@dodakt 也许人家本来只打算面向的就是 64K 、2M 乃至什么 155M 之类的“专线”线路呢。一些奇奇怪怪的业务功能和合法合规要求家用也涉及不到。

这难道不是最基本的产品质量管理流程？生产那边任何上线的东西都应该是只能出自 master 分枝，甚至会有一些组织单独做一个 release 分支提交生产上线。怎么能让开发人员自己就随随便便把 develop 乃至自己手头的东西提交给生产呢？

所谓“企业”只是说面向的销售商业渠道不一样吧，跟所谓的功能乃至性能有什么必然的关系。哪来这么多有的没的。别自己给自己加戏好不好。

“请半个月的事假”这是什么操作？在做一步之前，你就没跟对方问一句？对方是你什么人？

隐藏信息太多，无法判断。合影留念。

用了很长时间了，自己的好几个小应用都用动态域名从外面访问，在外边也用 WireGuard 和 IPv6 回家，用家里的科学（ OSPF+WireGuard ）出去。

@ursash 你写成了什么？

“服务器”那一侧，peer 的 AllowedIPs 里写 peer 的 IP/32
“客户机”这一侧，interface 里 address 写 peer 的 IP/24

@Ipsum 不需要。wg 的算法不需要去 debug 。不通无非是：

1 、私钥、公钥、密码三个字符串没写对，比如少了末尾的=号
2 、endpoint 的 IP 和端口号没写对
3 、防火墙上的端口没打开
4 、wg 接口本身的 IP 没写对

基本就是几个文本字符串比对一下的事情。

你如果不提供你的配置文件，别人没办法帮你。

你 macbook 上的配置，公钥什么的，放在机房还是家里的配置文件里了？

三个局域网的网段不要相同。
WG 节点之间建立的网段跟那三个都不一样，是第四个网段。
每个节点的配置文件，都是 interface 是自己，其他两个写在 peer 里
核心：根据每个网段的配置写好 AllowedIPs

不用什么倒霉的 docker ，凭空增加复杂度。

都是些最基本的路由概念，没什么难度。

俺们乡下人只会折腾 RouterOS 和 Linux ，你说的这两个路由器和你用的 Windows 俺都不知道是什么东西，只能帮你到这里了。

A 设置好 DDNS ，具体怎样看你的路由器是什么了，把自己的公网 IPv4 和 v6 都设给 ddns 的动态域名，比如我用 dynv6

B 和 C 的设置文件里，A 的 Endpoint 写动态域名和端口。

B 和 C 如果是个服务器，可以写脚本定时去 ping 节点 A 的 wg 地址，如果 Ping 不通就重新建立 wg 连接。因为 wg 仅仅在建立连接的时候查询域名，之后在内核里就只有 IP 地址了。

有现成的例子可供参考 /usr/share/doc/wireguard-tools/examples/reresolve-dns

两地各自的 LAN 不要用同一个网段（ 比如不要都是 192.168.1.x ），然后用 wireguard 连接即可，超简单的。都是境内机器，也不需要都有公网 IPv4 地址，用 IPv6 也可。两头都是 RouterOS 路由器的话更好。
随便找几篇 wireguard 的扫盲文章看看就好，没什么难的。

超简单。

A 就做中心节点，配置好 DDNS 即可。
B 和 C 都是 peer ，连接到 A 。当然这样做 BC 之间访问要经过 A ，无所谓了。

需要确认的是，B 的路由器是什么，有没有运行脚本检测 wg 链接是否接通的能力，否则 A 一旦断线换新 IP 后 B 和 C 都会断线，需要重新建立 wg 链接。

建议关闭国内各种视频网站，没有买卖就没有伤害。

这是最最基本的安全常识，几十年来无论什么发行版，我们都是主动禁止 root 通过 ssh 登录，你居然还要反其道而行？做一个 ed25519 的证书那么简单的事情，安全性提高了几万倍，为什么不去做？