WireGuard 组网

WireGuard 组网把服务器和客户端设备放入一个虚拟网络。它有独立的网络、成员、设备和路由设置，入口位于 端口管理 → WireGuard 组网。

端口表单里的 WireGuard 入站代理用于提供代理端口，两者的配置对象不同。只需要一个 WireGuard 代理入口时，先看入站代理；要访问内网主机、组织服务器互联时使用本篇。

创建一个仅网关网络

先选择同一租户内的真实 worker 作为网关，准备一个不与现有局域网、Docker 网段或其他隧道重叠的地址段，例如 10.77.0.0/24。服务器组不能作为网关或成员服务器。

点击 添加网络，核对以下字段。

保存网络后，确认网关配置已生效。只建一条网络记录还没有把其他服务器或设备接入。

添加服务器成员

选择网络，进入 成员服务器 → 添加成员，填写成员名称并选择 worker。网关本身不能重复作为成员加入。

成员配置按用途逐项开启：

端点地址应从连接方网络验证。启用 P2P 表示允许尝试直连，不能保证任意 NAT 环境都能打通；失败时仍需网关或已配置中继可达。

添加手机或电脑设备

在网络的设备列表中 添加设备，填写名称、允许 IP、保活间隔和启用状态。允许 IP 留空时使用网络地址段。

保存后查看配置或二维码，在 WireGuard 客户端导入。二维码、配置文件含私钥，和密码一样保管；不要把带凭据的导入画面作为公开截图。

先访问一个虚拟网段中的成员地址，检查握手时间、收发计数和真实服务。仅显示“已导入配置”不能证明握手成功。

设备使用“含直连成员”配置时，还需核对成员已开启设备直连，以及客户端实际能到达对应监听地址。变更后重新导出并更新客户端配置。

使用 Hammer 或显式中继

网络和成员均提供 Hammer 传输设置。网关的 Hammer UDP、UOT 端口分别配置；只使用 UOT 时清空 UDP 端口，两者都设置时优先 UDP。预共享密钥使用生成按钮产生的随机值，并在需要连接的双方保持一致。

成员启用 P2P 客户端后可添加中继边，目标成员必须开启中继转发。协议可选 WG UDP、Hammer UDP、Hammer UOT，再设置优先级。

• 使用服务器代理决定连接组网端点时是否使用该服务器的代理配置；切换会重建成员隧道。
• 仅 Hammer 出站会让中继、网关和出口连接走 Hammer；不要同时只配置 WG UDP 中继边。
• 没有可用 Hammer 中继时，还需网关本身有可达 Hammer 通道。

不要把业务转发链的候选策略直接等同于组网中继边。配置后分别验证成员间访问、网关回退和协议受限环境。

全局路由与出口节点

需要互联网出口时，先开启网络的出口能力，再选择网关或启用了 出口节点候选的成员。成员可维护有优先级的出口列表；普通设备可选择相应出口。

成员的全局路由会改变其系统路由，可能影响 SSH、Docker 和管理连接。 在可回退的测试成员上验证，再应用到其他机器。

网络级 排除路由段用于让私网、Docker 等网段继续本机直连，目前只处理 IPv4，组网自身网段不受影响。成员默认继承；勾选覆盖但保持空列表，表示该成员不排除任何网段，与“不覆盖”不同。

验证顺序为“虚拟网段互通 → 实际服务 → 互联网出口 IP → 私网与容器互访 → 网关／直连故障回退”。修改网关、出口、代理或传输设置后，重新观察握手与路由，不能只看节点在线标记。