如有廠商邀請互惠合作撰寫評測、交換連結,請本站聯繫 聯繫我們

OPNsense WireGuard Site to Site 安裝設定方法

  • URLをコピーしました!

WireGuard 是一種主流最先進 VPN 加密技術協議,比 IPSec 安裝設定更簡單、速度更快、更安全、以及佔資源很少,它可讓兩台 Router 在不同的私有網域之間連結一起來,很適合用來跨區遠端存取檔案場景使用,這邊 OPNsnese WireGuard site-to-site 安裝設定說明分享給大家。

Opnsense Vpn Wireguard Og
目錄

WireGuard 準備工作

應用拓樸場景規劃如下,兩台 OPNsense 網路確認所需設定值,但不一定要照抄,依您規劃需求去設定。

Wireguard Pattern

A 站點網路配置

主機名稱Saka-a.local
WAN IP59.x.x.x
LAN IP10.10.1.0/24
WireGuard Tunnel10.10.2.1/24

B 站點網路配置

主機名稱Saka-b.local
WAN IP220.x.x.x
LAN IP10.10.100.0/24
WireGuard Tunnel10.10.2.2/24

WireGuard 建置步驟

此介紹一台 OPNsense 建置 WireGuard Site-to-Site 所需設定,其另一台 OPNsense 也跟著做同樣設定。

Step 1. 建立 WireGuard Tunnel

在 VPN → WireGuard →個體 Instance 新增建立給 WireGuard Tunnel 使用,在之前先開啓【進階模式】

Opnsense Vpn Wireguard 01
啓用 Enabled勾選
名稱 NameSaka-a_SiteWG
公鑰 Public Key點擊齒輪圖示,自動產生一組 Key
私鑰 Private Key自動產生
監聽通訊埠 Listen Port51820
MTU1420(預設)或 1412(PPPoE 模式)
DNS 伺服器8.8.8.8 / 8.8.4.4(自行自訂 DNS 即可)
Tunnel Address10.10.2.1/24
端點 Peers後面會自動加入,不須設定

設定完成後,儲存並且套用。

Step 2. 建立 WireGuard Peers

接著點選端點 Peers 新增建立。

Opnsense Vpn Wireguard 03
啓用 Enabled勾選
名稱 NameSaka-b_SiteWG
公鑰 Public Key從對方 B 站點公鑰 Public Key 複製過來貼上
預共享金鑰 Pre-shared Key留空不填
允許的 IP10.10.2.2/32(對方 Tunnel)、10.10.100.0/24(對方 LAN IP)
端點位址 Endpoint address220.x.x.x 或 saka-b.local(可以輸入網域,對浮動制用戶適用)
監聽通訊埠 Listen Port51820
個體 Instance選擇已建立 Tunnel,例如 Saka-a_SiteWG
活動時間 Keepalive interval建議設 25 秒,假如您是企業級網路較穩定的話,可以拉長至 60 秒

設定完成後,儲存並且套用。

Step 3. 建立 WireGuard 防火牆

前往防火牆→規則→WAN,新增允許對方站點的傳入Wireguard 流量規則。

Opnsense Vpn Wireguard 05
動作 Action選擇允許放行 Pass
介面 InterfaceWAN
方向 Directionin
TCP/IP VersionIPv4
協定 ProtocolUDP
來源 Source任何 或可限制指定對方的IP允許流量
目的 DestinationWAN 位址
範圍 Destination port51820
說明 DescriptionWireGuard 或可自行自訂名稱說明

設定完成後,儲存並且套用。

Step 4. 設定 WireGuard MSS Clamping 限制

在防火牆→設定→正規化,為了確保 WireGuare 傳輸穩定,避免造成掉包、延遲、以及傳輸降下異常問題,需要設定 MSS Clamping 限制。

Opnsense Vpn Wireguard 07
介面 InterfaceWireGuard ( 群組Group )
方向 DirectionAny
協定 ProtocolAny
來源 SourceAny
目的 DestinationAny
目的範圍 Destination port預設為 Any 不需設定
說明 DescriptionWireguard MSS Clamping Site A
最大 mss1380(預設)或 1372(PPPoE 模式)

設定完成後,儲存並且套用。

Step 5. 確認 WireGuard 連線測試

以上部署完成後,回到 VPN → WireGuard 頁面,最下面啓用 WireGuard 服務,然後可前往 Diagnostics 看一下就會到了連線流量,或是可 ping 一下對方 IP 是否有連線成功。

Opnsense Vpn Wireguard 09

WireGuard vs IPSec Site to Site 比較

測試平台
  • CPU 處理器:Intel N100 4C4T
  • RAM 記憶體:DDR4-3200 16GB
  • 儲存裝置:KLEVV CRAS C710 512G M.2 PCIe
  • 網路環境:HiNet 2G/1G 固定制

A、B 站點設備規格是相同

Throughput Test
WireGuard Site to Site
901Mbps
IPSec Site to Site (AES-GCM)
821Mbps
IPSec Site to Site (AES256)
784Mbps
CPU Usage
WireGuard Site to Site
19%
IPSec Site to Site (AES-GCM)
37%
IPSec Site to Site (AES256)
43%
Ping Time
WireGuard Site to Site
2ms
IPSec Site to Site (AES-GCM)
3ms
IPSec Site to Site (AES256)
3ms
如果喜歡文章,歡迎分享~!よかったらシェアしてね!
  • URLをコピーしました!
  • URLをコピーしました!
目錄