WireGuard通过Mesh网络IPv6连接成功握手但无法访问非本地网络的问题求助

我仔细梳理了你的配置和问题细节，很快就找到了几个核心问题点，咱们一步步来解决：

先揪出最致命的配置矛盾 #

你开头提到服务器的真实IPv4接口是eth0，但从ip a和ip route的输出能明显看到，实际承载公网IPv4的接口是ens3！而你的WireGuard服务器配置里，PostUp规则用了-o eth0做MASQUERADE（源地址转换），但服务器根本没有这个接口——这直接导致IPv4流量的源地址转换完全没生效，外网服务器收到流量后，根本找不到回传路径，自然就超时了。

具体修复步骤 #

1. 修正WireGuard服务器的接口名称配置

打开你的WireGuard服务器配置文件，把所有-o eth0的部分替换成-o ens3，同时根据你的需求（非本地流量走ens3），可以去掉针对tun0的MASQUERADE规则（避免路由冲突），修改后的配置如下：

[Interface]
Address = 10.0.0.1/24
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostUp = ip6tables -A FORWARD -i wg0 -j ACCEPT
# 如果你需要IPv6流量走Mesh网络的tun0，保留下面这条，否则可以删掉
PostUp = ip6tables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE
PostDown = ip6tables -D FORWARD -i wg0 -j ACCEPT
# 对应上面的IPv6规则，同步修改PostDown
PostDown = ip6tables -t nat -D POSTROUTING -o tun0 -j MASQUERADE
ListenPort = 51193
PrivateKey = <REDACTED>

[Peer]
PublicKey = <REDACTED>
PresharedKey = <REDACTED>
AllowedIPs = 10.0.0.4/32

2. 确保服务器开启IP转发功能

在服务器上执行以下命令临时开启转发：

sysctl -w net.ipv4.ip_forward=1
sysctl -w net.ipv6.conf.all.forwarding=1

如果需要永久生效，把这两行添加到/etc/sysctl.conf文件末尾，然后执行sysctl -p加载配置。

3. 重启WireGuard服务并测试

重启服务器的WireGuard服务：

wg-quick down wg0 && wg-quick up wg0

然后在客户端再次尝试ping外网地址（比如8.8.8.8），或者重新执行traceroute，应该能看到流量通过服务器的ens3接口正常转发出去了。

额外的优化建议 #

你的客户端AllowedIPs写得非常复杂，其实可以简化成更易读的写法：

• 如果要让所有非本地流量走WireGuard，本地流量保留，直接写：

  AllowedIPs = 0.0.0.0/0, ::/0
  

• 如果需要排除特定本地网段（比如192.168.0.0/16），可以写成：

  AllowedIPs = 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12, 0.0.0.0/0, ::/0
  

这样既清晰又不容易出错。

备注：内容来源于stack exchange，提问作者w7rus