WireGuard on OpenWrt+IPv6 组网

之前在路由器上使用 Zerotier 组网，效果还是不错的。但是两台路由器都是通过打洞连接的，效果可能并不是特别稳定。恰好我的两台路由器都是有 IPv6 地址的，那么何不试试使用 IPv6 地址直连的方式来进行组网呢？

安装 WireGuard 依赖

在两台路由器上均安装相关的依赖，只需要安装 luci-i18n-wireguard-zh-cn 系统即可自动将所有依赖安装完毕，完成之后必须要重启路由器。

opkg update
opkg install luci-i18n-wireguard-zh-cn

重新登录路由器管理页面，就可以在状态 – WireGuard 中看到 WireGuard 连接的状态。

配置 WireGuard 接口

若使用 N 台路由器互相连接，则需要在每台路由器上设置 N-1 个对端，这样可以确保任意两台路由器之间能互相连接。此处假设使用两台路由器来配置互相连接，每台路由器上均需要设置一个对端。

路由器 A 的网段为 192.168.1.0/24，路由器 B 的网段为 192.168.2.0/24，我们选择为 WireGuard 网络设置网段 172.16.0.0/16，路由器 A 在 WireGuard 网络中的地址为 172.16.1.1，路由器 B 在 WireGuard 网络中的地址为 172.16.2.1。

路由器 A

进入网络 – 接口页面中，添加新的接口，接口名称填入 wg，协议需要选择 WireGuard VPN。

在常规设置中，点击生成密钥按钮，私钥栏中会自动生成内容，监听端口填写 12000，IP 地址填入 172.16.1.1/16，注意此处最好是带上网段。

在高级设置中，MTU 填入 1280，此处如果填大了会让两端连接速度变慢。

在防火墙设置中，新建一个 vpn 区域。

保存并应用，创建端口。

在状态 – WireGuard 中可以看到路由器 A 的公钥，复制下来，等下要填入路由器 B 的对端设置中。

回到网络 – 接口中，编辑 wg 接口，在对端中，添加一个对端，描述可以写 OpenWrt2，公钥中填入路由器 B 的公钥（参考本文后面路由器 B 的设置获得公钥），允许的 IP 中填入 172.16.2.1/32 和 192.168.2.0/24，勾选路由允许的 IP，端点主机填入对端路由器的公网地址，端点端口填入对端路由器的端口 12000，持续 Keep-Alive 中可以填入自己喜欢的大小，如 15，保存并应用所有设置。

进入网络 – 防火墙 – 常规设置 – 区域中，编辑 lan 区域，将允许转发到目标区域勾选上 vpn 区域，将允许来自源区域的转发也勾选上 vpn 区域，保存；将 vpn 区域的转发改为接受，保存并应用设置。

在网络 – 防火墙 – 通信规则页面中，新增一项规则。
在常规设置中，名称填写 Allow-WireGuard，协议保持默认 TCP+UDP 即可，源区域选择 wan，目标区域选择设备（输入），目标端口调入 WireGuard 监听端口 12000，操作选择接受，保存防火墙设置。

回到网络 – 接口页面中，重启 wg 接口。

路由器 B

进入网络 – 接口页面中，添加新的接口，接口名称填入 wg，协议需要选择 WireGuard VPN。

在常规设置中，点击生成密钥按钮，私钥栏中会自动生成内容，监听端口填写 12000，IP 地址填入 172.16.2.1/16，注意此处最好是带上网段。

在高级设置中，MTU 填入 1280，此处如果填大了会让两端连接速度变慢。

在防火墙设置中，新建一个 vpn 区域。

保存并应用，创建端口。

在状态 – WireGuard 中可以看到路由器 B 的公钥，复制下来，等下要填入路由器 A 的对端设置中。

回到网络 – 接口中，编辑 wg 接口，在对端中，添加一个对端，描述可以写 OpenWrt1，公钥中填入路由器 A 的公钥（参考本文前面路由器 A 的设置获得公钥），允许的 IP 中填入 172.16.1.1/32 和 192.168.1.0/24，勾选路由允许的 IP，端点主机填入对端路由器的公网地址，端点端口填入对端路由器的端口 12000，持续 Keep-Alive 中可以填入自己喜欢的大小，如 15，保存并应用所有设置。

回到网络 – 接口页面中，重启 wg 接口。

完成

此时，稍等片刻，在两台路由器的状态 – WireGuard 中即可看到另外一台路由器的连接信息。

此时两端路由器下的设备就都可以访问另一端路由器下的设备了，就像是在同一个局域网中。

如果需要更省心的操作，可以选择参考以下内容。

配合 DDNS 使用

当其中一个路由器重新连接网络之后，公网地址可能会发生变化，此时可能会无法连接 WireGuard，不过我们可以配合 DDNS 使用。
两台路由器均配置好 DDNS 之后，可以在 WireGuard 的对端配置中将端点主机的地址由 IP 地址更换为域名。
DDNS 配置好之后，这样即使路由器更换了 IP 地址也可以重新连接上。

配合 IPv6 使用

WireGuard 可完美兼容 IPv6 使用，只需要 DDNS 的域名只有 IPv6 地址记录即可，在这种情况下，WireGuard 就使用 IPv6 与其他路由器连接。只需将上文图中 172.27.0.0/16 的地址替换为 DDNS 域名即可。

IPv6 DDNS 的配置可以参考另一篇文章：OpenWrt IPv6 DDNS

配合 WatchCat 使用

当出现问题无法连通对端路由器的时候，如果有自动化的操作可以直接重启接口，就很方便了，省去手动重启操作。

opkg update
opkg install watchcat luci-app-watchcat luci-i18n-watchcat-zh-cn

在服务 – WatchCat 页面中，增加一项配置，模式选择“重启接口”（有些固件可能会翻译为“重启实例”），周期可以设置为 1m，在路由器 A 上安装的 WatchCat 就填写路由器 B 的地址 192.168.2.1，在路由器 B 上安装的 WatchCat 就填写路由器 A 的地址 192.168.1.1，检查间隔填写 10s，接口的话就选择 wg，其余保持不动，保存应用所有设置。

这样，在路由器发现无法 ping 通对端路由器 1 分钟之后将会自动重启 wg 接口，保证两台路由器之间持续连接。