跨云混合架构中，WireGuard通过UDP隧道（如51820端口）替代暴露SSH、HTTP等公网端口，采用Hub-Spoke拓扑：Hub节点作为唯一出入口并启用NAT转发，Spoke节点仅需 outbound访问Hub且关闭所有入向端口，所有流量经加密隧道转发，实现端口闭环与安全加固。

跨云混合架构中配置 WireGuard 加密隧道并关闭原生公网端口，核心在于用 WireGuard 的 UDP 隧道替代直接暴露服务端口（如 SSH 22、HTTP 80/443 或 K8s API 6443），同时确保所有跨云流量仅经加密隧道转发。这不是简单“开个 wg0 接口”，而是重构网络路径和访问控制逻辑。

明确隧道角色与地址规划

WireGuard 在跨云场景中通常采用“中心辐射型”或“全互联型”拓扑。推荐中心辐射型（Hub-Spoke）以降低管理复杂度：

• Hub 节点：部署在具备稳定公网 IP 的云环境（如 AWS EC2 或阿里云 ECS），作为唯一出入口，监听 UDP 51820（可自定义），不开放其他服务端口
• Spoke 节点：包括私有云服务器、IDC 主机、边缘节点等，仅需能 outbound 访问 Hub 的 UDP 端口，无需公网 IP；其 WireGuard IP（如 10.100.0.0/16 子网）用于内部通信
• 避免使用公有云默认网卡名（如 eth0）硬编码，改用 ip -o -4 route show to default | awk '{print $5}' 动态获取真实出口接口

服务端（Hub）配置要点

以 CentOS 7 或 Ubuntu 22.04 为例，关键操作如下：

• 启用内核转发：echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf && sysctl -p
• 生成密钥对：wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey
• 创建 /etc/wireguard/wg0.conf，重点包含：
  • [Interface] 中设置 Address = 10.100.0.1/16（Hub 的隧道 IP）
  • ListenPort = 51820（非 53、80、443 等易被扫描端口）
  • PostUp 启用 NAT 转发，但仅限隧道内网段：iptables -t nat -A POSTROUTING -s 10.100.0.0/16 -o eth0 -j MASQUERADE
  • PostDown 对应清理规则
• 启动前执行：chmod 600 /etc/wireguard/*.key /etc/wireguard/wg0.conf

客户端（Spoke）配置与端口收敛

关闭原生公网端口的前提是所有远程访问必须走隧道。操作分三步：

• 禁用直连服务：用 ufw 或 firewalld 拒绝所有入向连接（除已知管理通道外），例如：ufw default deny incoming；确认 ss -tuln | grep ':22' 仅监听 127.0.0.1:22（本地 SSH）
• 配置 Spoke 端 wg0.conf：
  • [Interface] 设置私有隧道 IP（如 Address = 10.100.0.10/16）和本地私钥
  • [Peer] 填写 Hub 公钥、Hub 公网 IP 和端口（Endpoint = 203.0.113.10:51820）
  • 添加 AllowedIPs = 10.100.0.0/16, 10.42.0.0/16（后者为 K8s Pod 网段，实现跨集群访问）
• 启用路由接管：在 Spoke 上运行 wg-quick up wg0 后，验证 wg show 显示 handshake 成功，并通过 ping 10.100.0.1 确认连通

安全加固与端口闭环

完成隧道后，必须切断所有非隧道访问路径：

• 云平台安全组/ACL：仅放行 Hub 的 UDP 51820 入向，其他端口全部拒绝；Spoke 安全组禁止任何入向（0.0.0.0/0）
• 主机防火墙补充限制：iptables -A INPUT ! -i wg0 -p tcp --dport 22 -j DROP（阻止非隧道接口的 SSH 入向）
• 验证端口关闭效果：从公网执行 nmap -sU -p 51820,22,80,443 your-hub-ip，应仅 51820 开放且为 UDP；TCP 端口全部 filtered 或 closed
• 应用层访问统一走隧道 IP：例如登录 Spoke 服务器，不再用公网 IP，而用 ssh user@10.100.0.10