WireGuard一键安装shell脚本

WireGuard是一种点对点VPN，可以用不同的方式使用。这里我们指的是VPN：客户端将通过加密隧道将其所有流量转发到服务器。服务器将对客户端的流量应用NAT，这样看起来就像客户端正在使用服务器的IP浏览web。

该脚本同时支持IPv4和IPv6。

  1. #!/bin/bash
  3. # Secure WireGuard server installer for Debian, Ubuntu, CentOS, Fedora and Arch Linux
  4. # https://github.com/angristan/wireguard-install
  6. function isRoot() {
  7.     if [ "${EUID}" -ne 0 ]; then
  8.         echo "You need to run this script as root"
  9.         exit 1
  10.     fi
  11. }
  13. function checkVirt() {
  14.     if [ "$(systemd-detect-virt)" == "openvz" ]; then
  15.         echo "OpenVZ is not supported"
  16.         exit 1
  17.     fi
  19.     if [ "$(systemd-detect-virt)" == "lxc" ]; then
  20.         echo "LXC is not supported (yet)."
  21.         echo "WireGuard can technically run in an LXC container,"
  22.         echo "but the kernel module has to be installed on the host,"
  23.         echo "the container has to be run with some specific parameters"
  24.         echo "and only the tools need to be installed in the container."
  25.         exit 1
  26.     fi
  27. }
  29. function checkOS() {
  30.     # Check OS version
  31.     if [[ -e /etc/debian_version ]]; then
  32.         source /etc/os-release
  33.         OS="${ID}" # debian or ubuntu
  34.         if [[ ${ID} == "debian" || ${ID} == "raspbian" ]]; then
  35.             if [[ ${VERSION_ID} -ne 10 ]]; then
  36.                 echo "Your version of Debian (${VERSION_ID}) is not supported. Please use Debian 10 Buster"
  37.                 exit 1
  38.             fi
  39.         fi
  40.     elif [[ -e /etc/fedora-release ]]; then
  41.         source /etc/os-release
  42.         OS="${ID}"
  43.     elif [[ -e /etc/centos-release ]]; then
  44.         source /etc/os-release
  45.         OS=centos
  46.     elif [[ -e /etc/arch-release ]]; then
  47.         OS=arch
  48.     else
  49.         echo "Looks like you aren't running this installer on a Debian, Ubuntu, Fedora, CentOS or Arch Linux system"
  50.         exit 1
  51.     fi
  52. }
  54. function initialCheck() {
  55.     isRoot
  56.     checkVirt
  57.     checkOS
  58. }
  60. function installQuestions() {
  61.     echo "Welcome to the WireGuard installer!"
  62.     echo "The git repository is available at: https://github.com/angristan/wireguard-install"
  63.     echo ""
  64.     echo "I need to ask you a few questions before starting the setup."
  65.     echo "You can leave the default options and just press enter if you are ok with them."
  66.     echo ""
  68.     # Detect public IPv4 or IPv6 address and pre-fill for the user
  69.     SERVER_PUB_IP=$(ip -4 addr | sed -ne 's|^.* inet \([^/]*\)/.* scope global.*$|\1|p' | head -1)
  70.     if [[ -z ${SERVER_PUB_IP} ]]; then
  71.         # Detect public IPv6 address
  72.         SERVER_PUB_IP=$(ip -6 addr | sed -ne 's|^.* inet6 \([^/]*\)/.* scope global.*$|\1|p' | head -1)
  73.     fi
  74.     read -rp "IPv4 or IPv6 public address: " -e -i "${SERVER_PUB_IP}" SERVER_PUB_IP
  76.     # Detect public interface and pre-fill for the user
  77.     SERVER_NIC="$(ip -4 route ls | grep default | grep -Po '(?<=dev )(\S+)' | head -1)"
  78.     until [[ ${SERVER_PUB_NIC} =~ ^[a-zA-Z0-9_]+$ ]]; do
  79.         read -rp "Public interface: " -e -i "${SERVER_NIC}" SERVER_PUB_NIC
  80.     done
  82.     until [[ ${SERVER_WG_NIC} =~ ^[a-zA-Z0-9_]+$ ]]; do
  83.         read -rp "WireGuard interface name: " -e -i wg0 SERVER_WG_NIC
  84.     done
  86.     until [[ ${SERVER_WG_IPV4} =~ ^([0-9]{1,3}\.){3} ]]; do
  87.         read -rp "Server's WireGuard IPv4: " -e -i 10.66.66.1 SERVER_WG_IPV4
  88.     done
  90.     until [[ ${SERVER_WG_IPV6} =~ ^([a-f0-9]{1,4}:){3,4}: ]]; do
  91.         read -rp "Server's WireGuard IPv6: " -e -i fd42:42:42::1 SERVER_WG_IPV6
  92.     done
  94.     # Generate random number within private ports range
  95.     RANDOM_PORT=$(shuf -i49152-65535 -n1)
  96.     until [[ ${SERVER_PORT} =~ ^[0-9]+$ ]] && [ "${SERVER_PORT}" -ge 1 ] && [ "${SERVER_PORT}" -le 65535 ]; do
  97.         read -rp "Server's WireGuard port [1-65535]: " -e -i "${RANDOM_PORT}" SERVER_PORT
  98.     done
  100.     # Adguard DNS by default
  101.     until [[ ${CLIENT_DNS_1} =~ ^((25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.){3}(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$ ]]; do
  102.         read -rp "First DNS resolver to use for the clients: " -e -i 176.103.130.130 CLIENT_DNS_1
  103.     done
  104.     until [[ ${CLIENT_DNS_2} =~ ^((25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.){3}(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$ ]]; do
  105.         read -rp "Second DNS resolver to use for the clients (optional): " -e -i 176.103.130.131 CLIENT_DNS_2
  106.         if [[ ${CLIENT_DNS_2} == "" ]]; then
  107.             CLIENT_DNS_2="${CLIENT_DNS_1}"
  108.         fi
  109.     done
  110.     echo ""
  111.     echo "Okay, that was all I needed. We are ready to setup your WireGuard server now."
  112.     echo "You will be able to generate a client at the end of the installation."
  113.     read -n1 -r -p "Press any key to continue..."
  114. }
  115. function installWireGuard() {
  116.     # Run setup questions first
  117.     installQuestions
  118.     # Install WireGuard tools and module
  119.     if [[ ${OS} == 'ubuntu' ]]; then
  120.         apt-get update
  121.         apt-get install -y wireguard iptables resolvconf qrencode
  122.     elif [[ ${OS} == 'debian' ]]; then
  123.         if ! grep -rqs "^deb .* buster-backports" /etc/apt/; then
  124.             echo "deb http://deb.debian.org/debian buster-backports main" >/etc/apt/sources.list.d/backports.list
  125.             apt-get update
  126.         fi
  127.         apt update
  128.         apt-get install -y iptables resolvconf qrencode
  129.         apt-get install -y -t buster-backports wireguard
  130.     elif [[ ${OS} == 'fedora' ]]; then
  131.         if [[ ${VERSION_ID} -lt 32 ]]; then
  132.             dnf install -y dnf-plugins-core
  133.             dnf copr enable -y jdoss/wireguard
  134.             dnf install -y wireguard-dkms
  135.         fi
  136.         dnf install -y wireguard-tools iptables qrencode
  137.     elif [[ ${OS} == 'centos' ]]; then
  138.         yum -y install epel-release elrepo-release
  139.         if [[ ${VERSION_ID} -eq 7 ]]; then
  140.             yum -y install yum-plugin-elrepo
  141.         fi
  142.         yum -y install kmod-wireguard wireguard-tools iptables qrencode
  143.     elif [[ ${OS} == 'arch' ]]; then
  144.         # Check if current running kernel is LTS
  145.         ARCH_KERNEL_RELEASE=$(uname -r)
  146.         if [[ ${ARCH_KERNEL_RELEASE} == *lts* ]]; then
  147.             pacman -S --noconfirm linux-lts-headers
  148.         else
  149.             pacman -S --noconfirm linux-headers
  150.         fi
  151.         pacman -S --noconfirm wireguard-tools iptables qrencode
  152.     fi
  153.     # Make sure the directory exists (this does not seem the be the case on fedora)
  154.     mkdir /etc/wireguard >/dev/null 2>&1
  155.     chmod 600 -R /etc/wireguard/
  156.     SERVER_PRIV_KEY=$(wg genkey)
  157.     SERVER_PUB_KEY=$(echo "${SERVER_PRIV_KEY}" | wg pubkey)
  158.     # Save WireGuard settings
  159.     echo "SERVER_PUB_IP=${SERVER_PUB_IP}
  160. SERVER_PUB_NIC=${SERVER_PUB_NIC}
  161. SERVER_WG_NIC=${SERVER_WG_NIC}
  162. SERVER_WG_IPV4=${SERVER_WG_IPV4}
  163. SERVER_WG_IPV6=${SERVER_WG_IPV6}
  164. SERVER_PORT=${SERVER_PORT}
  165. SERVER_PRIV_KEY=${SERVER_PRIV_KEY}
  166. SERVER_PUB_KEY=${SERVER_PUB_KEY}
  167. CLIENT_DNS_1=${CLIENT_DNS_1}
  168. CLIENT_DNS_2=${CLIENT_DNS_2}" >/etc/wireguard/params
  169.     # Add server interface
  170.     echo "[Interface]
  171. Address = ${SERVER_WG_IPV4}/24,${SERVER_WG_IPV6}/64
  172. ListenPort = ${SERVER_PORT}
  173. PrivateKey = ${SERVER_PRIV_KEY}" >"/etc/wireguard/${SERVER_WG_NIC}.conf"
  174.     if pgrep firewalld; then
  175.         FIREWALLD_IPV4_ADDRESS=$(echo "${SERVER_WG_IPV4}" | cut -d"." -f1-3)".0"
  176.         FIREWALLD_IPV6_ADDRESS=$(echo "${SERVER_WG_IPV6}" | sed 's/:[^:]*$/:0/')
  177.         echo "PostUp = firewall-cmd --add-port ${SERVER_PORT}/udp && firewall-cmd --add-rich-rule='rule family=ipv4 source address=${FIREWALLD_IPV4_ADDRESS}/24 masquerade' && firewall-cmd --add-rich-rule='rule family=ipv6 source address=${FIREWALLD_IPV6_ADDRESS}/24 masquerade'
  178. PostDown = firewall-cmd --remove-port ${SERVER_PORT}/udp && firewall-cmd --remove-rich-rule='rule family=ipv4 source address=${FIREWALLD_IPV4_ADDRESS}/24 masquerade' && firewall-cmd --remove-rich-rule='rule family=ipv6 source address=${FIREWALLD_IPV6_ADDRESS}/24 masquerade'" >>"/etc/wireguard/${SERVER_WG_NIC}.conf"
  179.     else
  180.         echo "PostUp = iptables -A FORWARD -i ${SERVER_PUB_NIC} -o ${SERVER_WG_NIC} -j ACCEPT; iptables -A FORWARD -i ${SERVER_WG_NIC} -j ACCEPT; iptables -t nat -A POSTROUTING -o ${SERVER_PUB_NIC} -j MASQUERADE; ip6tables -A FORWARD -i ${SERVER_WG_NIC} -j ACCEPT; ip6tables -t nat -A POSTROUTING -o ${SERVER_PUB_NIC} -j MASQUERADE
  181. PostDown = iptables -D FORWARD -i ${SERVER_PUB_NIC} -o ${SERVER_WG_NIC} -j ACCEPT; iptables -D FORWARD -i ${SERVER_WG_NIC} -j ACCEPT; iptables -t nat -D POSTROUTING -o ${SERVER_PUB_NIC} -j MASQUERADE; ip6tables -D FORWARD -i ${SERVER_WG_NIC} -j ACCEPT; ip6tables -t nat -D POSTROUTING -o ${SERVER_PUB_NIC} -j MASQUERADE" >>"/etc/wireguard/${SERVER_WG_NIC}.conf"
  182.     fi
  183.     # Enable routing on the server
  184.     echo "net.ipv4.ip_forward = 1
  185. net.ipv6.conf.all.forwarding = 1" >/etc/sysctl.d/wg.conf
  186.     sysctl --system
  187.     systemctl start "wg-quick@${SERVER_WG_NIC}"
  188.     systemctl enable "wg-quick@${SERVER_WG_NIC}"
  189.     # Check if WireGuard is running
  190.     systemctl is-active --quiet "wg-quick@${SERVER_WG_NIC}"
  191.     WG_RUNNING=$?
  192.     # WireGuard might not work if we updated the kernel. Tell the user to reboot
  193.     if [[ ${WG_RUNNING} -ne 0 ]]; then
  194.         echo -e "\nWARNING: WireGuard does not seem to be running."
  195.         echo "You can check if WireGuard is running with: systemctl status wg-quick@${SERVER_WG_NIC}"
  196.         echo "If you get something like \"Cannot find device ${SERVER_WG_NIC}\", please reboot!"
  197.     fi
  198.     newClient
  199.     echo "If you want to add more clients, you simply need to run this script another time!"
  200. }
  201. function newClient() {
  202.     ENDPOINT="${SERVER_PUB_IP}:${SERVER_PORT}"
  203.     echo ""
  204.     echo "Tell me a name for the client."
  205.     echo "The name must consist of alphanumeric character. It may also include an underscore or a dash."
  206.     until [[ ${CLIENT_NAME} =~ ^[a-zA-Z0-9_-]+$ && ${CLIENT_EXISTS} == '0' ]]; do
  207.         read -rp "Client name: " -e CLIENT_NAME
  208.         CLIENT_EXISTS=$(grep -c -E "^### Client ${CLIENT_NAME}\$" "/etc/wireguard/${SERVER_WG_NIC}.conf")
  209.         if [[ ${CLIENT_EXISTS} == '1' ]]; then
  210.             echo ""
  211.             echo "A client with the specified name was already created, please choose another name."
  212.             echo ""
  213.         fi
  214.     done
  215.     for DOT_IP in {2..254}; do
  216.         DOT_EXISTS=$(grep -c "${SERVER_WG_IPV4::-1}${DOT_IP}" "/etc/wireguard/${SERVER_WG_NIC}.conf")
  217.         if [[ ${DOT_EXISTS} == '0' ]]; then
  218.             break
  219.         fi
  220.     done
  221.     if [[ ${DOT_EXISTS} == '1' ]]; then
  222.         echo ""
  223.         echo "The subnet configured supports only 253 clients."
  224.         exit 1
  225.     fi
  226.     until [[ ${IPV4_EXISTS} == '0' ]]; do
  227.         read -rp "Client's WireGuard IPv4: ${SERVER_WG_IPV4::-1}" -e -i "${DOT_IP}" DOT_IP
  228.         CLIENT_WG_IPV4="${SERVER_WG_IPV4::-1}${DOT_IP}"
  229.         IPV4_EXISTS=$(grep -c "$CLIENT_WG_IPV4" "/etc/wireguard/${SERVER_WG_NIC}.conf")
  230.         if [[ ${IPV4_EXISTS} == '1' ]]; then
  231.             echo ""
  232.             echo "A client with the specified IPv4 was already created, please choose another IPv4."
  233.             echo ""
  234.         fi
  235.     done
  236.     until [[ ${IPV6_EXISTS} == '0' ]]; do
  237.         read -rp "Client's WireGuard IPv6: ${SERVER_WG_IPV6::-1}" -e -i "${DOT_IP}" DOT_IP
  238.         CLIENT_WG_IPV6="${SERVER_WG_IPV6::-1}${DOT_IP}"
  239.         IPV6_EXISTS=$(grep -c "${CLIENT_WG_IPV6}" "/etc/wireguard/${SERVER_WG_NIC}.conf")
  240.         if [[ ${IPV6_EXISTS} == '1' ]]; then
  241.             echo ""
  242.             echo "A client with the specified IPv6 was already created, please choose another IPv6."
  243.             echo ""
  244.         fi
  245.     done
  246.     # Generate key pair for the client
  247.     CLIENT_PRIV_KEY=$(wg genkey)
  248.     CLIENT_PUB_KEY=$(echo "${CLIENT_PRIV_KEY}" | wg pubkey)
  249.     CLIENT_PRE_SHARED_KEY=$(wg genpsk)
  250.     # Home directory of the user, where the client configuration will be written
  251.     if [ -e "/home/${CLIENT_NAME}" ]; then # if $1 is a user name
  252.         HOME_DIR="/home/${CLIENT_NAME}"
  253.     elif [ "${SUDO_USER}" ]; then # if not, use SUDO_USER
  254.         HOME_DIR="/home/${SUDO_USER}"
  255.     else # if not SUDO_USER, use /root
  256.         HOME_DIR="/root"
  257.     fi
  258.     # Create client file and add the server as a peer
  259.     echo "[Interface]
  260. PrivateKey = ${CLIENT_PRIV_KEY}
  261. Address = ${CLIENT_WG_IPV4}/32,${CLIENT_WG_IPV6}/128
  262. DNS = ${CLIENT_DNS_1},${CLIENT_DNS_2}
  263. [Peer]
  264. PublicKey = ${SERVER_PUB_KEY}
  265. PresharedKey = ${CLIENT_PRE_SHARED_KEY}
  266. Endpoint = ${ENDPOINT}
  267. AllowedIPs = 0.0.0.0/0,::/0" >>"${HOME_DIR}/${SERVER_WG_NIC}-client-${CLIENT_NAME}.conf"
  268.     # Add the client as a peer to the server
  269.     echo -e "\n### Client ${CLIENT_NAME}
  270. [Peer]
  271. PublicKey = ${CLIENT_PUB_KEY}
  272. PresharedKey = ${CLIENT_PRE_SHARED_KEY}
  273. AllowedIPs = ${CLIENT_WG_IPV4}/32,${CLIENT_WG_IPV6}/128" >>"/etc/wireguard/${SERVER_WG_NIC}.conf"
  274.     systemctl restart "wg-quick@${SERVER_WG_NIC}"
  275.     echo -e "\nHere is your client config file as a QR Code:"
  276.     qrencode -t ansiutf8 -l L <"${HOME_DIR}/${SERVER_WG_NIC}-client-${CLIENT_NAME}.conf"
  277.     echo "It is also available in ${HOME_DIR}/${SERVER_WG_NIC}-client-${CLIENT_NAME}.conf"
  278. }
  279. function revokeClient() {
  280.     NUMBER_OF_CLIENTS=$(grep -c -E "^### Client" "/etc/wireguard/${SERVER_WG_NIC}.conf")
  281.     if [[ ${NUMBER_OF_CLIENTS} == '0' ]]; then
  282.         echo ""
  283.         echo "You have no existing clients!"
  284.         exit 1
  285.     fi
  286.     echo ""
  287.     echo "Select the existing client you want to revoke"
  288.     grep -E "^### Client" "/etc/wireguard/${SERVER_WG_NIC}.conf" | cut -d ' ' -f 3 | nl -s ') '
  289.     until [[ ${CLIENT_NUMBER} -ge 1 && ${CLIENT_NUMBER} -le ${NUMBER_OF_CLIENTS} ]]; do
  290.         if [[ ${CLIENT_NUMBER} == '1' ]]; then
  291.             read -rp "Select one client [1]: " CLIENT_NUMBER
  292.         else
  293.             read -rp "Select one client [1-${NUMBER_OF_CLIENTS}]: " CLIENT_NUMBER
  294.         fi
  295.     done
  296.     # match the selected number to a client name
  297.     CLIENT_NAME=$(grep -E "^### Client" "/etc/wireguard/${SERVER_WG_NIC}.conf" | cut -d ' ' -f 3 | sed -n "${CLIENT_NUMBER}"p)
  298.     # remove [Peer] block matching $CLIENT_NAME
  299.     sed -i "/^### Client ${CLIENT_NAME}\$/,/^$/d" "/etc/wireguard/${SERVER_WG_NIC}.conf"
  300.     # remove generated client file
  301.     rm -f "${HOME}/${SERVER_WG_NIC}-client-${CLIENT_NAME}.conf"
  302.     # restart wireguard to apply changes
  303.     systemctl restart "wg-quick@${SERVER_WG_NIC}"
  304. }
  305. function uninstallWg() {
  306.     checkOS
  307.     systemctl stop "wg-quick@${SERVER_WG_NIC}"
  308.     systemctl disable "wg-quick@${SERVER_WG_NIC}"
  309.     if [[ ${OS} == 'ubuntu' ]]; then
  310.         apt-get autoremove --purge -y wireguard qrencode
  311.     elif [[ ${OS} == 'debian' ]]; then
  312.         apt-get autoremove --purge -y wireguard qrencode
  313.     elif [[ ${OS} == 'fedora' ]]; then
  314.         dnf remove -y wireguard-tools qrencode
  315.         if [[ ${VERSION_ID} -lt 32 ]]; then
  316.             dnf remove -y wireguard-dkms
  317.             dnf copr disable -y jdoss/wireguard
  318.         fi
  319.         dnf autoremove -y
  320.     elif [[ ${OS} == 'centos' ]]; then
  321.         yum -y remove kmod-wireguard wireguard-tools qrencode
  322.         yum -y autoremove
  323.     elif [[ ${OS} == 'arch' ]]; then
  324.         pacman -Rs --noconfirm wireguard-tools qrencode
  325.     fi
  326.     rm -rf /etc/wireguard
  327.     rm -f /etc/sysctl.d/wg.conf
  328.     # Reload sysctl
  329.     sysctl --system
  330.     # Check if WireGuard is running
  331.     systemctl is-active --quiet "wg-quick@${SERVER_WG_NIC}"
  332.     WG_RUNNING=$?
  333.     if [[ ${WG_RUNNING} -eq 0 ]]; then
  334.         echo "WireGuard failed to uninstall properly."
  335.         exit 1
  336.     else
  337.         echo "WireGuard uninstalled successfully."
  338.         exit 0
  339.     fi
  340. }
  341. function manageMenu() {
  342.     echo "Welcome to WireGuard-install!"
  343.     echo "The git repository is available at: https://github.com/angristan/wireguard-install"
  344.     echo ""
  345.     echo "It looks like WireGuard is already installed."
  346.     echo ""
  347.     echo "What do you want to do?"
  348.     echo "   1) Add a new user"
  349.     echo "   2) Revoke existing user"
  350.     echo "   3) Uninstall WireGuard"
  351.     echo "   4) Exit"
  352.     until [[ ${MENU_OPTION} =~ ^[1-4]$ ]]; do
  353.         read -rp "Select an option [1-4]: " MENU_OPTION
  354.     done
  355.     case "${MENU_OPTION}" in
  356.     1)
  357.         newClient
  358.         ;;
  359.     2)
  360.         revokeClient
  361.         ;;
  362.     3)
  363.         uninstallWg
  364.         ;;
  365.     4)
  366.         exit 0
  367.         ;;
  368.     esac
  369. }
  370. # Check for root, virt, OS...
  371. initialCheck
  372. # Check if WireGuard is already installed and load params
  373. if [[ -e /etc/wireguard/params ]]; then
  374.     source /etc/wireguard/params
  375.     manageMenu
  376. else
  377.     installWireGuard
  378. fi

使用方法：

1、复制上述文本内容保存为“install.sh”;

2、赋予install.sh可执行权限；

3、运行脚本，根据提示自动安装。

本脚本转自https://github.com/angristan/wireguard-install，如遇问题欢迎issue！

你想把广告放到这里吗？

发表评论

您必须 登录 才能发表留言！