WireGuard + 代理

将 WireGuard 与代理服务器结合，可以让用户把加密的 VPN 隧道流量再经过一层中间节点转发，从而提升隐私性、绕过地理限制或实施特定的网络策略。这种配置构成了分层的网络架构：WireGuard 提供安全、低延迟的隧道，代理服务器则负责互联网流量的最后一跳。

理解 WireGuard 与代理服务器

WireGuard 是一种现代高性能 VPN 协议，设计上追求简洁和强加密。它在客户端与服务器之间建立安全的加密隧道，并将客户端的全部网络流量经由该隧道转发。WireGuard 的主要作用是保护数据传输，并且通常用 VPN 服务器的 IP 掩盖客户端的真实来源 IP。

代理服务器充当客户端访问其他服务器资源时的中间人。客户端不直接连接目标服务器（例如某个网站），而是连接代理服务器，再由代理转发请求。代理可用于多种用途，包括缓存、访问控制、日志记录以及改变对外呈现的来源 IP 地址。常见类型包括 HTTP 代理（用于网页流量）和 SOCKS 代理（用于多种协议）。与 VPN 不同，代理通常工作在应用层，除非专门配置（例如 HTTPS 代理），否则可能不会加密客户端与代理之间的流量。

将这两种技术结合，可以形成这样的架构：WireGuard 隧道保障到中间服务器的连接安全，而该服务器上的代理（或可通过隧道访问的独立代理服务器）负责处理后续的互联网请求。

常见的组合架构

WireGuard 与代理的集成通常遵循两种主要架构之一，取决于代理服务相对于 WireGuard 服务器的位置。

客户端 -> WireGuard VPN -> 远程代理

在该架构中，客户端与 WireGuard VPN 服务器建立 WireGuard 隧道。客户端产生的流量由 WireGuard 加密并发送到 VPN 服务器。流量在 VPN 服务器上离开 WireGuard 隧道后，会被路由到一台独立的远程代理服务器。该远程代理服务器再将流量转发到最终的互联网目的地。

使用场景：用户需要 WireGuard 提供到特定地理区域的安全性与性能，但希望使用位于其他地区或由其他供应商运营的代理服务器作为最终出口点，从而进一步分散网络路径和 IP 地址。

客户端 -> WireGuard VPN 服务器（自带本地代理）

这是一种常见且通常更简单的架构。客户端连接到 WireGuard VPN 服务器，该 WireGuard 服务器本身运行代理服务（例如 SOCKS5 或 HTTP/HTTPS）。所有在服务器上离开 WireGuard 隧道的客户端流量，都会先经过这个本地代理再进入互联网。

使用场景：为多个 VPN 客户端集中提供代理访问，在 VPN 服务器的出口点实现特定的过滤或日志记录，或者通过让代理保持透明来简化客户端配置。

配置 WireGuard 与代理

配置方式因所选架构和代理类型而异。

客户端侧代理配置（适用于 客户端 -> WireGuard -> 远程代理）

在这种场景下，WireGuard 客户端照常配置为连接 WireGuard VPN 服务器。WireGuard 隧道建立之后，客户端上的应用程序（例如浏览器、特定软件）再单独配置为使用远程代理服务器。WireGuard 隧道确保从客户端到远程代理的连接是加密的。

# WireGuard 客户端配置示例（wg0.conf）
[Interface]
PrivateKey = <Client_Private_Key>
Address = 10.0.0.2/32 # 客户端在 VPN 隧道内的 IP
DNS = 8.8.8.8

[Peer]
PublicKey = <Server_Public_Key>
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0 # 将全部流量经 VPN 路由
PersistentKeepalive = 25

WireGuard 隧道生效后，客户端应用可按如下方式配置：

# 浏览器 SOCKS5 代理配置示例
SOCKS Host: proxy.remote-provider.com
Port: 1080
SOCKS v5

服务器侧代理配置（WireGuard 服务器作为代理网关）

这种配置需要直接在 WireGuard VPN 服务器上部署代理服务。WireGuard 客户端连接到该服务器，其流量随后由本地代理处理。

SOCKS5 代理（例如 Dante Server）

Dante 是常用的 SOCKS 代理服务器。可以在 WireGuard 服务器上配置它，用于接受 WireGuard 客户端的连接并转发到互联网。

WireGuard 服务器配置：

1. 安装 Dante：
   bash sudo apt update sudo apt install dante-server

2. 配置 Dante（/etc/danted.conf）：
   确保 Dante 监听在 WireGuard 客户端可访问的接口上（例如 wg0，或服务器的公网接口，取决于你希望如何路由内部代理流量）。

   ```ini
   logoutput: stderr

   internal: wg0 port=1080 # 在 WireGuard 接口上监听客户端

   internal: eth0 port=1080 # 在外部接口监听，客户端通过 VPN 访问
   external: eth0 # 通往互联网的出口接口

   clientmethod: none
   socksmethod: username none # 若不需要对 VPN 客户端做认证，可用 'none'

   user.privileged: root
   user.unprivileged: nobody

   允许来自 WireGuard 子网的连接

   client pass {
   from: 10.0.0.0/24 to: 0.0.0.0/0
   # 将 10.0.0.0/24 替换为你的 WireGuard 子网
   }
   socks pass {
   from: 0.0.0.0/0 to: 0.0.0.0/0
   }
   3. **启用并启动 Dante：**bash
   sudo systemctl enable danted
   sudo systemctl start danted
   4. **在 WireGuard 服务器上开启 IP 转发：**bash
   echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
   sudo sysctl -p
   5. **在 WireGuard 服务器上配置 `iptables`**，允许 WireGuard 客户端的流量到达 Dante 代理。bash

   假设 WireGuard 接口为 wg0，Dante 监听在 10.0.0.1:1080（WireGuard 服务器 IP）

   sudo iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o wg0 -j ACCEPT
   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
   ```

客户端侧配置：
WireGuard 客户端连接到 VPN 服务器。随后，将客户端上的应用程序配置为使用 WireGuard 服务器的内网 VPN IP 地址（例如 10.0.0.1）作为 SOCKS5 代理。

# 客户端应用的 SOCKS5 代理配置示例
SOCKS Host: 10.0.0.1
Port: 1080
SOCKS v5

HTTP/HTTPS 代理（例如 Squid）

Squid 是一款具备缓存和转发能力的 HTTP 网页代理。

WireGuard 服务器配置：

1. 安装 Squid：
   bash sudo apt update sudo apt install squid

2. 配置 Squid（/etc/squid/squid.conf）：
   ```apacheconf
   # 监听默认的 HTTP 端口
   http_port 3128

   为 WireGuard 客户端定义访问控制列表（ACL）

   acl wireguard_clients src 10.0.0.0/24 # 替换为你的 WireGuard 子网

   允许 WireGuard 客户端的 HTTP 访问

   http_access allow wireguard_clients
   http_access deny all # 拒绝其他所有访问
   3. **启用并启动 Squid：**bash
   sudo systemctl enable squid
   sudo systemctl start squid
   `` 4. **确保按照 Dante 部分所述设置好 IP 转发和iptables` 规则**，使 WireGuard 流量能够访问互联网。

客户端侧配置：
将客户端上的应用程序配置为使用 WireGuard 服务器的内网 VPN IP 地址（e.0.0.1）作为 HTTP 代理。

# 客户端应用的 HTTP 代理配置示例
HTTP Proxy Host: 10.0.0.1
HTTP Proxy Port: 3128

使用 iptables 的透明代理

透明代理无需在客户端显式配置代理即可重定向特定流量。通常的做法是在 WireGuard 服务器上使用 iptables 规则，把发往标准 HTTP/HTTPS 端口（或其他端口）的流量重定向到本地代理服务（例如透明模式的 Squid 或 Dante，或用于 SOCKS 的 redsocks）。

WireGuard 服务器配置：

1. 安装并配置本地代理（例如配置为透明代理的 Squid，或用于 SOCKS5 的 redsocks）。
   • 对于 Squid 透明模式，使用 http_port 3128 intercept。
   • 对于 redsocks，将其配置为监听 127.0.0.1:12345（示例端口），并在需要时转发到远程 SOCKS5 代理。
2. 开启 IP 转发：
   bash echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward sudo sysctl -p

3. 配置 iptables 规则：
   这些规则将来自 wg0 接口的入站流量重定向到本地代理。
   ```bash
   # 假设 WireGuard 接口为 wg0，本地透明代理监听在 127.0.0.1:3128（用于 HTTP）
   # 将 WireGuard 客户端的 HTTP 流量重定向到本地代理
   sudo iptables -t nat -A PREROUTING -i wg0 -p tcp --dport 80 -j REDIRECT --to-port 3128

   对于 HTTPS（443 端口），真正的 SSL/TLS 透明代理需要 SSL 拦截，

   这涉及证书操作，已超出简单流量重定向的范畴。

   若只做基本转发，通常更好的做法是仅重定向 SOCKS 或特定的非 SSL 端口。

   如果使用 redsocks 实现透明 SOCKS5：

   sudo iptables -t nat -A PREROUTING -i wg0 -p tcp -j REDIRECT --to-port 12345 # redsocks 监听端口

   如果 WireGuard 服务器同时是网关，确保配置 NAT 的 POSTROUTING

   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

   允许从 wg0 转发到 eth0

   sudo iptables -A FORWARD -i wg0 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o wg0 -j ACCEPT
   ```

客户端侧配置：
客户端无需任何专门的代理配置，因为 WireGuard 服务器上的 iptables 规则会透明地重定向流量。客户端只需连接到 WireGuard VPN 即可。

使用场景与优势

• 更强的隐私与匿名性：分层方案提供了额外的一跳和 IP 地址混淆。WireGuard 隧道保护到 VPN 服务器的流量，代理则提供不同的出口 IP。
• 精细的地理解锁：用 VPN 实现总体的安全访问，再为需要其他地理位置 IP 的服务单独配置应用使用代理，从而更有效地绕过特定地区的内容封锁。
• 策略执行与过滤：WireGuard 网关上的代理服务器可以执行内容过滤、拦截恶意站点或记录客户端的访问尝试，实现对出站流量的集中管控。
• 绕过网络限制：这种组合有时能绕过单独封锁 VPN 或代理的网络限制。例如，如果某网络封锁了直连代理，把这些连接经 WireGuard 转发即可规避。
• 流量管理：根据 WireGuard 服务器上定义的规则，将不同类型的流量分配给不同的代理，实现对网络流向的精细控制。

性能与安全注意事项

• 性能开销：引入额外的代理层会带来性能开销，包括代理的额外处理、可能增加的网络跳数以及更高的延迟。流量先由 WireGuard 加密，在 VPN 服务器上解密，再由代理处理后发出。
• 安全影响：虽然 WireGuard 加密了从客户端到 VPN 服务器的隧道，但代理服务器本身成为关键的信任点。如果代理是处理非 HTTPS 流量的 HTTP 代理，它可以查看未加密的数据。即便使用 HTTPS，元数据和连接细节对代理仍然可见。一旦代理服务器被攻陷，就可能记录或篡改流量。安全模型取决于 WireGuard 服务器和代理服务器双方的可信度。
• 复杂度：该方案增加了配置复杂度和排障成本。每个组件（WireGuard 客户端、WireGuard 服务器、代理服务器、iptables）都必须正确配置，系统才能按预期运行。

对比：仅 WireGuard、仅代理与二者组合