树莓派WireGuard服务器配置NordVPN实现流量转发问题排查

我来帮你一步步排查这个问题，从你给出的配置信息来看，核心问题是WireGuard客户端的流量没有被正确引导到NordVPN的路由表，同时可能缺少必要的转发规则，导致NordVPN开启后客户端断网。下面是具体的排查和解决步骤：

1. 先确认IP转发是否开启（最基础的前提） #

树莓派要实现流量转发，必须开启IPv4转发功能，先检查当前状态：

sysctl net.ipv4.ip_forward

如果输出是net.ipv4.ip_forward = 0，说明没开启，执行以下命令临时开启：

sysctl -w net.ipv4.ip_forward=1

然后编辑/etc/sysctl.conf，把net.ipv4.ip_forward=1这行的注释去掉，确保重启后依然生效。

2. 给WireGuard流量打上NordVPN的防火墙标记 #

NordVPN用了0xe1f1这个防火墙标记，只有带这个标记的流量才会走NordVPN的专属路由表。现在你的WireGuard客户端流量（来自10.24.36.0/24子网）没有被打上这个标记，所以NordVPN开启后会被防火墙拦截。

你可以用iptables给所有从wg0接口进来的流量打标记：

iptables -t mangle -A PREROUTING -i wg0 -j MARK --set-mark 0xe1f1

如果要永久生效，可以把这条命令加到WireGuard的PostUp脚本里，编辑你的WireGuard配置文件（比如/etc/wireguard/wg0.conf）的[Interface]段：

[Interface]
# 你的其他配置（PrivateKey、Address、ListenPort等）
PostUp = iptables -t mangle -A PREROUTING -i wg0 -j MARK --set-mark 0xe1f1; iptables -A FORWARD -i wg0 -o nordlynx -j ACCEPT; iptables -A FORWARD -i nordlynx -o wg0 -m state --state RELATED,ESTABLISHED -j ACCEPT; iptables -t nat -A POSTROUTING -o nordlynx -j MASQUERADE
PostDown = iptables -t mangle -D PREROUTING -i wg0 -j MARK --set-mark 0xe1f1; iptables -D FORWARD -i wg0 -o nordlynx -j ACCEPT; iptables -D FORWARD -i nordlynx -o wg0 -m state --state RELATED,ESTABLISHED -j ACCEPT; iptables -t nat -D POSTROUTING -o nordlynx -j MASQUERADE

这里的PostUp脚本同时做了三件事：打标记、允许双向转发、配置SNAT（MASQUERADE），确保WireGuard流量能通过NordLynx接口正常出去。

3. 验证NordVPN的路由规则匹配 #

NordVPN开启后，会新增一个路由表（通常对应标记0xe1f1），你可以执行以下命令查看：

ip rule show
ip route show table all

你应该能看到类似这样的规则：

32764:  from all fwmark 0xe1f1 lookup 128

而table 128里有NordVPN的默认路由：

default via <NordVPN网关IP> dev nordlynx

如果你的WireGuard流量已经打上0xe1f1标记，就会自动匹配这条规则，走NordVPN的路由。

4. 调整NordVPN的辅助设置 #

从你的NordVPN配置来看，已经允许了WireGuard子网和本地LAN子网，但可以尝试开启LAN Discovery，避免LAN访问被意外拦截：

nordvpn set lan_discovery enabled

之后重启NordVPN生效：

nordvpn disconnect && nordvpn connect

5. 测试验证 #

完成以上配置后，按顺序操作：

1. 重启WireGuard服务：wg-quick down wg0 && wg-quick up wg0
2. 连接NordVPN：nordvpn connect
3. 用WireGuard客户端连接服务器，测试：
   • 访问外网（比如8.8.8.8），看是否能通
   • 访问本地LAN设备（比如192.168.1.1），看是否能通

如果还是有问题，你可以把NordVPN开启后的ip rule show和ip route show table all输出贴出来，我再帮你细化排查。

备注：内容来源于stack exchange，提问作者Viktor