网络运维

开场：告别内网穿透的“开盲盒”体验 在多设备办公和 HomeLab 运维中，远程访问内网资源一直是个痛点： frp / 端口映射：家宽没有公网 IP，或者公网 IP 隔三差五变动，还要针对每个端口配置穿透规则。 ZeroTier / Tailscale：虽然方便，但依赖第三方中央控制平面，国内网络偶发打洞失败或握手延迟飙升。 传统 OpenVPN / IPsec：配置繁琐、代码庞大，在笔记本睡眠唤醒或 Wi-Fi 切换后重连极慢。 WireGuard 的出现彻底解决了这些问题： 代码精简：仅约 4,000 行核心代码，直接集成进 Linux 内核，吞吐量接近线速。 现代密码学：基于 Noise 协议框架与 Curve25519、ChaCha20-Poly1305，没有臃肿的握手协商。 极简身份机制：每个节点一对公私钥，无状态（Stateless）UDP 通信，原生支持移动漫游（Roaming）。 本文将从零开始，手把手记录一套完整的 Ubuntu 云端中继 + 家庭设备 + macOS 终端极客接入 的生产级配置方案，并深度复盘在 macOS 上实现系统级 LaunchDaemon 开机常驻与事件驱动自愈重连的实战经验。 1. 架构设计与网络规划 WireGuard 在协议层没有严格的“客户端”与“服务端”之分，所有节点都是平等的 Peer。但在实际拓扑中，我们通常将拥有固定公网 IP 的云服务器作为汇聚与中继节点。 拓扑规划 ┌───────────────────────────────┐ │ Ubuntu 云服务器 (Node A) │ │ 公网 IP: 198.51.100.1 │ │ 虚拟 IP: 10.100.0.1/24 │ └──────────────┬────────────────┘ │ WireGuard UDP :51820 ┌────────────┴────────────┐ │ │ ┌────────┴────────┐ ┌────────┴────────┐ │ 家庭 NAS / PC │ │ MacBook 笔记本 │ │ (Node B) │ │ (Node C) │ │ 虚拟 IP: │ │ 虚拟 IP: │ │ 10.100.0.2/24 │ │ 10.100.0.3/24 │ └─────────────────┘ └─────────────────┘ 节点分配表 节点 角色 真实网络 虚拟 IP (wg0) 监听端口 / 对端 Node A 云端中继网关 拥有固定公网 IP 10.100.0.1/24 监听 51820 (UDP) Node B 家庭服务器（Ubuntu 24 Server） 家庭宽带内网 (NAT) 10.100.0.2/24 对端指向 Node A Node C macOS 办公本 移动办公 / Wi-Fi (NAT) 10.100.0.3/24 对端指向 Node A 网段选择提示：虚拟子网建议使用 10.100.0.0/24 等不常用网段，避免与家庭路由器默认的 192.168.1.0/24 发生网段冲突。 ...