1、总部：

2、远程办公室 A：

3、远程办公室 B：

WireGuard 配置

在三个pfSense防火墙上，分别导航到VPN > WireGuard > 设置，选中启用，接口组成员选择仅未分配的隧道，如下图所示。

设置完成以后，点击保存，才能在后面添加远程端点。

远程端点配置

导航到VPN > WireGuard > 隧道，找到刚才添加的WireGuard隧，单击隧道行的末尾编辑图标，打开隧道编辑页面，在页面底部，点击添加对端：

1、总部设置。添加两个远程办公室端点。

办公室A设置信息如下图所示，这里的公钥填写在办公室A上生成的。

办公室B设置信息如下图所示，这里的公钥填写在办公室B上生成的。

2、远程办公室A设置

在远程办公室A，找到刚才添加的WireGuard隧道，单击隧道行的末尾编辑图标，打开隧道编辑页面，在页面底部，点击添加总部的端点信息，注意这里的公钥填总部上生成的，允许IP填上远程办公室B的子网。

3、远程办公室B设置

在远程办公室B，找到刚才添加的WireGuard隧道，单击隧道行的末尾编辑图标，打开隧道编辑页面，在页面底部，点击添加总部的端点信息，注意这里的公钥也是填总部上生成的，允许IP填上远程办公室A的子网。

这些步骤必须在三个站点上同时完成。

首先，修复默认网关，确保不会自动选择 WireGuard：导航到系统 > 路由，将默认网关IPv4设置为特定网关（例如WANGW）或组，如果此 VPN 也将承载 IPv6 流量，请以类似方式设置默认网关 IPv6，保存后并应用更改。如下图所示：

接下来，分配WireGuard使用的接口：

• 导航到接口 > 分配
• 在可用网络端口列表中选择类似于tun_wg的接口
• 单击” ” 图标，将接口分配为新的 OPT 接口（如 OPT1）
• 导航到接口配置页面，接口 > OPTx
• 启用接口
• 输入描述信息，如VPN_HQ（例如、VPN_SITEA或VPN_SITEB）
• 使用之前确定的信息填写选项，并注明每个站点的变化：

1、总部设置 (VPN_HQ)

• IPv4 配置类型
• Static IPV4
• IPv4 地址
• 172.16.0.1/30

2、远程办公室 A 设置 (VPN_SITEA)

• IPv4 配置类型
• Static IPV4
• IPv4 地址
• 172.16.0.2/30

3、远程办公室 B 设置 (VPN_SITEB)

• IPv4 配置类型
• Static IPV4
• IPv4 地址
• 172.16.0.3/30

点击保存并应用更改

添加防火墙规则

首先，在三个防火墙的WAN 选项卡上中添加一条规则，放行51820端口，以允许流量到达WireGuard。

需要注意的是，对等体之间流动的流量受相关 WireGuard 接口上的防火墙规则的约束。

导航到防火墙 > 规则策略，WAN选项卡，单击向上的箭头图标，在列表顶部创建一个新的防火墙规则。如下图所示：

填写完成后如下图所示：

注意：源通常设置为any，但填写对方防火墙的 IP 地址会更安全。

接下来，在三个防火墙上添加一条规则以允许在WireGuard 隧道内传递流量。

导航到防火墙 > 规则策略，单击分配的WireGuard 接口，单击向上的箭头图标，在列表顶部创建一个新的防火墙规则，如下图所示。

添加路由

在三个站点上添加允许互访的静态路由。第一步先添加网关。导航到系统 >路由管理 > 网关，在三个站点上分别添加下面的网关。

1、总部设置1

• 接口tun_wg
• 地址族IPv4
• 名称WG_SITEA_GW4
• 网关172.16.0.2

2、总部设置2

• 接口tun_wg
• 地址族IPv4
• 名称WG_SITEB_GW4
• 网关172.16.0.3

3、远程办公室 A/B

• 接口tun_wg
• 地址族IPv4
• 名称WG_HQ_GW4
• 网关172.16.0.1

下面添加静态路由。导航到系统 > 路由管理，为以下网络添加静态路由，完成跨 VPN 路由访问。导航到系统 > 路由 > 静态路由，添加静态路由。使用之前确定的信息填写选项，并注明每个站点的变化。