WireGuard家用组网方案
在家庭组网与远程访问场景中，WireGuard凭借轻量、高效、安全的特性，成为VPN组网的首选方案。本文结合家用核心需求——稳定访问内网NAS/家庭电脑、云服务器可自由替换（哪家便宜用哪家），设计一套以家庭软路由为核心的WireGuard组网方案，配置简单可落地，兼顾访问稳定性与云服务器灵活性。
方案核心目标：以家庭软路由为WireGuard服务端，构建稳定的家庭组网，云服务器仅作为普通客户端提供代理服务，可随时替换厂商、重建机器，不影响整体组网，实现内网低延迟访问与云服务灵活选用。
一、方案核心设计理念
本次方案的核心是“解耦”与“便捷”，将家庭内网组网与云服务器角色彻底分离，确保组网稳定且维护成本低，具体设计理念如下：
固定家庭组网根基：以家庭软路由作为WireGuard服务端，家庭内网、NAS、家庭电脑IP永久固定，一次配置终身不动，避免频繁调整。
云服务器自由化：所有云服务器（不限厂商，阿里云、腾讯云等均可）均作为WireGuard普通客户端，仅负责代理服务，换云机时无需改动家庭路由、终端任何配置，仅需重新部署客户端接入即可。
统一网段规划：固定内网与虚拟网段，终端配置永久不变，换云机或切换场景时无需修改IP，操作便捷。
二、统一网段规划（终身不变，便于维护）
网段规划是组网稳定的核心，提前固定IP段，避免后期调整导致的配置混乱，贴合家用场景、易记无冲突，具体规划如下：
| 设备/网段类型 | IP地址/网段 | 说明 |
|---|---|---|
| 家庭物理内网 | 192.168.123.0/24 | 固定家庭内网网段，包含所有内网设备 |
| 家庭路由器（网关） | 192.168.123.1 | 家庭内网网关，同时作为WireGuard服务端 |
| 家庭电脑 | 192.168.123.2 | 固定内网IP，便于远程访问 |
| NAS存储设备 | 192.168.123.200 | NAS设备固定IP段，避免IP变动导致访问失败 |
| WireGuard虚拟网段 | 10.100.100.0/24 | 虚拟隧道网段，确保组网无冲突 |
| WireGuard服务端（路由） | 10.100.100.1 | 路由作为WireGuard服务端的虚拟IP |
| 云服务器（WG客户端） | 10.100.100.2 | 所有云机统一分配此虚拟IP，代理服务监听该IP |
| 终端设备（手机/办公电脑/笔记本） | 10.100.100.3~5 | 每台终端固定虚拟IP，无需频繁改动 |
三、详细配置（可直接复制部署）
本方案配置围绕“简单可落地”设计，无需复杂命令，适合家用用户与入门级技术爱好者，全程确保内网访问低延迟、云服务器可自由替换。
1. 适用场景
家庭宽带拥有公网IP（或可通过DDNS解析）、运营商未封锁WireGuard默认端口（51820），适合日常远程访问内网、搭配云服务器使用代理服务的场景。
2. 组网拓扑
1 | 终端设备（手机/办公电脑/笔记本） |
3. 核心配置
重点：路由开启IP转发与流量放行，云服务器仅作为普通客户端接入，终端配置永久固定，换云机时无需改动路由与终端设置。
（1）家庭软路由（WG服务端）配置
以主流家用软路由系统（ImmortalWrt/iStoreOS/OpenWrt）为例，配置文件（/etc/wireguard/wg0.conf）如下，可直接复制替换密钥：
1 | [Interface] |
（2）云服务器（WG客户端）配置
云服务器无需复杂配置，仅作为客户端接入家庭路由，配置文件如下，替换密钥与路由公网IP/DDNS即可，换云机时直接复用此模板：
1 | [Interface] |
说明：云服务器部署完成后，仅需在其上搭建代理服务（如V2Ray、Clash等），监听虚拟IP 10.100.100.2，终端切换代理即可使用。换云机时，仅需在新云机上部署此配置与代理服务，删除旧云机的WG Peer配置，其他设备无需任何改动。
（3）终端设备（手机/电脑）配置
所有终端配置永久固定，无需随云机替换而改动，配置文件如下，手机、笔记本仅需替换对应虚拟IP即可：
1 | [Interface] |
4. 访问逻辑与实操要点
远程访问内网：终端连入WG后，直接用内网IP访问（如ping 192.168.123.2、访问NAS地址192.168.123.200），无需云服务器中转，延迟最低。
代理使用：终端手动切换代理至云服务器虚拟IP（10.100.100.2），流量通过云服务器代理，内网流量与代理流量分离，互不冲突。
云机替换流程：① 新云机部署WG客户端配置（复用模板，替换密钥）；② 新云机搭建代理服务，监听10.100.100.2；③ 家庭路由添加新云机Peer配置，删除旧云机Peer；④ 终端代理切换至新云机（IP不变），全程无需改动终端与路由核心配置。
四、软路由系统与硬件选型
方案的稳定运行依赖软路由对WireGuard的良好支持，按“易用性+稳定性”排序，推荐以下系统与硬件，适合家用场景：
1. 软路由系统推荐
首选（零门槛）：ImmortalWrt、iStoreOS，均为中文界面，预集成WireGuard，一键安装，开箱即用，适合新手。
次选（可定制）：OpenWrt官方原版、Padavan（老毛子），适合喜欢折腾、有自定义需求或使用老路由的用户。
进阶（专业级）：OPNsense、RouterOS（ROS），稳定性强、性能高，适合有进阶需求的用户，新手不推荐。
2. 硬件建议
x86架构（N100/J4125）：性能强劲，适合千兆及以上宽带，可同时运行WG与代理服务，升级无压力。
ARM架构（RK3568/MT7621）：性价比高、功耗低，适合百兆/千兆宽带，满足日常组网需求。
五、方案优势与实操建议
1. 核心优势
云机灵活替换：不绑定组网中枢，可灵活选择云服务器厂商，切换过程丝滑顺畅，无需担心云厂商变动影响组网，大幅降低使用成本。
访问稳定低延迟：内网直连无中转，远程访问NAS、家庭电脑体验与本地一致。
配置简单易维护：一次部署终身可用，换云机、升级设备无需频繁调整配置。
安全性更强：云服务器仅作为WireGuard客户端接入家庭组网，无需放通防火墙端口，减少端口暴露带来的安全风险，提升整体组网安全性。
2. 实操建议
优先完成软路由配置，测试内网访问与云服务器接入，确保日常使用稳定。
备份所有配置文件，避免换设备或重装系统后重新配置。
访问异常时，优先检查IP转发、AllowedIPs配置、51820端口放行情况。
六、总结
本文介绍的家用WireGuard组网方案，以家庭软路由为核心服务端，彻底实现云服务器与组网中枢的解耦，既保证了远程访问内网的稳定性与低延迟，还能实现云服务器的灵活选择与丝滑切换，无需绑定固定厂商，且云服务器无需放通防火墙端口，安全性更强，配置简单、维护成本低，适合大多数家用场景。
作为补充，若家庭宽带无公网IP、运营商封端口等场景无法使用本方案，可将任意云服务器作为WireGuard服务端，终端与路由仅需切换配置即可正常组网，进一步提升方案的适配性。整体而言，该方案兼顾实用性与灵活性，新手与进阶用户均可快速落地使用。