实战教程：使用 Docker 五分钟搭建高性能异地组网 (WireGuard Easy)

这是一篇完整的、基于最新版本的技术博客文章，旨在帮助开发者快速、正确地搭建异地组网环境。

---

前言

对于拥有公网服务器的开发者来说，搭建一个私有 VPN 实现异地组网是常见需求。相比于 OpenVPN 的臃肿和传统 VPN 的配置繁琐，WireGuard 以其内核级的高性能和极简的配置协议成为了首选。

然而，手动配置 WireGuard 依然有一定的门槛。于是，WG-Easy 应运而生。它不仅封装了 WireGuard 的复杂性，还提供了一个直观的 Web 管理界面，让你只需一条 Docker 命令就能完成部署。

本文将基于 WG-Easy 的最新版本，详细介绍如何正确配置安全密码并部署服务端，实现手机、电脑随时随地互联。

一、 环境准备

在开始之前，请确保你具备以下条件：

1. 一台公网服务器：任意 Linux 发行版（推荐 Ubuntu 20.04+），配置无需太高，1核1G即可流畅运行。

2. Docker 环境 ：服务器需预先安装 Docker。

   # 如果未安装 Docker，可使用官方脚本一键安装
   curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun

3. 开放端口 ：确保云服务商的安全组放行了以下端口：

   • 51820/UDP：WireGuard 通信端口（核心端口）。
   • 51821/TCP：Web 管理面板端口。

二、 核心步骤：部署 WG-Easy

最新版本的 WG-Easy 强制要求使用加密后的哈希值作为管理密码，而非明文。这是保障安全的重要举措，但也增加了部署的一个小环节。

步骤 1：生成密码哈希值

我们使用官方镜像内置的工具来生成符合 bcrypt 标准的哈希值。

在服务器终端执行以下命令（将 YOUR_PASSWORD 替换为你想要设置的密码）：

docker run --rm -it ghcr.io/wg-easy/wg-easy wgpw YOUR_PASSWORD

执行后，终端会输出类似以下内容：

PASSWORD_HASH='$2b$12$coPqCsPtcFO.Ab99xylBNOW4.Iu7OOA2/ZIboHN6/oyxca3MWo7fW'

⚠️ 注意事项：

• 请复制 PASSWORD_HASH= 后面单引号内 的所有内容（包括 $2b$... 开头）。
• 为了避免 Shell 解析特殊字符导致的问题，建议先使用简单的密码（如 Admin123）测试，跑通流程后再在 Web 面板中修改。

步骤 2：启动 Docker 容器

获取到哈希值后，我们使用 docker run 命令启动服务。

请务必注意：在环境变量 PASSWORD_HASH 中，必须使用单引号 ' 包裹哈希值，防止 Shell 错误解析 $ 符号。

docker run -d \
  --name wg-easy \
  -e WG_HOST=<你的服务器公网IP> \
  -e PASSWORD_HASH='<刚才生成的哈希值>' \
  -e WG_DEFAULT_ADDRESS=10.0.8.x \
  -e WG_DEFAULT_DNS=223.5.5.5 \
  -e WG_ALLOWED_IPS=10.0.8.0/24 \
  -e WG_PERSISTENT_KEEPALIVE=25 \
  -v ~/.wg-easy:/etc/wireguard \
  -p 51820:51820/udp \
  -p 51821:51821/tcp \
  --cap-add=NET_ADMIN \
  --sysctl net.ipv4.conf.all.src_valid_mark=1 \
  --restart unless-stopped \
  ghcr.io/wg-easy/wg-easy

关键参数解析：

• WG_HOST：填入你服务器的公网 IP，客户端生成配置时会自动填入该地址。
• PASSWORD_HASH ：填入步骤 1 生成的哈希字符串。必须用单引号包裹，这是解决"密码正确却无法登录"问题的关键。
• WG_DEFAULT_ADDRESS ：虚拟局域网的 IP 段，默认 10.0.8.x，客户端接入后会获得该网段 IP。
• WG_ALLOWED_IPS ：流量转发规则。设置为 10.0.8.0/24 意味着只有访问虚拟局域网设备的流量才走 VPN，其他流量（如浏览网页）依然走本地网络，实现"分流"，避免拖慢日常网速。
• WG_PERSISTENT_KEEPALIVE=25：心跳包间隔。对于位于 NAT 后的客户端，保持连接稳定非常重要。

三、 验证与客户端连接

1. 检查服务状态

执行 docker ps 查看容器状态。如果状态为 Up 且没有频繁重启，说明部署成功。

如果状态异常，可使用 docker logs wg-easy 查看日志排查。

2. 访问管理面板

在浏览器地址栏输入：http://<你的服务器IP>:51821

输入你设置的明文密码（即步骤 1 中的 YOUR_PASSWORD），即可进入管理界面。

3. 连接客户端

1. 创建配置 ：在 Web 面板点击 "New Client"，输入备注名称（如 "我的笔记本"），点击 Create。
2. 获取配置 ：
   • 手机端：下载官方 WireGuard App，点击 "+" 号，选择扫描二维码，扫描面板上的二维码即可。
   • 电脑端 ：点击面板上的下载图标，获取 .conf 文件，导入到 WireGuard 客户端中。
3. 激活连接：在客户端点击 "Activate" 开启连接。

四、 测试连通性

假设你的手机和电脑都接入了该网络：

1. 在 Web 面板查看手机分配到的虚拟 IP（例如 10.0.8.2）。
2. 在电脑终端执行 Ping 命令：ping 10.0.8.2。
3. 如果收到回复，说明异地组网搭建成功，两台设备已经像在同一个局域网内一样了。

五、 常见问题总结

在实际部署中，最容易遇到的两个问题是：

1. 密码错误无法登录：

   • 原因 ：Shell 环境将哈希值中的 $ 符号识别为了变量引用。
   • 解决 ：在 docker run 命令中，PASSWORD_HASH 的值务必使用单引号 '...' 包裹。

2. 客户端连接后无网络或无法 Ping 通：

   • 原因：防火墙拦截了 UDP 流量。
   • 解决 ：务必在云服务商控制台的安全组中，放行 UDP 协议 的 51820 端口。

结语

通过 WG-Easy，我们仅用了几分钟就搭建起了一个企业级的异地组网环境。相比传统的 VPN 方案，WireGuard 不仅配置更简单，而且在低配服务器上也能跑出千兆带宽的性能。无论是用于远程办公、家庭影音库访问，还是设备互联，这都是极具性价比的解决方案。