WireGuard 异地组网：把家里和公司连成一张网

异地组网的需求很常见：在外面访问家里 NAS、把分公司和总部连起来。

WireGuard 的配置极简，但没有 NAT 穿透能力，双方都在 NAT 后需要中转。

先说结论

有公网 IP 直接点对点，没有就上中转服务器。 密钥一机一密。

• AllowedIPs 决定路由，不只是权限
• PersistentKeepalive 保活 NAT 映射
• 没有公网 IP 时需要中继或打洞
• 每台设备独立密钥，便于吊销

先看清需求

WireGuard 是「内核态的加密隧道」，性能好、配置简单，但没有连接协商机制，所以 NAT 穿透要靠外部手段。

它的权限模型和路由是同一件事：AllowedIPs 既控制允许的源地址，也决定哪些流量走隧道。

怎么落地

按这个顺序做，能少买错东西：

• 在服务端生成密钥对，写 wg0.conf
• 为每台客户端生成独立密钥并分配 IP
• 配置 AllowedIPs：全流量或仅内网段
• 开启内核转发与 iptables NAT
• 无公网 IP 时用中继（如 Derp/Tailscale）

参数与取舍

把关键规格摆在一起对比：

几个容易踩的坑

下面这些是最常见的错误做法：

• AllowedIPs 写 0.0.0.0/0 却忘了 NAT：上不了网
• 所有设备共用密钥：泄露全失守
• 忘记开 IP 转发：隧道通但不通内网
• 不设保活：NAT 映射过期后断连

买之前想清楚

组网的关键是「路由想清楚」，加密只是基础。

硬件不是越强越好，是「刚好够用 + 留一点余量」最舒服。