如何使用WireGuard实现单向流量控制？

这确实是个很实用的场景需求！你一开始想靠WireGuard自带的AllowedIPs来实现单向访问，其实思路有点走偏了——AllowedIPs主要是管控哪些IP段的流量会走WireGuard隧道，以及处理路由层面的转发，它的规则是双向生效的，两端得对应配置，根本没法实现纯单向的访问限制。

我之前也碰到过类似的问题，后来发现最靠谱的方式还是结合iptables做精准流量控制，刚好你也提到靠@grawity_u1686的方法解决了，我来给你理理这套逻辑：

核心思路就是在每个需要限制入站访问的节点上，给WireGuard接口（比如常用的wg0）配置iptables规则，只放行已建立连接的响应流量，直接拒绝所有主动发起的入站请求。

比如你给出的这个iptables规则示例：

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)

pkts bytes target     prot opt in     out     source               destination         
   11   924 ACCEPT     0    --  wg0    *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
   12  1008 DROP       0    --  wg0    *       0.0.0.0/0            0.0.0.0/0

咱们拆解下规则的作用：

• 第一条规则：允许wg0接口上所有属于已建立连接或关联状态的流量进入——比如A主动ping B之后，B给A回包的流量就属于这个状态，会被正常放行，保证单向访问的回包能正常接收。
• 第二条规则：直接丢弃wg0接口上其他所有入站流量——这就从根上挡住了其他节点主动发起的访问请求，比如B想主动ping A、C想主动访问B或A，都会被直接拒绝。

对应到你的具体场景：

• 在节点A上配置这个规则：能阻止B和C主动访问A，但A依然可以正常访问B、C，回包也能正常接收。
• 在节点B上配置这个规则：能阻止C主动访问B，但B可以正常访问C，同时也能接收A主动访问的回包。
• 在节点C上配置这个规则：能确保它只能被动响应A和B的访问，无法主动发起任何反向请求。

这么一套配置下来，完全就能实现你要的「A→B、A→C、B→C，反向请求全禁止」的单向访问需求了。

备注：内容来源于stack exchange，提问作者Patrick Visi