WireGuard节点流量转发异常问题：客户端经主服务器转发至Web网关后无法访问公网

问题场景概述 #

我目前部署了三个WireGuard节点：

• main-server：作为核心中转节点，承接client和web-gateway的连接
• web-gateway：负责将WireGuard链路过来的流量转发到公网
• client：所有流量均走main-server，其中TCP 80/443流量会被main-server转发到web-gateway

现在遇到的问题是：client的80/443流量能正常到达web-gateway的wg0接口（tcpdump可以抓到包），但这些流量无法从web-gateway的eth0接口出去访问公网，tcpdump看不到eth0上的相关流量。

已经完成的配置：

• main-server和web-gateway均已开启IP转发：net.ipv4.ip_forward = 1
• web-gateway上配置了部分iptables规则：

  iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
  iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
  

可能的问题排查与解决步骤 #

1. 确认MASQUERADE规则完整生效

首先检查你是否完整执行了MASQUERADE规则，用以下命令查看规则是否存在且匹配计数是否增长：

iptables -t nat -L POSTROUTING -nv

如果规则存在但计数没有变化，说明流量没有命中这条规则，可能是源IP不在预期范围内，需要结合WireGuard的网段配置调整。

2. 补充反向FORWARD规则

默认iptables的FORWARD链可能是DROP策略，你只配置了从wg0到eth0的转发，但公网的响应包需要从eth0回到wg0才能到达client，所以必须添加反向规则：

iptables -A FORWARD -i eth0 -o wg0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

这条规则允许已建立连接的响应包回流到wg0，否则即使流量能出去，回复也无法返回client，看起来就像流量没出公网一样。

3. 检查WireGuard路由配置

确认web-gateway的WireGuard配置中包含了client的网段路由。因为main-server转发过来的流量源IP是client的WireGuard内网IP，web-gateway需要知道这个网段的流量要走wg0接口。

• 查看现有路由：ip route show
• 如果没有对应路由，可以在web-gateway的wg0.conf中添加AllowedIPs = 你的client网段/24（替换为实际的client WireGuard网段），或者手动添加静态路由：

  ip route add 10.0.0.0/24 dev wg0  # 示例网段，替换为实际值
  

4. 调整反向路径过滤（rp_filter）

部分系统默认开启了严格的反向路径过滤，会导致跨接口转发的流量被丢弃。可以临时调整测试：

sysctl -w net.ipv4.conf.all.rp_filter=2
sysctl -w net.ipv4.conf.wg0.rp_filter=2
sysctl -w net.ipv4.conf.eth0.rp_filter=2

如果生效，将这些配置写入/etc/sysctl.conf实现永久保存。

5. 检查上层防火墙工具

如果服务器上运行了firewalld或ufw这类工具，它们可能会覆盖手动配置的iptables规则。可以临时关闭测试：

systemctl stop firewalld
# 或者
ufw disable

如果关闭后恢复正常，需要在对应的防火墙工具中配置允许WireGuard的转发规则，而不是直接操作iptables。

6. 验证FORWARD链默认策略

查看FORWARD链的默认策略：

iptables -L FORWARD -nv

如果默认是DROP，除了上述两条FORWARD规则，确保没有其他规则拦截了流量。可以临时将默认策略改为ACCEPT测试：

iptables -P FORWARD ACCEPT

测试正常后再改回DROP，确保只放行必要流量。

备注：内容来源于stack exchange，提问作者Opa-Rudi