自架 WireGuard:最小可用設定與踩雷

WireGuard 的設定檔短到不可思議,一個 VPS 加一台筆電,十分鐘就能連起來。難的不是設定,是那幾個沉默失敗的坑。

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <server-private-key>

[Peer]
PublicKey = <client-public-key>
AllowedIPs = 10.0.0.2/32

在 server 與 client 各自產一組金鑰,把對方的公鑰填進自己的 [Peer]。

注意: 最常見的坑——伺服器沒打開 IP forwarding(net.ipv4.ip_forward=1),封包進得來出不去,連線看起來成功卻什麼都拿不到。

client 端 AllowedIPs 設 0.0.0.0/0 表示全部流量走 VPN;只想連內網就填內網網段。

跑起來後用 wg show 看 handshake 時間,有更新就代表雙向通了。剩下的就是把它做成開機自動連線。