服务器内部完成了「私网流量→公网流量」的NAT转发，完全覆盖了需求；
3. 这个VPC页面的配置对你的WireGuard没有影响，保持默认即可（当前显示「0 NAT Gateways」是正常的）。

总结：

🛠️ DigitalOcean 服务器清理无效网卡配置（删除 enp1s0 相关规则+确认网卡状态）

一、第一步：删除 enp1s0 无效的 NAT 规则（核心）

# 1. 删除 enp1s0 的 MASQUERADE 规则（关键，无效规则）
sudo iptables -t nat -D POSTROUTING -o enp1s0 -j MASQUERADE

# 2. 验证删除结果（确认 enp1s0 规则消失）
sudo iptables -t nat -L POSTROUTING -n -v

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  100 13674 MASQUERADE  all  --  *      eth0    0.0.0.0/0            0.0.0.0/0           
    4   346 MASQUERADE  all  --  *      eth1    0.0.0.0/0            0.0.0.0/0           

二、第二步：确认 WireGuard 配置的网卡指向（避免后续失效）

# 编辑 WireGuard 配置文件
sudo nano /etc/wireguard/wg0.conf

修正后的 [Interface] 段（关键看 PostUp/PostDown）：

[Interface]
PrivateKey = 你的服务器私钥
Address = 10.1.0.1/24
# 核心：绑定 eth0（DigitalOcean 公网卡），删除 enp1s0 相关
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
ListenPort = 51820

sudo wg-quick down wg0 && sudo wg-quick up wg0

三、第三步：验证网卡状态（确认 enp1s0 不存在，无需删除）

1. 无需物理删除 enp1s0（ifconfig 已显示无此网卡，仅需删 iptables 残留规则）；
2. eth1 是内网网卡（IP 10.104.0.2），保留其 MASQUERADE 规则不影响，若仅用公网转发，也可删除 eth1 规则：
   bash

   运行

   # 可选：删除 eth1 无效的 MASQUERADE 规则（仅保留 eth0 公网转发）
   sudo iptables -t nat -D POSTROUTING -o eth1 -j MASQUERADE
   

四、第四步：永久保存 iptables 规则（避免重启失效）

# 安装 iptables 持久化工具（若未装）
sudo apt install -y iptables-persistent

# 保存当前规则
sudo netfilter-persistent save

# 验证保存
sudo netfilter-persistent reload

五、关键说明（避坑）

1. 网卡命名差异：
   • Vultr 新版 Ubuntu 用 enp1s0 作为公网卡；
   • DigitalOcean 始终用 eth0（公网）/eth1（内网），复刻配置时需替换网卡名；
2. eth1 规则的作用：仅用于 VPC 内网转发，若你的 WireGuard 仅需公网转发，删除 eth1 规则更简洁；
3. 验证 WireGuard 有效性：
   bash

   运行

   # 1. 检查 wg 状态（有 handshake 则正常）
   sudo wg show wg0
   # 2. 测试外网转发（客户端 ping 8.8.8.8 通则生效）
   

总结

1. 核心操作：删除 iptables 中 enp1s0 的 MASQUERADE 规则（无效残留）；
2. 关键修正：WireGuard 配置的 PostUp/PostDown 绑定 eth0（DO 公网卡）；
3. 无需物理删除网卡：enp1s0 本就不存在，仅清理规则即可，eth0/eth1 为 DO 正常网卡，保留即可。

✅ 结论：你只需要关心 eth0 即可！eth1 确实是内网设备，完全可以忽略/清理

一、网卡角色清晰区分

二、（可选）清理 eth1 无效规则（让配置更简洁）

# 删除 eth1 的 NAT 规则（无影响，仅简化配置）
sudo iptables -t nat -D POSTROUTING -o eth1 -j MASQUERADE

# 验证最终规则（仅保留 eth0，最简洁）
sudo iptables -t nat -L POSTROUTING -n -v

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  100 13674 MASQUERADE  all  --  *      eth0    0.0.0.0/0            0.0.0.0/0           

三、关键验证（确保仅 eth0 工作）

# 1. 重启 WireGuard（应用新规则）
sudo wg-quick down wg0 && sudo wg-quick up wg0

# 2. 查看 wg 连接状态（有 latest handshake 即正常）
sudo wg show wg0

# 3. 客户端测试（ping 8.8.8.8 通，域名解析正常）

总结

1. 核心关注 eth0：它是 DigitalOcean 服务器的公网出口，WireGuard 的所有流量转发、外网访问都依赖它；
2. eth1 可完全忽略：仅用于 DO 内部内网通信，对你的 WireGuard 搭建无任何帮助，清理后更简洁；
3. 最终配置仅保留 eth0 的 MASQUERADE 规则，是最适配 DigitalOcean 服务器的极简状态，和你之前 Vultr 用 enp1s0 的逻辑完全一致，只是网卡名不同而已。

🚨 客户端能连WireGuard但无法访问服务器内网IP（10.2.0.1）的核心排查&修复

一、第一步：检查客户端AllowedIPs是否覆盖服务器内网IP

操作：

1. 打开客户端wg0.conf，检查[Peer]段的AllowedIPs：
   ini

   # 客户端配置必须包含服务器内网段（10.2.0.0/24），正确写法：
   AllowedIPs = 10.2.0.0/24, 0.0.0.0/0  # 或直接写0.0.0.0/0（覆盖所有IP）
   
2. 若AllowedIPs仅写了公网IP或其他网段，修改后重启客户端：
   bash

   运行

   sudo wg-quick down wg0 && sudo wg-quick up wg0
   

二、第二步：验证服务器端wg0接口的IP是否为10.2.0.1

操作：

# 查看wg0接口的IP
ip addr show wg0

wg0: <POINTOPOINT,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN group default qlen 1000
    inet 10.2.0.1/24 scope global wg0
       valid_lft forever preferred_lft forever

sudo nano /etc/wireguard/wg0.conf
# 确保[Interface]段有：Address = 10.2.0.1/24
sudo wg-quick down wg0 && sudo wg-quick up wg0

三、第三步：检查服务器端iptables转发规则是否生效

操作：

# 检查POSTROUTING链是否有eth0的MASQUERADE规则
sudo iptables -t nat -L POSTROUTING -n -v

pkts bytes target     prot opt in     out     source               destination         
    x   xxx MASQUERADE  all  --  *      eth0    0.0.0.0/0            0.0.0.0/0           

# 添加eth0的NAT转发规则
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# 保存规则（避免重启失效）
sudo netfilter-persistent save

四、第四步：验证服务器端IP转发是否永久开启

操作：

# 检查IP转发状态
sysctl net.ipv4.ip_forward

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

五、第五步：检查客户端路由表是否包含10.2.0.0/24指向wg0

操作：

# 查看路由表中10.2.0.0/24的条目
ip route | grep 10.2.0.0

sudo ip route add 10.2.0.0/24 dev wg0

六、关键验证：用traceroute定位流量中断点

# 客户端执行，查看10.2.0.1的路由路径
traceroute 10.2.0.1

总结：最可能的2个问题&修复

1. 客户端AllowedIPs未包含10.2.0.0/24：修改为0.0.0.0/0并重启客户端；
2. 服务器端wg0的Address不是10.2.0.1：修正配置并重启wg0。