手把手操作 · 你的电脑 → 阿里云服务器 · 稳定隧道 | 2026-04-01

🔍 操作前先确认

你需要的信息

开始之前，先准备好以下信息，对着检查：

项目	说明	你填一下
服务器公网 IP	阿里云控制台可看到	`____.___.___.___`
服务器 SSH 端口	默认 22，如果有改过就用你的	`22`
你的电脑系统	Windows / macOS / Linux

🏗️ 整体架构

WireGuard 会建立一张虚拟网卡，两端各分配一个内网 IP：

  你的电脑 (WireGuard 客户端)          阿里云服务器 (WireGuard 服务端)
  ──────────────────────────         ─────────────────────────────────
  wg0: 10.0.0.2/24  ◄── UDP 51820 ──►  wg0: 10.0.0.1/24
                                       eth0: 公网IP: 47.x.x.x
                                       lo:   127.0.0.1:18789 (OpenClaw)
                                             127.0.0.1:22    (SSH)

  连接后：
  你的电脑 → SSH → 10.0.0.1:22 （用 VPN 内网 IP 连接，不暴露公网 SSH）
  你的电脑 → 浏览器 → 10.0.0.1:18789 （OpenClaw Dashboard）

💡 为什么用 VPN 而不是直接暴露 SSH？

家庭宽带没有固定公网 IP，直接 SSH 暴露端口有安全风险
VPN 建立后，你用 10.0.0.1 这个固定内网 IP 访问，不暴露服务器公网端口
WireGuard UDP 协议，延迟低、性能好、耗电少

🖥️ 第一步：阿里云服务器配置（服务端）

1.1 SSH 登录到服务器

ssh -p 22 root@你的服务器公网IP
# 或者用密钥登录
ssh -i ~/.ssh/your_key.pem root@你的服务器公网IP

1.2 安装 WireGuard

# Ubuntu / Debian
apt update && apt install wireguard -y

# CentOS
# yum install epel-release -y
# yum install wireguard-tools -y

WireGuard 已经进入 Ubuntu 20.04+ 默认仓库，安装非常快。

1.3 在服务器上生成密钥对

# 生成服务端密钥
wg genkey | tee server_private.key | wg pubkey > server_public.key
# 查看服务端公钥（稍后要用）
cat server_public.key

记住输出的公钥内容，如 aBcDeFgH...，下一步要用。

1.4 写服务端配置文件

# 创建配置目录（如果不存在）
mkdir -p /etc/wireguard

# 创建 wg0.conf（服务端配置文件）
nano /etc/wireguard/wg0.conf

写入以下内容，把 <服务端私钥> 替换成上一步生成的私钥：

# 替换方法：先运行 cat server_private.key 拿到私钥

[Interface]
PrivateKey = <服务端私钥>          # 运行 cat server_private.key 获得
Address = 10.0.0.1/24               # 服务端固定内网 IP
ListenPort = 51820                  # UDP 监听端口
PostUp   = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey  = CLIENT_PUBLIC_KEY      # 客户端公钥（下一步在客户端生成）
AllowedIPs = 10.0.0.2/32             # 客户端固定内网 IP

1.6 启动 WireGuard

# 设置文件权限（安全要求）
chmod 600 /etc/wireguard/wg0.conf

# 启动
systemctl start wg-quick@wg0

# 开机自启
systemctl enable wg-quick@wg0

# 查看运行状态
wg show

✅ 如果 wg show 输出看到了 wg0 接口，说明 WireGuard 已正常运行。

💻 第二步：你的电脑配置（客户端）

客户端密钥生成（在服务器上操作，避免私钥传输）

# 在服务器的 /tmp 目录下生成客户端密钥（生成后私钥在这里暂时保管）
wg genkey | tee client_private.key | wg pubkey > client_public.key
cat client_public.key
# 输出 client 公钥，复制它，然后回到服务器端填入 wg0.conf

把客户端公钥填回服务器

# 回到服务器，编辑 wg0.conf，替换 CLIENT_PUBLIC_KEY
nano /etc/wireguard/wg0.conf

把 CLIENT_PUBLIC_KEY 替换成上一步输出的客户端公钥，然后保存退出。

# 重启 WireGuard 使配置生效
systemctl restart wg-quick@wg0

把客户端私钥和安全地传到你的电脑

⚠️ 关键：不要通过微信/QQ/邮件传私钥

用以下安全方式之一：

# 方式1（推荐）：在服务器上base64编码，打印到终端，你手动抄下来
cat client_private.key          # 会显示类似 YGJhZDEyMzQ1Njc4OTBhIGFiY2Q= 这样的字符串

# 方式2：通过 SSH SCP 传文件（如果你电脑有 SSH client）
scp root@你的服务器IP:/tmp/client_private.key ~/client_private.key

# 方式3：base64 输出，手动复制
base64 client_private.key       # 复制输出内容，到你电脑上 base64 -d 还原

根据你的操作系统安装客户端

🍎 macOS

# 用 Homebrew 安装
brew install wireguard-tools

# 或者下载官方客户端
# https://www.wireguard.com/install/

🪟 Windows

# 下载官方客户端
# https://download.wireguard.com/windows-client/wireguard-installer.exe

🐧 Linux

sudo apt install wireguard -y

📱 iOS / Android

# App Store / Play Store 搜索 "WireGuard" 官方客户端

写客户端配置文件

在你的电脑上，创建配置文件 ~/wireguard/wg0.conf（macOS/Linux）或通过客户端 App 导入：

# macOS 用 sudo 创建配置文件
sudo mkdir -p /etc/wireguard
sudo nano /etc/wireguard/wg0.conf

# 配置文件内容（按实际情况替换）
[Interface]
PrivateKey = <客户端私钥>              # 上一步生成的客户端私钥
Address    = 10.0.0.2/24               # 客户端固定内网 IP
DNS        = 223.5.5.5, 119.29.29.29   # 国内 DNS，不劫持

[Peer]
PublicKey  = <服务端公钥>              # 服务器上 cat server_public.key 的输出
Endpoint   = 你的服务器公网IP:51820   # 如 47.98.123.456:51820
AllowedIPs = 10.0.0.0/24              # 只走 VPN 的网段（推荐）
PersistentKeepalive = 25              # 保持 UDP 连接（NAT 环境需要）

💡 AllowedIPs 两种设置的区别

AllowedIPs = 10.0.0.0/24（推荐）：只有访问 10.0.0.x 网段时才走 VPN，其他流量正常走本地宽带，不影响国内应用速度
AllowedIPs = 0.0.0.0/0：所有流量都走 VPN，速度会慢，但更安全

macOS 启动 WireGuard

# 启动 VPN 连接
sudo wg-quick up wg0

# 关闭 VPN
sudo wg-quick down wg0

# 开机自动连接（可选）
sudo ln -s /usr/local/bin/wg-quick /usr/local/bin/wg-auto-up

☁️ 第三步：阿里云安全组放行

在阿里云控制台操作

登录阿里云 ECS 控制台
找到你的实例 → 安全组 → 配置规则
点击 入方向 → 手动添加

协议	端口	来源	备注
UDP	51820	0.0.0.0/0	WireGuard VPN

⚠️ 注意

如果你的 ISP 对 UDP 51820 做了限速或阻断，WireGuard 可能连不上。这时候用方案 B：OpenVPN（见下文）。

✅ 第四步：测试连接

在你的电脑上测试

# 启动 VPN（macOS/Linux）
sudo wg-quick up wg0

# ping 服务器（走 VPN 内网 IP）
ping 10.0.0.1

# SSH 连接（用 VPN IP，不暴露公网）
ssh root@10.0.0.1

# 浏览器访问 OpenClaw Dashboard
# 打开浏览器访问：
http://10.0.0.1:18789

✅ 如果 ping 通了 10.0.0.1，说明 VPN 已建立成功！

🎉 连接成功！

以后你远程访问服务器，只需：

启动 WireGuard 客户端 → 连接
SSH：ssh root@10.0.0.1
OpenClaw Dashboard：http://10.0.0.1:18789

不需要记服务器公网 IP，不需要暴露任何公网端口。

🔄 备选方案：OpenVPN（如果 WireGuard 不通）

如果你的宽带 ISP 对 UDP 做了严格限制（少见但存在），WireGuard 可能握手失败。这时用 OpenVPN 作为备选，它走 TCP 443 端口，跟 HTTPS 网站流量一模一样，几乎不会被阻断。

O2 生成 PKI 证书

make-cadir /etc/openvpn/easy-rsa
cd /etc/openvpn/easy-rsa
./easyrsa init pki
./easyrsa build-ca
# 给 CA 证书设置一个密码（记住它），Common Name 填：OpenVPN-CA

O3 生成服务端证书

./easyrsa gen-req server nopass
./easyrsa sign-req server server
# 确认签名：输入 yes，然后输入上一步的 CA 密码

O5 写服务端配置文件

nano /etc/openvpn/server.conf

port 443
proto tcp
dev tun
ca /etc/openvpn/easy-rsa/pki/ca.crt
cert /etc/openvpn/easy-rsa/pki/issued/server.crt
key /etc/openvpn/easy-rsa/pki/private/server.key
dh /etc/openvpn/easy-rsa/pki/dh.pem
tls-auth /etc/openvpn/ta.key 0
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 223.5.5.5"
keepalive 10 120
cipher AES-256-GCM
auth SHA256
persist-key
persist-tun
status openvpn-status.log
verb 3

O6 开启 IP 转发 & 启动

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

systemctl start openvpn@server
systemctl enable openvpn@server
systemctl status openvpn@server

O7 生成客户端配置（包含证书）

cd /etc/openvpn/easy-rsa
./easyrsa gen-req client nopass
./easyrsa sign-req client client
# 确认签名：输入 yes，然后输入 CA 密码

把以下内容保存为 client.ovpn（记得替换证书部分）：

client
dev tun
proto tcp
remote 你的服务器公网IP 443
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-256-GCM
auth SHA256
verb 3

# 下面三块内容从服务器上复制过来：
# -----BEGIN CERTIFICATE----- 到 -----END CERTIFICATE----- 粘贴到这里（ca.crt）
# -----BEGIN CERTIFICATE----- 到 -----END CERTIFICATE----- 粘贴到这里（client.crt）
# -----BEGIN PRIVATE KEY----- 到 -----END PRIVATE KEY----- 粘贴到这里（client.key）
# -----BEGIN OpenVPN Static key V1----- 到 -----END OpenVPN Static key V1-----（ta.key）

协议	端口	来源
TCP	443	0.0.0.0/0

O9 客户端下载 OpenVPN

macOS：App Store 搜索 Tunnelblick（免费）
Windows：OpenVPN Connect
iOS/Android：App Store/Play Store 搜索 OpenVPN Connect

把 client.ovpn 文件通过 AirDrop/网盘传到手机，用 OpenVPN Connect App 导入即可。

❓ 常见问题 FAQ

Q1: WireGuard 连接成功但 ping 不通 10.0.0.1？

检查服务端防火墙和 iptables：

# 在服务器上执行
iptables -L -n | grep wg0
# 应该看到 ACCEPT 规则

# 如果没有，手动加一下
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Q2: WireGuard 连不上，UDP 被阻断？

在国内常见于部分企业网络或校园网。换用 OpenVPN（TCP 443）基本都能通。

Q3: VPN 连接后网速很慢？

WireGuard 性能很好，理论上接近物理网卡限速。慢通常是服务器带宽或物理距离问题。

确认用的是 AllowedIPs = 10.0.0.0/24 而不是 0.0.0.0/0（前者只走 VPN 流量，后者所有流量都挤 VPN）
检查服务器带宽规格，低配 ECS 百兆带宽足够

Q4: 每次连接都要手动输入密码？

可以用密钥登录服务器，然后 WireGuard 配置文件里写好私钥路径。推荐用 WireGuard 的密钥机制，比密码安全得多。

Q5: 想让多台设备都能连？

在服务端的 wg0.conf 里多加几个 [Peer] 段即可，每个设备一个 Peer，AllowedIPs 分配不同的 10.0.0.x 地址。

# 服务端 wg0.conf 示例：3个客户端
[Peer]                    # 客户端 1（你的电脑）
PublicKey = xxx1
AllowedIPs = 10.0.0.2/32

[Peer]                    # 客户端 2（手机）
PublicKey = xxx2
AllowedIPs = 10.0.0.3/32

[Peer]                    # 客户端 3（备用电脑）
PublicKey = xxx3
AllowedIPs = 10.0.0.4/32

🖥️ 电脑远程连接阿里云：WireGuard VPN 实战