WireGuard 是一種主流最先進 VPN 加密技術協議，比 IPSec 安裝設定更簡單、速度更快、更安全、以及佔資源很少，它可讓兩台 Router 在不同的私有網域之間連結一起來，很適合用來跨區遠端存取檔案場景使用，這邊 OPNsnese WireGuard site-to-site 安裝設定說明分享給大家。
目錄
WireGuard 準備工作
應用拓樸場景規劃如下，兩台 OPNsense 網路確認所需設定值，但不一定要照抄，依您規劃需求去設定。
A 站點網路配置
| 主機名稱 | Saka-a.local |
| WAN IP | 59.x.x.x |
| LAN IP | 10.10.1.0/24 |
| WireGuard Tunnel | 10.10.2.1/24 |
B 站點網路配置
| 主機名稱 | Saka-b.local |
| WAN IP | 220.x.x.x |
| LAN IP | 10.10.100.0/24 |
| WireGuard Tunnel | 10.10.2.2/24 |
WireGuard 建置步驟
此介紹一台 OPNsense 建置 WireGuard Site-to-Site 所需設定，其另一台 OPNsense 也跟著做同樣設定。
Step 1. 建立 WireGuard Tunnel
在 VPN → WireGuard →個體 Instance 新增建立給 WireGuard Tunnel 使用，在之前先開啓【進階模式】。
| 啓用 Enabled | 勾選 |
| 名稱 Name | Saka-a_SiteWG |
| 公鑰 Public Key | 點擊齒輪圖示，自動產生一組 Key |
| 私鑰 Private Key | 自動產生 |
| 監聽通訊埠 Listen Port | 51820 |
| MTU | 1420（預設）或 1412（PPPoE 模式） |
| DNS 伺服器 | 8.8.8.8 / 8.8.4.4（自行自訂 DNS 即可） |
| Tunnel Address | 10.10.2.1/24 |
| 端點 Peers | 後面會自動加入，不須設定 |
設定完成後，儲存並且套用。
Step 2. 建立 WireGuard Peers
接著點選端點 Peers 新增建立。
| 啓用 Enabled | 勾選 |
| 名稱 Name | Saka-b_SiteWG |
| 公鑰 Public Key | 從對方 B 站點公鑰 Public Key 複製過來貼上 |
| 預共享金鑰 Pre-shared Key | 留空不填 |
| 允許的 IP | 10.10.2.2/32（對方 Tunnel）、10.10.100.0/24（對方 LAN IP） |
| 端點位址 Endpoint address | 220.x.x.x 或 saka-b.local（可以輸入網域，對浮動制用戶適用） |
| 監聽通訊埠 Listen Port | 51820 |
| 個體 Instance | 選擇已建立 Tunnel，例如 Saka-a_SiteWG |
| 活動時間 Keepalive interval | 建議設 25 秒，假如您是企業級網路較穩定的話，可以拉長至 60 秒 |
設定完成後，儲存並且套用。
Step 3. 建立 WireGuard 防火牆
前往防火牆→規則→WAN，新增允許對方站點的傳入Wireguard 流量規則。
| 動作 Action | 選擇允許放行 Pass |
| 介面 Interface | WAN |
| 方向 Direction | in |
| TCP/IP Version | IPv4 |
| 協定 Protocol | UDP |
| 來源 Source | 任何 或可限制指定對方的IP允許流量 |
| 目的 Destination | WAN 位址 |
| 範圍 Destination port | 51820 |
| 說明 Description | WireGuard 或可自行自訂名稱說明 |
設定完成後，儲存並且套用。
Step 4. 設定 WireGuard MSS Clamping 限制
在防火牆→設定→正規化，為了確保 WireGuare 傳輸穩定，避免造成掉包、延遲、以及傳輸降下異常問題，需要設定 MSS Clamping 限制。
| 介面 Interface | WireGuard ( 群組Group ) |
| 方向 Direction | Any |
| 協定 Protocol | Any |
| 來源 Source | Any |
| 目的 Destination | Any |
| 目的範圍 Destination port | 預設為 Any 不需設定 |
| 說明 Description | Wireguard MSS Clamping Site A |
| 最大 mss | 1380（預設）或 1372（PPPoE 模式） |
設定完成後，儲存並且套用。
Step 5. 確認 WireGuard 連線測試
以上部署完成後，回到 VPN → WireGuard 頁面，最下面啓用 WireGuard 服務，然後可前往 Diagnostics 看一下就會到了連線流量，或是可 ping 一下對方 IP 是否有連線成功。
WireGuard vs IPSec Site to Site 比較
測試平台
- CPU 處理器：Intel N100 4C4T
- RAM 記憶體：DDR4-3200 16GB
- 儲存裝置：KLEVV CRAS C710 512G M.2 PCIe
- 網路環境：HiNet 2G/1G 固定制
A、B 站點設備規格是相同
