# Debian 命令行 WireGuard VPN 服务器搭建教程（静态IP+域名+自启）
## 一、环境说明
•	系统：Debian（纯命令行模式，无桌面环境，节约资源）
•	网卡名称：ens192
•	静态IP：192.168.2.203/24（子网掩码：255.255.255.0）
•	网关：192.168.2.1
•	WireGuard EndPoint：hayashiei.top:58888（域名需解析到服务器公网IP，仅局域网使用可忽略）
•	管理工具：wireguard-ui（可视化配置，简化操作）
•	自启方式：systemd 服务（解决重启丢规则、服务失效问题）

## 二、前置准备
1. 以 root 用户登录 Debian 纯命令行（远程登录可使用 Xshell、Putty 等工具）；
2. 确保服务器临时能联网（用于下载依赖和软件，后续配置静态IP后永久联网）；
3. 提前确认域名 hayashiei.top 已解析（若使用公网访问，无公网则跳过）。
 
## 三、分步搭建步骤
### 步骤 1：更新系统并安装基础依赖
执行以下命令，更新系统软件包，并安装后续操作所需的基础工具：
#更新系统包
apt update && apt upgrade -y
 
#安装WireGuard、curl、sudo、iptables等依赖
apt install -y wireguard wireguard-tools curl iptables sudo unzip

### 步骤 2：配置静态 IP（适配 ens192 网卡）
先备份原有网络配置，再写入静态IP配置（避免配置错误无法恢复）：
1. 备份网络配置文件：
    cp /etc/network/interfaces /etc/network/interfaces.bak

2. 写入静态IP配置（直接覆盖原有内容，适配192.168.2.203）：
    cat > /etc/network/interfaces << EOF
    auto lo
    iface lo inet loopback
    #配置 ens192 静态 IP
    auto ens192
    iface ens192 inet static
    address 192.168.2.203/24  # 静态 IP（/24 等价于子网掩码 255.255.255.0）
    gateway 192.168.2.1       # 网关（路由器IP）
    dns-nameservers 223.5.5.5 223.6.6.6  # 阿里云 DNS，确保解析正常
    EOF

3. 重启网络服务，使静态IP生效：
    systemctl restart networking
4. 验证静态IP是否生效：
    ip a show ens192
    验证标准：命令输出中能看到 “inet 192.168.2.203/24”，表示静态IP配置成功。
 
### 步骤 3：开启IP转发
#临时开启（当前会话有效）
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv6/conf/all/forwarding
#永久开启（重启后生效）
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
echo "net.ipv6.conf.all.forwarding=1" >> /etc/sysctl.conf
#生效配置
sysctl -p
 
### 步骤 4：配置系统防火墙
#放行58888 UDP端口（WireGuard）
iptables -A INPUT -p udp --dport 58888 -j ACCEPT
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -A FORWARD -o wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#保存iptables规则（防止重启失效）
apt install -y iptables-persistent
netfilter-persistent save
 
### 步骤 5：安装 wireguard-ui（可视化管理工具）
wireguard-ui 可简化服务器和客户端配置，无需手动编写复杂的 conf 文件：
1. 安装WireGuard-UI工具
    #创建存放目录
    mkdir -p /opt/wireguard-ui
    cd /opt/wireguard-ui
    #下载最新版wireguard-ui（适配amd64架构）
    curl -L https://github.com/ngoduykhanh/wireguard-ui/releases/latest/download/wireguard-ui-linux-amd64.tar.gz -o wireguard-ui.tar.gz
    tar xzf wireguard-ui.tar.gz
    chmod +x wireguard-ui
 
2. 创建 wireguard-ui 系统服务（实现开机自启）：
    #创建systemd服务（开机自启）
    cat > /etc/systemd/system/wireguard-ui.service << EOF
    [Unit]
    Description=WireGuard UI
    After=network.target
 
    [Service]
    User=root
    WorkingDirectory=/opt/wireguard-ui
    ExecStart=/opt/wireguard-ui/wireguard-ui --bind-address 0.0.0.0:5000
    Restart=always
    RestartSec=5
    
    [Install]
    WantedBy=multi-user.target
    EOF
 
3. 设置WireGuard-UI开机自启动
    #启动并设置开机自启
    systemctl daemon-reload
    systemctl start wireguard-ui
    systemctl enable wireguard-ui
    
    验证 wireguard-ui 是否正常运行：
    systemctl status wireguard-ui.service
    验证标准：输出中显示 “active (running)”，表示 UI 服务启动成功。
 
### 步骤 6：通过 wireguard-ui 配置 WireGuard 服务器
UI 启动后，通过浏览器访问，可视化配置服务器参数：
1. 浏览器访问 UI 页面（仅局域网访问，公网访问需端口转发）：
http://192.168.2.203:5000
 
2. 首次登录（默认账号密码，建议登录后立即修改）：
账号：admin  密码：admin
如果出现登陆跳转登陆界面则：
#假设数据目录在 /opt/wireguard-ui 或 /var/lib/wireguard-ui
#先找到你的数据目录（看启动日志或配置）
#示例：
chown -R root:root /opt/wireguard-ui
chmod -R 700 /opt/wireguard-ui
然后重启服务。
systemctl daemon-reload
systemctl restart wireguard-ui
 
3. 配置服务器核心参数（进入「Server」页面）：
•	Interface Name：wg0（默认即可，无需修改）
•	Listen Port：51820（默认端口，若被占用可修改，需同步修改后续配置）
•	Private Key/Public Key：系统自动生成，无需手动修改
•	Address：填写 VPN 内网段（如 10.0.0.1/24，自定义即可，避免与局域网网段冲突）
•	DNS Servers：223.5.5.5, 223.6.6.6（与静态IP配置的DNS一致，确保客户端解析正常）
•	EndPoint：hayashiei.top:58888（填写自己的域名+端口，无公网可留空）
PostUP和PostDown如果是外网VPN则什么都不用填。如果是异地组网则按照如下填写：
•	PostUP：iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o ens192 -j MASQUERADE; iptables -A FORWARD -i %i -o %i -j ACCEPT
•	PostDown：iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o ens192 -j MASQUERADE; iptables -D FORWARD -i %i -o %i -j ACCEPT
 
4. 点击「Save Config」保存配置，系统会自动生成 /etc/wireguard/wg0.conf 文件（核心配置文件）。
下面是验证是否正常。
#查看WireGuard接口状态
wg show
#查看wireguard-ui服务状态
systemctl status wireguard-ui
#查看端口监听（确认58888 UDP端口已监听）
ss -ulnp | grep 58888
 
5. 配置 WireGuard 开机自启
通过 systemd 服务，让 wg0 接口开机自动加载：
1. 启用自启：
systemctl enable wg-quick@wg0.service
2. 启动 wg0 接口：
wg-quick up wg0
3. 验证 WireGuard 状态：
wg show wg0
验证标准：能看到 wg0 接口的 IP、监听端口，即表示启动成功。
 
### 步骤 7：添加客户端（通过 wireguard-ui）
客户端需导入配置文件才能连接 VPN，通过 UI 快速生成：
1. 回到 wireguard-ui 页面，点击左侧「Clients」→「Add Client」；
2. 填写客户端名称（如 “iPhone”、“Windows”，自定义，便于区分）；
3. 其他参数默认（系统自动生成密钥和 IP），点击「Save」；
4. 生成后，点击客户端右侧「Download」，下载 .conf 配置文件；
5. 将配置文件导入客户端 WireGuard 软件（手机/电脑均可，下载对应系统的 WireGuard 客户端）。
 
### 步骤 8：功能验证（确保所有配置正常）
客户端导入配置并连接 VPN 后，进行以下测试：
1. 访问外网：打开浏览器访问百度、谷歌等，能正常加载即表示外网连通；
2. 访问局域网：访问 192.168.2.x 网段的设备（如路由器、其他电脑），能正常访问即表示局域网连通；
3. 重启验证：执行 reboot 重启服务器，重启后无需手动操作，再次测试客户端连接和访问功能，均正常即表示所有配置永久生效。
 
## 四、常用运维命令（收藏备用）
#查看 wireguard-ui 服务状态（是否运行）
systemctl status wireguard-ui.service
#重启 wireguard-ui（UI 无法访问时使用）
systemctl restart wireguard-ui.service
#查看 WireGuard 接口状态（客户端连接情况、流量等）
wg show wg0
#重启 WireGuard 接口（客户端无法连接时使用）
wg-quick down wg0 && wg-quick up wg0
#查看 NAT 转发服务状态
systemctl status wg-nat.service
#验证静态 IP 是否正常
ip a show ens192
#验证 IP 转发是否开启
cat /proc/sys/net/ipv4/ip_forward
#重启服务器
Reboot
#添加了客户端但是没有生效
#先停止旧接口，再启动新配置 wg-quick down wg0 && wg-quick up wg0 # 验证修改是否生效 wg show wg0
 
## 五、注意事项
1. 域名使用说明：若需通过公网域名 hayashiei.top 连接 VPN，需确保：
域名已正确解析到服务器公网 IP；
路由器需转发 58888端口（UDP 协议）到服务器 192.168.2.203；
2. 端口冲突：若 58888 端口被占用，需修改 wireguard-ui 中的「Listen Port」，并同步修改路由器端口转发和客户端配置；
3. 命令行模式：无需安装桌面环境，保持纯命令行即可，节约服务器资源；
4. 密码修改：首次登录 wireguard-ui 后，建议立即修改 admin 密码（进入「Settings」页面修改），提升安全性；
5. 配置备份：建议备份 /etc/wireguard/ 目录下的所有 .conf 文件，以及 /etc/network/interfaces 文件，便于后续恢复。
 
## 六、总结
本教程完全适配本人服务器环境，核心解决了 Debian 命令行模式下：静态 IP 配置、WireGuard 重启失效、NAT 转发规则丢失、wireguard-ui 无法访问等问题；
所有服务均配置为开机自启，重启服务器后无需任何手动操作，客户端可直接连接，正常访问外网和局域网；
后续重装或迁移服务器时，可直接参考本教程，一步到位完成搭建，无需重复试错。