这篇文章探讨了在家自建服务器时使用WireGuard的几种网络拓扑方案，包括同一物理网络内点对点连接、解决移动目标问题、外部访问连接以及添加远程节点等方法，并分析了相关约束条件和技术资源。

家庭自建网络中的WireGuard拓扑方案

核心内容概述

本文详细探讨了如何在家用网络环境中部署WireGuard VPN，以实现安全的自建服务托管。作者通过迁移VPS服务到本地物理服务器的实际案例，逐步分析了多种WireGuard拓扑结构的优缺点。

关键设计约束

1. 核心原则

   • 本地网络独立性：确保家庭网络断电或硬件故障时，基础服务仍可通过局域网访问
   • 零信任架构：所有设备通信需加密，实施最小权限原则
   • 外部访问可选性：外网连接功能不得影响核心设计，避免依赖第三方隧道服务

2. 技术选择

   • 原生WireGuard优先：拒绝Tailscale等封装方案以保持简洁性
   • 无控制平面：所有节点独立管理，拒绝集中式管控方案

拓扑结构演进

1. 点对点模式

   • 初始方案：每个设备直接配置其他设备的连接（如图1）
   • 痛点：动态IP导致连接不稳定，需在路由器设置静态IP绑定

2. 星型拓扑（含远程节点）

   • 引入VPS作为枢纽：解决CGNAT导致的外网访问难题（如图2）
   • 数据包转发机制：VPS通过NAT中转笔记本与家庭服务器的通信

3. 双枢纽架构

   • 家庭路由器升级为枢纽：替代服务器承担内部流量路由（如图4）
   • 优势：降低单点故障风险，简化DHCP配置
   • 妥协方案：外部设备仅能发起单向连接（如外网笔记本可同步台式机，反之不行）

最终设计方案

• 分层网络结构（如图5）：
  1. 家庭网络划分多个VLAN隔离流量
  2. 路由器作为WireGuard枢纽连接所有设备
  3. VPS作为外网接入枢纽与家庭路由器对等连接

• 配置示例： ```ini [Interface] Address = 10.55.2.11/32 PrivateKey = xxxx

  [Peer] # 路由器枢纽 PublicKey = xxxx AllowedIPs = 10.55.2.0/24 Endpoint = 10.2.0.1:48192 ```

实践经验

• 稳定性：该方案经数月验证表现可靠
• 管理建议：
  • 路由器部署WireGuard可大幅简化配置
  • 需熟悉网络基础知识以应对调试问题
  • 防火墙规则需在枢纽节点集中管理

延伸思考

作者指出未来可探讨DNS集成方案（类似其Tailscale定制域名方案），并强调虽然Tailscale等工具更便捷，但原生WireGuard提供了更深层的控制理解和学习价值。

（注：文中所有图示引用自原文配图，此处以文字描述替代）

以下是评论内容的总结：

1. WireGuard的替代方案推荐

   • 推荐使用OpenVPN，因其配置灵活，支持动态更新（评论1："It’s so nice to edit openvpn configuration... pick up new options"）
   • 推荐Tailscale（基于WireGuard但更易部署）（评论3："It's Wireguard in essence but much easier"；评论11："I used to have manual WG but this is way easier"）

2. WireGuard的安全隐患

   • 远程VPS可能解密数据包，存在隐私风险（评论2："the remote VPS can see the plaintext of all those packets"）
   • 建议通过TLS或双层WireGuard加密（评论2："layer TLS or... run Wireguard over Wireguard"）

3. 其他网络工具推荐

   • Yggdrasil：去中心化网络方案（评论4："setup Yggdrasil by installing it on each machine"）
   • Nebula：比WireGuard更适合重要场景（评论10："anything important I use Nebula"）

4. WireGuard的实用优化

   • 点对点连接+BGP路由实现全网互通（评论6："added routing layer via BGP"）
   • 多接口隔离流量（评论9："a separate wg interface for every peer node"）
   • 使用socat中继绕过NAT限制（评论7："relayed via socat... with no need to trust the vps"）

5. WireGuard的局限性

   • 机场WiFi等环境无法使用（评论8："completely unusable on airport wifi"）
   • 需支持80/443端口（评论8："need is any sort of gateway which works over port 80 or 443"）

6. 管理工具对比

   • Tailscale免费版适合个人但可能难扩展（评论12："ample free tier... doubts about its capacity to scale"）
   • 自动化配置提升效率（评论5："wiring up my endpoints via Puppet was super smooth"）