让 WireGuard 节点也能用公网 IPv6 地址从外边访问

众所周知：WireGuard(以下简称 wg)的节点只能在配置文件里静态指定 IP 地址，无论是 v4 还是 v6 。

v6 部分我们一般都是给自己分配保留地址，比如我用 fd80 开头的。每个节点可以配置多个地址，比如我会配置一个 fd80:开头的作数据通信，一个 fe80:开头的供 OSPFv3 使用。

即便 wg 建立连接两头的地址都是 IPv4 ，在 wg 链路里依旧可以同时跑 v4 和 v6 。

wg 节点的 v4 地址从路由器出去访问公网，肯定是要 NAT 啦，这个没得说。

v6 略微复杂一点，通常可以 NAT66 或者 masquerade ，这样外边只能看到一个网关的地址，不能知道是那个 wg 节点的，其实很好很安全。

极个别情况下，我们也许希望从外界直接发起对这个节点的访问，比如 ssh 进来，这时候你总不能打 fd80 开头的内部地址，而是希望也可以是 2409:xxxx:xxxx:xxxx:1234 这样的合法公网 IPv6 地址。

这时候可以用略微复杂一点的方式实现，这里我选择了用 netmap 方式。

我们知道通常 SLACC 模式下，每个节点 IPv6 地址的高 64 位是从运营商分配来的，低 64 位是本地随机数产生的。考虑到运营商给了我们/56 或者/60 的前缀，可以分出来 256 个或者 16 个/64 ，我们平常撑死也就用掉两三个/64 ，完全可以再拿一个/64 来给这些 wg 节点用。

1 、从运营商给的 v6 地址池里拿一个/64 ，给回家 wg 链路那个接口，比如我的是 wg3 。注意我们只是为了占一个位置，不需要也不能下发，所以要设置 advertise=no

/interface wireguard add name=wg3 comment="My back to home" listen-port=16384 mtu=1412
/ipv6 address add address=fd80:0:0:89::1 advertise=no comment="Inner WG" interface=wg3
/ipv6 address add address=::192:168:89:1 advertise=no comment="Inner WG" from-pool=v6pool interface=wg3

2 、给每个 wg 客户节点也分配好静态地址, 这里只举一个栗子，其他的你改那个 104 逐渐增加就行。

/interface wireguard peers add allowed-address=192.168.89.104/32,fd80:0:0:89::123:104/128 client-address=192.168.89.104/24,fd80:0:0:89::123:104/64 client-dns=192.168.89.1 client-endpoint=MY_DDNS_NAME client-keepalive=25s comment=MY_CLIENT_10 interface=wg3 name=FedoraNUC preshared-key="auto" private-key="auto" public-key="auto" responder=yes

3 、路由器，出口链路，把 wg 客户来的数据包 netmap 一下，用刚才那个/64 替换掉原来 wg 的 fd80 那个/64 4 、路由器，进口链路，把凡是给那个/64 前缀的，替换成 wg 的 fd80 前缀。

/ipv6 firewall nat add action=netmap chain=srcnat comment=NETMAPv6 src-address=fd80:0:0:89::/64 to-address=2409:8a1e:7000:7000::/64
/ipv6 firewall nat add action=netmap chain=dstnat comment=NETMAPv6Rtn dst-address=2409:8a1e:7000:7000::/64 to-address=fd80:0:0:89::/64

4 、写好脚本，挂在/ipv6/dhcp-client 下，每次获得新的前缀，就修改一下/ipv6/firewall/nat 里对应条目的前缀。

:local pre [/ipv6/pool/used get [find info=wg3 ] prefix ]
/ipv6 firewall nat set [find comment=NETMAPv6    ] to-address=$pre
/ipv6 firewall nat set [find comment=NETMAPv6Rtn ] dst-address=$pre

这样，各个 wg 客户端就有了一个实际上可用的 IPv6 公网地址。外边可以通过这个地址（这里的栗子是 2409:8a1e:7000:7000::123:104 ）主动访问这个 wg 节点, 这个 wg 节点可以用这个地址去注册更新动态域名什么的。

俺在 RouterOS 上成功做了实施，效果蛮好。

至于这样做有多大的实用性，好不好安不安全，那是另外一个问题，请用家自行评估，偶不接受任何批评反驳。