WireGuard VPN 分流（VPN Splitting）配置咨询：仅让3CX软电话流量走VPN

嗨，这个需求完全可以实现！WireGuard本身就支持精准的流量分流配置，刚好能满足你只让3CX软电话走VPN、其他上网流量走本地网络来节省带宽的需求。下面我给你一步步拆解具体的配置方法：

第一步：收集关键信息 #

你需要先确认两个核心信息，这是配置的基础：

• 你的FreePBX云服务器公网IP地址（比如假设是1.2.3.4，实际要换成你自己的）
• 3CX与FreePBX通信的端口：通常SIP信令用5060（UDP/TCP），媒体流RTP用9000-10999（UDP），最好对照你的FreePBX实际配置确认

第二步：修改WireGuard客户端配置 #

默认情况下WireGuard可能会把所有流量都导去VPN，我们要调整成只有访问FreePBX的流量才走VPN：

方法1：直接修改AllowedIPs（最简单） #

找到你的WireGuard客户端配置文件（Linux/macOS一般是/etc/wireguard/wg0.conf，Windows可以在WireGuard客户端里点击「编辑隧道」查看），在[Peer]段里把原来的AllowedIPs = 0.0.0.0/0替换成只包含FreePBX的IP：

[Peer]
PublicKey = 你的WireGuard服务器公钥
Endpoint = 服务器公网IP:端口
AllowedIPs = 1.2.3.4/32  # 替换成你的FreePBX公网IP
PersistentKeepalive = 25

这样配置后，只有发往FreePBX IP的流量会被加密通过VPN传输，其他所有上网流量都会走员工本地的网络。

方法2：配合路由脚本（更灵活） #

如果你的客户端配置里有Table=auto导致默认路由被替换，可以改成手动添加路由，在[Interface]段里加入PostUp/PostDown脚本：

[Interface]
PrivateKey = 你的客户端私钥
Address = 客户端在VPN内的IP地址/32
PostUp = ip route add 1.2.3.4/32 dev wg0  # 启动VPN时添加路由
PostDown = ip route del 1.2.3.4/32 dev wg0  # 关闭VPN时删除路由

第三步：（可选）精确限定仅3CX进程走VPN #

如果想进一步限制，只有3CX软电话的流量能走VPN（防止其他程序访问FreePBX IP也占用VPN带宽），可以做针对性配置：

• Linux系统：用iptables的owner模块限定进程

  # 允许3CX进程的流量通过WireGuard接口
  iptables -A OUTPUT -o wg0 -m owner --exe "/path/to/3cxphone" -j ACCEPT
  # 拒绝其他进程通过WireGuard访问FreePBX IP
  iptables -A OUTPUT -o wg0 -d 1.2.3.4/32 -j DROP
  

• Windows系统：打开「Windows Defender防火墙」，创建出站规则，只允许3CXPhone.exe程序访问FreePBX的IP和端口，并且指定通过WireGuard的虚拟网卡。

第四步：验证配置 #

完成配置后，记得测试确认效果：

1. 启动WireGuard客户端，用3CX软电话尝试登录FreePBX，确认能正常注册和通话
2. 打开浏览器访问任意网站，查看自己的公网IP（可以用在线IP查询工具），确认IP是员工本地的公网IP，而非VPN服务器的IP，说明普通上网流量没走VPN

注意事项 #

• 如果你的FreePBX有多个关联IP（比如信令服务器和媒体服务器分开），要把所有相关IP都加到AllowedIPs里
• 确保WireGuard服务器端的防火墙允许客户端访问FreePBX的对应端口
• 图形界面的WireGuard客户端（Windows/macOS）可以直接在隧道编辑界面修改AllowedIPs，不用手动改配置文件，操作更直观

备注：内容来源于stack exchange，提问作者gukweto