如何将IP地址接入WireGuard隧道并实现特定网络访问需求？

这个场景用WireGuard来实现简直完美，轻量又灵活，刚好能满足你所有需求。我给你一步步拆解配置逻辑和具体操作：

一、先搞定WireGuard隧道的基础连接 #

首先得让A和B之间建立起WireGuard的加密隧道，这是所有功能的基础：

1. 生成密钥对
   在A和B上分别执行命令生成WireGuard的私钥和公钥：

   # 生成私钥，注意保密！
   wg genkey > privatekey
   # 从私钥导出公钥
   wg pubkey < privatekey > publickey
   

   把A的公钥、B的公钥互相保存好，配置的时候要用。

2. 配置A的WireGuard接口（假设叫wg0）
   创建/etc/wireguard/wg0.conf，内容如下：

   [Interface]
   PrivateKey = A的私钥内容
   Address = 10.0.0.1/30  # 给隧道分配一个小型子网，A用10.0.0.1
   ListenPort = 51820  # WireGuard默认端口，记得在A的防火墙开放这个端口的UDP流量
   # PostUp/PostDown用来自动配置iptables和IP转发
   PostUp = echo 1 > /proc/sys/net/ipv4/ip_forward; iptables -t nat -A PREROUTING -d A2 -j DNAT --to-destination 10.0.0.2; iptables -t nat -A POSTROUTING -s 10.0.0.2 -j SNAT --to-source A2
   PostDown = echo 0 > /proc/sys/net/ipv4/ip_forward; iptables -t nat -D PREROUTING -d A2 -j DNAT --to-destination 10.0.0.2; iptables -t nat -D POSTROUTING -s 10.0.0.2 -j SNAT --to-source A2
   
   [Peer]
   PublicKey = B的公钥内容
   AllowedIPs = 10.0.0.2/32  # 只允许B的隧道IP接入
   

3. 配置B的WireGuard接口
   创建/etc/wireguard/wg0.conf，内容如下：

   [Interface]
   PrivateKey = B的私钥内容
   Address = 10.0.0.2/30  # B的隧道IP，和A在同一个子网
   PostUp = echo 1 > /proc/sys/net/ipv4/ip_forward  # 开启B的IP转发，用于后续DNAT到C1-Cn
   PostDown = echo 0 > /proc/sys/net/ipv4/ip_forward
   
   [Peer]
   PublicKey = A的公钥内容
   AllowedIPs = 0.0.0.0/0, ::/0  # 让所有流量走隧道（如果只想特定流量走，可修改这个规则）
   Endpoint = A1:51820  # B能访问的A的公网IP（A1）加WireGuard端口
   PersistentKeepalive = 25  # 因为B在CGNAT下，定期发心跳保持连接不被断开
   

4. 启动WireGuard并设置开机自启
   在A和B上分别执行：

   wg-quick up wg0
   systemctl enable wg-quick@wg0
   

二、验证核心功能是否生效 #

1. 外部连接A2直接到B #

A上的PREROUTING规则已经把所有发往A2的流量转发到B的隧道IP（10.0.0.2），外部用户访问A2的任何端口，都会直接打到B上。

2. B用A2的地址发起连接 #

A上的POSTROUTING规则会把B从隧道发出来的流量源地址替换成A2，所以B发起的任何外部连接，对方看到的源IP都是A2，完美符合需求。

3. B把流量DNAT到C1-Cn #

现在B已经能收到A2的流量了，接下来只需在B上配置iptables规则，把特定端口的流量转发到内网的C1-Cn：
比如，要把外部访问A2的8080端口转发到C1的80端口，执行：

# DNAT规则：把到B隧道IP的8080端口转到C1的80
iptables -t nat -A PREROUTING -d 10.0.0.2 --dport 8080 -j DNAT --to-destination C1的内网IP:80
# SNAT规则：让C1的回包能通过B回到隧道，避免路由问题
iptables -t nat -A POSTROUTING -s C1所在的子网 -j SNAT --to-source 10.0.0.2

如果有多个端口或机器，重复类似规则即可。

三、一些注意事项 #

• 确保A的防火墙（比如ufw、firewalld）开放了UDP 51820端口，否则B连不上A的WireGuard。
• 要让IP转发永久生效，记得在A和B的/etc/sysctl.conf里添加net.ipv4.ip_forward=1，然后执行sysctl -p生效。
• 如果不需要B的所有流量都走隧道，可以修改B的AllowedIPs，比如只让发往公网的流量走，或者特定端口的流量走，按需调整即可。

备注：内容来源于stack exchange，提问作者intelfx