如何通过Linux WireGuard VPN允许本地组播mDNS访问

问题根源 #

你的kill switch规则拦截了mDNS所需的组播流量——mDNS依赖IPv4组播地址224.0.0.251（属于224.0.0.0/24段）和IPv6链路本地组播地址ff02::fb（属于ff02::/16段），当前iptables规则未放行这些流量，导致.local解析失效。

修改WireGuard配置文件 #

编辑你的WireGuard配置文件（XXXXXX.conf），更新PostUp和PreDown中的iptables规则，添加对mDNS组播地址的放行：

[Interface]
# Device: [VPN DEVICE NAME]
PrivateKey = [PRIVATE KEY]
Address = XXX.XXX.XXX.XXX/32,xx00:xxxx:bxxxx:xx01::5:3441/128
DNS = XXX.XXX.XXX.XXX 10.0.0.1
# 更新IPv4规则：放行本地10.0.0.0/24和mDNS组播段224.0.0.0/24
PostUp = iptables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL ! -d 10.0.0.0/24 ! -d 224.0.0.0/24 -j REJECT && ip6tables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL ! -d ff02::/16 -j REJECT

# 同步更新PreDown规则，保持和PostUp一致
PreDown = iptables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL ! -d 10.0.0.0/24 ! -d 224.0.0.0/24 -j REJECT && ip6tables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL ! -d ff02::/16 -j REJECT


[Peer]
PublicKey = [PUBLIC KEY]
AllowedIPs = 0.0.0.0/0,::0/0
Endpoint = XXX.XXX.XXX.XXX:XXXXX

确保本地接口组播功能正常 #

确认树莓派的本地网络接口（比如eth0或wlan0）开启了组播：

1. 查看所有接口：ip link
2. 开启目标接口的组播：sudo ip link set eth0 multicast on（替换eth0为你的实际本地接口名）

验证配置 #

1. 重启WireGuard服务：sudo wg-quick down XXXXXXX && sudo wg-quick up XXXXXXX
2. 测试mDNS访问：ssh [USER]@[DEVICE NAME].local -p [PORT]

内容的提问来源于stack exchange，提问作者m-a-draco