能否通过iptables将WireGuard的物理UDP连接与隧道内TCP会话关联以自动放行出站流量？

这个问题戳中了很多WireGuard新手的盲区——我当初第一次锁死OUTPUT链时也犯了同样的错：以为放行隧道子网的流量就够了，结果发现WireGuard连不上，后来才反应过来：隧道内的IP包是走虚拟接口（比如wg0）的，但这些包最终会被封装成UDP包，通过物理接口发往peer的真实IP和端口，这部分UDP流量才是OUTPUT链需要单独处理的。

想要不用手动逐个添加peer的IP和端口，有两个靠谱的方法，我给你详细说下：

方法一：用WireGuard的FWMark+iptables标记匹配（推荐，兼容性好） #

这个思路是给所有要通过WireGuard发送的数据包打个标记，让iptables识别并自动放行对应的UDP封装包：

1. 先修改你的WireGuard配置文件（比如/etc/wireguard/wg0.conf），在[Interface]段加上FwMark配置：

   [Interface]
   PrivateKey = 你的私钥
   Address = 10.1.0.2/16
   FwMark = 0x100  # 这个值可以随便设，只要不跟你其他iptables标记冲突就行
   

   这样，所有需要通过WireGuard转发的数据包都会被打上0x100的标记，内核在封装成UDP包时会保留这个关联。

2. 然后在iptables里加两条规则：

   # 先放行所有已建立/相关的UDP流量——WireGuard的后续封装包会匹配这条
   iptables -A OUTPUT -p udp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
   
   # 放行带有WireGuard标记的流量对应的初始UDP连接
   iptables -A OUTPUT -p udp -m mark --mark 0x100 -j ACCEPT
   

   再加上你已经有的隧道子网规则：

   iptables -A OUTPUT -d 10.1.0.0/16 -j ACCEPT
   

   这样一来，只要隧道内的流量被允许，对应的UDP封装包就会自动被iptables放行，完全不用手动指定peer的IP和端口。

方法二：利用WireGuard的conntrack helper（依赖内核版本） #

如果你的Linux内核版本比较新（5.6及以上），内核自带了WireGuard的连接跟踪helper模块，可以自动识别WireGuard的UDP封装包，并关联到隧道内的连接。

1. 先加载这个模块：

   modprobe nf_conntrack_wireguard
   

   要是想开机自动加载，可以把nf_conntrack_wireguard加到/etc/modules-load.d/modules.conf里。

2. 然后只需要在iptables里加两条规则：

   # 放行已建立/相关的UDP流量，helper会自动识别WireGuard的封装包
   iptables -A OUTPUT -p udp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
   
   # 你原有的隧道子网规则
   iptables -A OUTPUT -d 10.1.0.0/16 -j ACCEPT
   

   这个方法更简洁，但缺点是依赖内核版本，老系统可能用不了。

注意事项 #

一定要注意iptables的规则顺序！RELATED,ESTABLISHED这条规则必须放在所有拒绝规则和新连接规则的前面，不然已建立的流量会被默认拒绝掉。

备注：内容来源于stack exchange，提问作者ron