# WireGuard 组网

**WireGuard 组网**把服务器和客户端设备放入一个虚拟网络。它有独立的网络、成员、设备和路由设置，入口位于 **端口管理 → WireGuard 组网**。

端口表单里的 **WireGuard 入站代理**用于提供代理端口，两者的配置对象不同。只需要一个 WireGuard 代理入口时，先看[入站代理](/docs/inbound-proxy/)；要访问内网主机、组织服务器互联时使用本篇。

## 创建一个仅网关网络

先选择同一租户内的真实 worker 作为网关，准备一个不与现有局域网、Docker 网段或其他隧道重叠的地址段，例如 `10.77.0.0/24`。服务器组不能作为网关或成员服务器。

点击 **添加网络**，核对以下字段。

![WireGuard 网络的网段、网关、出口和传输设置](https://img.coderluny.com:444/uploads/zfc-tutorial-20261018-wg-network-adea28ea8897.png)

| 字段 | 填写方法 |
| --- | --- |
| 网络名称 / 显示名称 | 内部标识与可读名称 |
| 地址段 | 规划的虚拟网络 CIDR，预留足够的设备与成员地址 |
| 监听端口 | 默认 `51820`，检查网关上 UDP 监听与安全组 |
| MTU | 表单默认 `1380`；有嵌套隧道时结合实际路径测试 |
| 网关服务器 | 在线且有权使用的 worker |
| DNS 服务器 | 按需填写客户端使用的 DNS |
| 网关端点 | 可选的额外可达 `host:port`，多个用逗号分隔；成员优先尝试这些地址，自动检测地址作为备选 |
| 出口节点 | 需要网关承担互联网出口时再开启 |
| P2P 模式 | 先用 **仅网关**验证基础连通，再按需改为 **P2P + 网关回退** |

保存网络后，确认网关配置已生效。只建一条网络记录还没有把其他服务器或设备接入。

## 添加服务器成员

选择网络，进入 **成员服务器 → 添加成员**，填写成员名称并选择 worker。网关本身不能重复作为成员加入。

成员配置按用途逐项开启：

| 用途 | 需要核对的选项 |
| --- | --- |
| 经网关互通 | 成员加入、地址分配和网关可达性 |
| 接受其他成员直连 | 网络启用 P2P；成员启用 **P2P 服务端**，并至少提供 WireGuard 或 Hammer 一种传输 |
| 主动直连其他成员 | **P2P 客户端**及对端的可达传输地址 |
| 普通设备直连成员 | **设备直连**及其独立 WireGuard 监听端口，再把设备绑定到该直连成员 |
| 为其他成员做中继 | **中继转发**；按需加入 **自动中继候选** |

端点地址应从连接方网络验证。启用 P2P 表示允许尝试直连，不能保证任意 NAT 环境都能打通；失败时仍需网关或已配置中继可达。

## 添加手机或电脑设备

在网络的设备列表中 **添加设备**，填写名称、允许 IP、保活间隔和启用状态。允许 IP 留空时使用网络地址段。

保存后查看配置或二维码，在 WireGuard 客户端导入。二维码、配置文件含私钥，和密码一样保管；不要把带凭据的导入画面作为公开截图。

先访问一个虚拟网段中的成员地址，检查握手时间、收发计数和真实服务。仅显示“已导入配置”不能证明握手成功。

设备使用“含直连成员”配置时，还需核对成员已开启设备直连，以及客户端实际能到达对应监听地址。变更后重新导出并更新客户端配置。

## 使用 Hammer 或显式中继

网络和成员均提供 **Hammer 传输**设置。网关的 Hammer UDP、UOT 端口分别配置；只使用 UOT 时清空 UDP 端口，两者都设置时优先 UDP。预共享密钥使用生成按钮产生的随机值，并在需要连接的双方保持一致。

成员启用 P2P 客户端后可添加中继边，目标成员必须开启中继转发。协议可选 **WG UDP、Hammer UDP、Hammer UOT**，再设置优先级。

- **使用服务器代理**决定连接组网端点时是否使用该服务器的代理配置；切换会重建成员隧道。
- **仅 Hammer 出站**会让中继、网关和出口连接走 Hammer；不要同时只配置 WG UDP 中继边。
- 没有可用 Hammer 中继时，还需网关本身有可达 Hammer 通道。

不要把业务转发链的候选策略直接等同于组网中继边。配置后分别验证成员间访问、网关回退和协议受限环境。

## 全局路由与出口节点

需要互联网出口时，先开启网络的出口能力，再选择网关或启用了 **出口节点候选**的成员。成员可维护有优先级的出口列表；普通设备可选择相应出口。

**成员的全局路由会改变其系统路由，可能影响 SSH、Docker 和管理连接。** 在可回退的测试成员上验证，再应用到其他机器。

网络级 **排除路由段**用于让私网、Docker 等网段继续本机直连，目前只处理 IPv4，组网自身网段不受影响。成员默认继承；勾选覆盖但保持空列表，表示该成员不排除任何网段，与“不覆盖”不同。

验证顺序为“虚拟网段互通 → 实际服务 → 互联网出口 IP → 私网与容器互访 → 网关／直连故障回退”。修改网关、出口、代理或传输设置后，重新观察握手与路由，不能只看节点在线标记。