基于Rocky Linux 9.5环境的企业VPN构建完整步骤，结合最新技术实践与安全策略

一、WireGuard服务端部署

1. ​安装核心组件

   bash

   sudo dnf install wireguard-tools -y  # [1](@ref)

   • 若需简化安装，可使用官方脚本：
     bash

     curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
     chmod +x wireguard-install.sh
     ./wireguard-install.sh  # [5](@ref)

2. ​生成密钥对

   bash

   sudo wg genkey | sudo tee /etc/wireguard/server_private.key | wg pubkey | sudo tee /etc/wireguard/server_public.key
   sudo chmod 600 /etc/wireguard/*.key  # [1](@ref)

3. ​配置主文件wg0.conf

   bash

   sudo vi /etc/wireguard/wg0.conf

   ini

   [Interface]
   PrivateKey = <server_private_key>
   Address = 10.255.255.1/24
   ListenPort = 51820
   PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

   • 替换<server_private_key>并修改eth0为实际网卡名。

4. ​启用IP转发与启动服务

   bash

   echo "net.ipv4.ip_forward=1" | sudo tee -a /etc/sysctl.conf
   sudo sysctl -p
   sudo systemctl enable wg-quick@wg0 && sudo systemctl start wg-quick@wg0  # [1](@ref)

​二、可视化管理系统部署

1. ​安装WireGuard-UI

   bash

   sudo mkdir -p /opt/wireguard-ui
   curl -L https://github.com/ngoduykhanh/wireguard-ui/releases/download/v0.6.2/wireguard-ui-v0.6.2-linux-amd64.tar.gz | sudo tar xz -C /opt/wireguard-ui

   • 若需简化部署，可使用Docker容器：
     bash

     docker run -d --name wireguard-ui -p 5000:5000 -v /etc/wireguard:/etc/wireguard ngoduykhanh/wireguard-ui  # [2](@ref)

2. ​配置WebUI

   bash

   sudo vi /opt/wireguard-ui/config.ini

   ini

   [wireguard]
   conf = /etc/wireguard/wg0.conf
   [webui]
   listen = :5000
   username = admin
   password = StrongPassw0rd!  # 需改为复杂密码

3. ​启动服务并设置权限

   bash

   sudo systemctl enable --now wireguard-ui  # [1](@ref)
   sudo chmod 755 /etc/wireguard && sudo chmod 644 /etc/wireguard/wg0.conf

​三、安全加固与运维

1. ​防火墙配置

   bash

   sudo firewall-cmd --permanent --add-port=51820/udp --add-port=5000/tcp
   sudo firewall-cmd --reload  # [1](@ref)

2. ​公网端口映射

   • 在云防火墙或硬件防火墙添加规则：
     • 允许UDP 51820入站（VPN隧道）
     • 允许TCP 5000入站（Web管理界面）

3. ​密钥轮换与日志监控

   • 每月执行：
     bash

     sudo wg genkey | sudo tee /etc/wireguard/new_server_private.key | wg pubkey | sudo tee /etc/wireguard/new_server_public.key
     sudo systemctl reload wg-quick@wg0  # [1](@ref)

   • 实时监控：
     bash

     journalctl -u wg-quick@wg0 -f

​四、客户端接入配置

1. ​生成客户端证书

   bash

   sudo wg genkey | sudo tee client1_private.key | sudo wg pubkey > client1_public.key

   • 将client1_public.key导入WebUI并创建用户。

2. ​分发配置文件

   bash

   sudo wg-quick export-client-config client1 /etc/wireguard/client1.conf

   • 客户端连接命令：
     bash

     sudo wg-quick up client1  # [7](@ref)

​关键优化建议

• ​性能调优：启用多队列加速（需10G+网卡）：
  bash

  sudo ethtool -L eth0 combined 8

• ​灾备方案：部署双活VPN网关，通过BGP Anycast实现自动故障切换。
• ​合规审计：定期导出访问日志至安全存储（如S3），满足GDPR等法规要求。

注：企业级部署建议配合堡垒机、WAF等形成纵深防御体系。测试阶段可使用tcpdump -i wg0 -n验证流量加密情况。