Debian 11 VPS上WireGuard多客户端分组与主组跨子网访问配置咨询

我需要把WireGuard客户端划分成不同的组/子网，同时得有一个「主组」（子网）能访问所有其他客户端。

我的子网规划如下：

• 10.11.2.0/24 - BestPizzaShop-Town1
• 10.11.3.0/24 - PepperoniPizzaShop-Town2
• ...
• 10.11.133.0/24 - xxxxShop-Town133
• 10.11.1.0/16 - 我的个人PC主组 << 统管所有子网 ;-)

当前遇到的问题 #

从10.11.1.x网段的设备无法ping通或访问任何其他组的客户端，只能访问自身子网内的设备。

我的疑问 #

1. 如何在Debian 11 VPS上通过WireGuard-UI完成对应的配置？（我同时用Webmin来管理iptables防火墙）
2. 相比10.11.1.0/16，10.11.252.0/16作为主组子网是不是更合适？
3. 还是说我必须在服务器端逐个列出所有子网，手动创建路由规则？

附加要求 #

• 所有客户端不能通过WireGuard服务器访问互联网！
• 客户端只能访问自身子网内的其他设备，不允许跨子网访问（哪怕客户端自行修改了本地的.conf文件也不能实现跨子网访问）。
• 客户端需要能够访问服务器上监听在localhost端口的SQL服务。
• 如果可行的话：子组客户端不能主动连接我的主组PC，只能由我主动发起对子组客户端的访问。

备注：内容来源于stack exchange，提问作者SzakiLaci