@sacuba

> 感觉你的 key 都是可用的，建议隐藏一下

有意为之。key 相关的公网（内网）服务器是临时资源，验证完文章的正确性后就回收了。保持 key 的可用，可以让文章的读者更顺利的复现。

@sacuba 哈哈哈，我现在才明白你想跟我表达的意思。

@hallomou 阿里云张家口节点 2C0.5G T6 实例，5 年 300 元，折合每年 60 元（其他机房会贵一点，100 每年）。100 元里面不包含流量费（按量付费，0.8 元/G ，80Mbits/sec ）

自建，阿里云 T6 实例（ 2C0.5G)，每年 100 元，流量按量付费（峰值带宽 80Mbits/sec ），足够支撑一整个团队了。

- https://blog.jinmiaoluo.com/posts/wireguard-remote-development-network/
- https://blog.jinmiaoluo.com/posts/wireguard-leased-line-for-private-cloud/

不然 -> 不妨

@esee

我也是移动宽带，整个 WireGuard 网络的节点分布在新加坡，香港，北京，广州，暂时没有遇到你所说的问题。

运营商对 MTU 会有一定的限制（过大的 MTU 会导致丢包），所以在文章中，我默认 MTU 是 1280 。不然修改你的 MTU 为 1280 再试试。

PS: 默认 MTU 大小是 1500 ，降低 MTU 的是通过牺牲部分性能换取跨城通信的兼容性。

@kenvix 写这篇文章时希望这篇文章具有普遍可用的，NAT 穿透暂时不是普遍可用的，所以没涉及。

@0o0O0o0O0o 谢谢。

@Jat001 快速的看了一下这些项目（ tailscale/headscale zerotier netmaker netbird nebula ）的依赖，底层实际上都是 WireGuard 协议，并没有很大不同。

@jasonyang9

wg-quick 一套 bash 脚本，是对 [wg]( https://git.zx2c4.com/wireguard-tools/about/) 这个命令行工具的封装。

WireGuard 社区在推进 wireguard-tools 向 iproute2 的合并（最终希望基于 ip 命令而不是 wg 命令来管理 WireGuard 设备）

systemd-networkd 是 systemd 包的一部分，意味着你开箱即用，不需要在生产服务器上安装任何包（比如 wireguard-tools ）

@Augix 见 #3 。

> 能直通

两个位于运营商 NAT 设备后的局域网，能直通？

Headscale+Tailscale 如何解决这个场景的，可以说说。

@kenvix

> 能直通

两个位于运营商 NAT 设备后的局域网，能直通？

Headscale+Tailscale 如何解决这个场景的，可以说说。

@Rorysky 是的，有做更新。集群内有相关的监控告警实现（每台服务器每天自动检查一次），如果服务器上有更新的包超过 5 个，或者有任何 1 个安全漏洞相关的更新，会触发告警。

批量更新用的这个方案：

https://gitlab.archlinux.org/archlinux/infrastructure/-/blob/ae0abd2f87f2e287506c12b159d2ca7a86173bd5/playbooks/tasks/upgrade-servers.yml

跑一遍这个 playbook 我本地整个集群就更新上去了。

还是太保守了，我的所有服务器（ 30 台）都是 arch 🤡

@pkoukk 减少复杂度。服务器不需要安装任何工具（出厂默认有 SSH ），服务器添加一行配置，本地需添加两行配置即可。

git 协议实际上是基于 SSH 的，上面的配置，是基于 1.2.3.4 进行 SSH 流量中专（ ProxyJump ）的意思。

如果你有一台非中国大陆地区的服务器，假设信息如下：

地址是：1.2.3.4
用户名是：root

把本地的 SSH 公钥添加到服务器上，然后在本地 ~/.ssh/config 内添加：

Host github.com gitlab.com
ProxyJump [email protected]

即可（所有平台都可以，包括 Windows ，Windows 在 PowerShell 内操作）

不用依赖任何本地工具（比如 netcat)

石家庄 -> 张家口