如何修改WireGuard客户端默认网关以实现跨网络访问

兄弟，我完全get到你的需求了——你想让WireGuard客户端B不仅能访问服务器所在的Network1，还能打通到Client A那边的Network2（比如访问Device Z），而且想通过调整默认网关的方式来实现对吧？

首先得明确一点：WireGuard本身没有DefaultGateway这个配置项哦，不过我们可以通过调整WireGuard的AllowedIPs规则和系统路由表来达到同样的效果，下面我给你拆解具体操作：

一、先搞定基础前提：开启IP转发和防火墙规则 #

不管是WireGuard服务器还是Client A，都得开启IP转发功能，否则流量到了节点就会被阻断：

• 临时开启（重启后失效）：在Linux系统下执行echo 1 > /proc/sys/net/ipv4/ip_forward，如果是IPv6环境再加echo 1 > /proc/sys/net/ipv6/conf/all/forwarding
• 永久开启：编辑/etc/sysctl.conf，把net.ipv4.ip_forward=1和net.ipv6.conf.all.forwarding=1的注释去掉，然后执行sysctl -p生效

另外，Client A的防火墙要允许WireGuard接口和本地LAN接口之间的转发，比如用iptables的话，可以在Client A的WireGuard配置里加自动执行的规则：

[Interface]
PrivateKey = <你的Client A私钥>
Address = 10.0.0.3/24  # 假设Client A的WireGuard IP是这个
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
# 注意：把eth0换成Client A连接Network2的实际物理网卡名

二、配置WireGuard服务器，让流量能中转到Client A #

在服务器的配置里，找到对应Client A的Peer段，把Network2的网段加到AllowedIPs里，这样服务器就知道该把Network2的流量发给Client A：

[Peer]
PublicKey = <Client A的公钥>
AllowedIPs = 10.0.0.3/32, 192.168.1.0/24  # 192.168.1.0/24是Network2的LAN网段，换成你实际的

三、修改Client B的配置，把默认网关指向Client A #

现在我们要让Client B的默认流量走Client A，这里分两种情况：

情况1：仅让Network2的流量走Client A（精准访问） #

如果只是想访问Network2，不需要所有流量都走Client A，那Client B的配置可以这么写：

[Interface]
PrivateKey = <你的Client B私钥>
Address = 10.0.0.2/24
DNS = 1.1.1.1
MTU = 1420

[Peer]
PublicKey = <服务器的公钥>
PresharedKey = <你的预共享密钥（可选）>
AllowedIPs = 10.0.0.0/24, 192.168.1.0/24  # 包含WireGuard网段和Network2的LAN网段
Endpoint = example.com:51820

这样WireGuard会自动给Client B加一条路由，把192.168.1.0/24的流量发往服务器，再由服务器中转给Client A。

情况2：让所有流量都走Client A（替换默认网关） #

如果你确实想把Client B的默认网关换成Client A的WireGuard IP（比如10.0.0.3），那需要手动调整系统路由，同时修改WireGuard的AllowedIPs避免冲突：

[Interface]
PrivateKey = <你的Client B私钥>
Address = 10.0.0.2/24
DNS = 1.1.1.1
MTU = 1420
# 启动WireGuard时自动添加默认路由，关闭时删除
PostUp = ip route add default via 10.0.0.3 dev %i
PostDown = ip route del default via 10.0.0.3 dev %i

[Peer]
PublicKey = <服务器的公钥>
PresharedKey = <你的预共享密钥（可选）>
AllowedIPs = 10.0.0.0/24  # 仅包含WireGuard内部网段，避免自动添加默认路由冲突
Endpoint = example.com:51820

这里的关键是把AllowedIPs设为仅WireGuard内部网段，这样WireGuard不会自动添加指向服务器的默认路由，然后我们通过PostUp手动添加指向Client A的默认路由。

最后验证 #

配置完后，重启所有WireGuard接口，然后在Client B上ping一下Device Z的IP（比如192.168.1.100），如果能通就说明成功了！

备注：内容来源于stack exchange，提问作者JackyHe398