写在前面

接上一个帖子（[https://www.v2ex.com/t/1073068]），请教了大家如何减少暴漏 NAS 的端口，建议比较多的是使用 WireGuard ，遂尝试部署了下，踩了好多坑，终于调通，跟大家分享一下经历

我的设备情况：

NAS：群晖 1821+ ，DSM 7.2.1-69057 Update 5 ，内网 IP 是 192.168.1.2； WireGuard 服务端：wg-easy/wg-easy v14.0.0 ； 手机：iPhone 15 ，iOS 17.6 (21G80)； WireGuard 客户端：Loon 3.2.2 (749)； 有动态公网 IPv4 地址，有一个域名 example.com，通过 DDNS 把公网 IPv4 地址绑定到云服务商，NAS 上安装了泛域名证书。

在这个实例中，域名、端口号、密码等均为虚构，请根据你的需要修改。

一、在 NAS 安装部署 WireGuard

1. 解决内核版本过低问题

WireGuard 要求 Linux 内核版本高于 5.6 ，但是群晖不满足这个要求，在 NAS 终端执行 uname -r 后看到 4.4.302+

办法是安装第三方套件源，套件中心 → 设置 → 添加： https://spk7.imnks.com/

进入社群，搜索 WireGuard 下载，在 NAS 终端执行 sudo sed -i 's/package/root/g' /var/packages/WireGuard/conf/privilege 修复权限问题。

2. 通过 Container Manager 构建 WireGuardEasy

2.1. 新建目录 docker/WireGuardEasy，docker/WireGuardEasy/config； 2.2. 新建 compose.yml 文件，上传到 docker/WireGuardEasy，内容如下：

services:
  wg-easy:
    environment:
      - LANG=chs
      - WG_HOST=example.com		# NAS 的域名
      - PASSWORD_HASH=$$2y$$10$$hBCoykrB95WSzuV4fafBzOHWKu9sbyVa34GJr8VV5R/pIelfEMYyG		# 哈希后的密码，下面有介绍怎么生成
      - PORT=51821		# WireGuardEasy 的后台管理端口，TCP 协议的
      - WG_PORT=51820		#WireGuardEasy 的连接端口，UDP 协议的，需要映射暴露到外网。
      - WG_DEFAULT_ADDRESS=10.0.0.1
      - WG_ALLOWED_IPS=10.0.0.0/24,192.168.1.0/24
      - WG_PERSISTENT_KEEPALIVE=25
      - UI_TRAFFIC_STATS=true
      - MAX_AGE=30
      - UI_ENABLE_SORT_CLIENTS=true

    image: ghcr.io/wg-easy/wg-easy
    container_name: wg-easy
    volumes:
      - /volume1/docker/WireGuardEasy/config:/etc/wireguard
    ports:
      - "51820:51820/udp"
      - "51821:51821/tcp"
    restart: unless-stopped
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
      
    network_mode: "bridge"

2.2. 用 Container Manager 构建项目； 2.3. 修改后台密码：在 NAS 终端执行 docker run -it ghcr.io/wg-easy/wg-easy wgpw YOUR_PASSWORD，得到 PASSWORD_HASH='$2a$12$ptdssPxwS2vKlXCPcYP3juENfkuhJPGamBQM7utsUJ8Gv7LP8tjm6' 将单引号去除，在每一个 $ 前再添加一个 $，加工成 $$2a$$12$$ptdssPxwS2vKlXCPcYP3juENfkuhJPGamBQM7utsUJ8Gv7LP8tjm6 填入 compose.yml 文件的环境变量 PASSWORD_HASH 中，清除项目，再构建项目。

3. 对后台管理界面配置反向代理

因为本人有强迫症，不喜欢浏览器提示 HTTP 不安全，所以都会给后台管理界面套一个 HTTPS 反代，通过域名访问，消除安全警告。

• 描述：WireGuardEasy
• 来源协议：HTTPS
• 来源主机名：wg.example.com
• 来源端口：443
• 启用 HSTS
• 目的地协议：HTTP
• 目的地主机名：localhost
• 目的地端口：51821
• 如果设置了访问控制文件，且允许远程登后台的话，需要放行 172.16.0.0/12，这是因为容器的网络模式为 bridge，10.0.0.0/24 出容器后地址会被 NAT 成 172.16.0.0/12 ，本质上是容器在访问 NAS 的资源。

4. 配置防火墙

网关路由器设置 UDP 51820 端口转发至群晖，群晖防火墙放行 UDP 51820 端口，群晖防火墙无需再对 10.0.0.0/24，172.16.0.0/12 的来源地址放行，因为容器已经在防火墙之后了。

5. 后台管理

5.1. 访问 https://wg.example.com，密码 YOUR_PASSWORD ，进入管理后台； 5.2. 新建客户端，重要！！把 IP 改为 10.0.0.2，不得占用 10.0.0.1 ； 5.3. 显示二维码，让手机扫码。

二、在手机连接 WireGuard

我使用的是 Loon ，这是一款功能强大的网络代理工具，通过策略组、分流规则、Wi-Fi 规则可以实现内外网自动切换，日常使用基本无感。

1. 添加本地节点

用 Loon 添加本地节点，扫码添加，名称为 NAS_WireGuard，删除默认添加的 1.1.1.1 DNS 。

2. 设置 DNS 映射

因为本人有强迫症，不喜欢浏览器提示 HTTP 不安全，所以一律通过域名访问内网资源，消除安全警告，所以就需要配置本地 DNS ，这里使用 Loon 的 DNS 映射功能。

DNS 映射规则有顺序，从上到下匹配，要确保 ssid 那条在最顶。

ssid:ChinaNet-Home = server:192.168.1.1		# 当手机连入家里的 Wi-Fi：ChinaNet-Home 时，将 DNS 服务器设为路由器的 IP ，由路由器负责把 `example.com` 解析到 NAS 的内网 IP
critical-service.example.com = 192.168.1.2			# 将 critical-service 服务的主机名指向 NAS 的内网 IP
wg.example.com = 192.168.1.2			## 将 WireGuard 管理后台的主机名指向 NAS 的内网 IP

第一条映射规则的作用是，当手机在家时，把 NAS 的域名解析到内网 IP ； 后面的规则作用是，当手机不在家时，将几个关键服务的主机名解析到内网 IP ，配合 WireGuard 隧道访问； 当手机不在家时，非关键服务的主机名还是通过云服务商解析，通过传统的 DDNS 访问，不走隧道。

3. 添加策略组

服务器 = ssid,default=NAS_WireGuard,cellular=NAS_WireGuard,"ChinaNet-Home"=DIRECT,url = http://www.gstatic.com/generate_204

添加一个名为 服务器 的策略组。当手机连入家里的 Wi-Fi：ChinaNet-Home 时，访问 NAS 一律直连，当手机用其他 Wi-Fi 或蜂窝网络时，就走本地节点 NAS_WireGuard，隧道访问，url 是测延迟的链接。

4. 设置分流规则

AND,((OR,((DEST-PORT,1234),(DEST-PORT,443))),(DOMAIN-SUFFIX,example.com)),服务器
AND,((OR,((DEST-PORT,5000),(DEST-PORT,5001))),(DOMAIN-SUFFIX,example.com)),DIRECT

设置两个嵌套的分流规则： 第一条规则：当访问 wg.example.com:443，critical-service.example.com:1234 时，交给 服务器 策略组进一步处理，用来保护关键服务配合 WireGuard 隧道访问； 第二条规则：当访问 file.example.com:5000，music.example.com:5001 时，通过传统的 DDNS 访问，不走隧道，需要防火墙放行这两个端口。

5. 取消默认的绕过路由 (bypass-tun) 和绕过代理 (skip-proxy)

在 bypass-tun 和 skip-proxy 中，要删除 example.com，192.168.0.0/16， 192.168.1.0/24，确保这些域名和内网地址通过 Loon 的处理

最后的效果

只要手机的 Loon 一直开启，无论身在何处，都可以访问 wg.example.com:443，critical-service.example.com:1234 这两个关键服务，端口在公网不可见，没有 DNS 解析问题； file.example.com:5000，music.example.com:5001 这两个非关键服务的端口在公网仍然可见，满足资源共享的需求。

唯一美中不足的是，当手机从内网切到外网时，做不到无缝衔接，需要等待几秒钟才能建立 WireGuard 连接，甚至要手动关闭 Loon 再开启，有无优化的办法？