WireGuard通讯原理

一、前言

要看懂此文需要具备以下技术知识：

• 网络包路由原理
• NET技术原理
• 路由表
• Linux虚拟网络
• 对称加密和非对称加密

这些技术不需要深入，因为时间不够，其次因为只需要浅尝辄止上面知识就可以很好的学习wg。

二、wg整体网络架构

所有wg客户和wg后端端都预先设置了不同的虚拟IP，所有wg客户端通过UDP+wg协议与wg后端连接。

这样所有wg客户端+wg后端就组成了虚拟网络。wg客户端之间可以互相通讯。wg后端类似路由器的功能，根据数据包的目标地址转发数据包。

wg服务端转发的数据包的目标地址可以是虚拟ip地址，也可以是虚拟网络的外部ip地址：

• 虚拟IP：数据包被转发到虚拟网络里的wg客户端。
• 外网IP：数据包转发到外网IP，并回包。

特别说明一下，图里面的TUN虚拟网卡至关重要，它可以全局拦截IP包给wg客户端，也可以转发数据包给物理网卡。

(一) 说明

本图展示了如何通过 WireGuard (WG) 建立一个 跨地域的虚拟局域网（虚拟内网） ，同时通过一台中心服务节点实现所有客户端设备的内网互联 + 访问公网服务（如 Google、YouTube、ChatGPT 等）。

(二) 主要角色说明

1. 虚拟局域网终端节点（左下和左右）

• 代表：各个员工终端、远程设备、手机等。
• 组成结构：

• • 应用（浏览器、微信、游戏等）
  • TUN 虚拟网卡（提供虚拟 IP）
  • WG 客户端（10.0.0.X）
  • 物理网卡和路由表（走公网发送 UDP）

• 功能说明：

• • 每台设备通过 WG 客户端连接到 WG 后端。
  • 每台设备获得一个虚拟 IP（如 10.0.0.2 / 10.0.0.3 / ...）。
  • 不仅能与其他节点互通，还能通过后端 NAT 出口访问外网。

2. WG 后端服务节点（中间蓝色虚线框内）

• 作用：

• • 接收各客户端发来的加密 UDP 包。
  • 解密并通过自身路由决定去向：

• • • 发往其它虚拟客户端设备；
    • 或通过自身的物理出口访问公网服务器。

• 组成结构：

• • WG 后端程序（10.0.0.1）
  • TUN 虚拟网卡（内网转发）
  • 本地路由表
  • 出口物理网卡（用于 NAT 转发 TCP/UDP）
  • 可与公司内网通信（如上方所示）

3. 公司局域网节点（图上方灰色框）

• WG 后端服务也可以通过路由表与公司内部资源通信（如 ERP、数据库等）。
• 内网资源通过 WG 后端转发到虚拟网络中所有客户端。

4. 目标服务器（最右）

• 包括用户想访问的公网资源：

• • Google / YouTube / ChatGPT / GitHub / 面书（Facebook）等

• 这些流量将通过 WG 后端的物理网卡 NAT 出口发出，表现为来自一个统一公网 IP 的请求。