使用 WireGuard 在 OPNsense 实现透明代理（进阶）

wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

[Interface]
Address = 10.0.0.1/24, fd00::1/64
ListenPort = 51820
PrivateKey = <刚刚生成的 EndPoint 私钥>

[Peer]
PublicKey = <OPNsense生成的公钥，等会填写>
AllowedIPs = 10.0.0.2/32, fd00::2/128

ln -s /etc/init.d/wg-quick /etc/init.d/wg-quick.tunnel

#!/usr/sbin/nft -f

## 清空旧规则
flush ruleset

## 只处理指定网卡的流量，要和 IP 规则中的接口操持一致
define interface = eth0

## mihomo 的透明代理端口
define tproxy_port = 7893

## mihomo 打的标记（routing-mark）
define mihomo_mark = 233

## 常规流量标记，ip rule 中加的标记，要和ip规则中保持一致，对应 "ip rule add fwmark 1 lookup 100" 中的 "1"
define default_mark = 1

## 本机运行了服务并且需要在公网上访问的 TCP 端口（本机开放在公网上的端口），仅本地局域网访问的服务端口可不用在此变量中，以半角逗号分隔
define local_tcp_port = {
    22,        # ssh，按需设置
    443        # webui，按需设置
}

## 要绕过的局域网内 TCP 流量经由本机访问的目标端口，也就是允许局域网内其他主机主动设置 DNS 服务器为其他服务器，而非旁路由
define lan_2_dport_tcp = {
    53     # dns查询
}

## 要绕过的局域网内 UDP 流量经由本机访问的目标端口，也就是允许局域网内其他主机主动设置 DNS 服务器为其他服务器，而非旁路由；另外也允许局域网内其他主机访问远程的 NTP 服务器
define lan_2_dport_udp = {
    53,    # dns查询
    123    # ntp端口
}

table inet mihomo {

    ## 保留 IPv4/IPv6 集合
    set private_address4_set {
        type ipv4_addr
        flags interval
        elements = {
            127.0.0.0/8,
            100.64.0.0/10,
            169.254.0.0/16,
            224.0.0.0/4,
            240.0.0.0/4,
            10.0.0.0/8,
            172.16.0.0/12,
            192.168.0.0/16
        }
    }
    set private_address6_set {
        type ipv6_addr
        flags interval
        elements = {
            ::1/128,            # 本地环回
            fc00::/7,           # 唯一本地地址（ULA，类似 IPv4 的私有地址）
            fe80::/10,          # 链路本地地址（Link-local）
            ff00::/8,           # 组播地址
            64:ff9b::/96        # IPv4-IPv6 转换地址（NAT64）
        }
    }


    ## prerouting链
    chain prerouting {
        type filter hook prerouting priority filter; policy accept;
        meta l4proto { tcp, udp } socket transparent 1 meta mark set $default_mark accept # 绕过已经建立的连接
        meta mark $default_mark goto mihomo_tproxy                                        # 已经打上 default_mar 标记的属于本机流量转过来的，直接进入透明代理
        fib daddr type { local, broadcast, anycast, multicast } accept                    # 绕过本地、单播、组播、多播地址
        tcp dport $lan_2_dport_tcp accept                                                 # 绕过经由本机到目标端口的 TCP 流量
        udp dport $lan_2_dport_udp accept                                                 # 绕过经由本地到目标端口的 UDP 流量
        meta nfproto ipv4 ip daddr @private_address4_set accept                           # 绕过目标地址为保留IP的地址(IPv4)
        meta nfproto ipv6 ip6 daddr @private_address6_set accept                          # 绕过目标地址为保留IP的地址(IPv6)
        goto mihomo_tproxy                                                                # 其他流量透明代理到 mihomo
    }

    ## 透明代理
    chain mihomo_tproxy {
        meta l4proto { tcp, udp } tproxy to :$tproxy_port meta mark set $default_mark
    }

    ## output链
    chain output {
        type route hook output priority filter; policy accept;
        oifname != $interface accept                                                      # 绕过本机内部通信的流量（接口lo）
        meta mark $mihomo_mark accept                                                     # 绕过本机 mihomo 发出的流量
        fib daddr type { local, broadcast, anycast, multicast } accept                    # 绕过本地、单播、组播、多播地址
        udp dport { 53, 123 } accept                                                      # 绕过本机 DNS 查询、NTP 流量
        tcp sport $local_tcp_port accept                                                  # 绕过本地运行了服务的 TCP 端口，如果并不需要从公网访问这些端口，可以注释掉本行
        meta nfproto ipv4 ip daddr @private_address4_set accept                           # 绕过目标地址为保留IP的地址(IPv4)
        meta nfproto ipv6 ip6 daddr @private_address6_set accept                          # 绕过目标地址为保留IP的地址(IPv6)
        meta l4proto { tcp, udp } meta mark set $default_mark                             # 其他流量重路由到prerouting
    }
}

[Interface]
...

PostUp = ip route add local default dev eth0 table 100 ; ip rule add fwmark 1 lookup 100 ; /etc/wireguard/tproxy.nft
PostDown = nft flush ruleset ; ip route del local default dev eth0 table 100 ; ip rule del fwmark 1 lookup 100

...
[Peer]
...