OpenWRT 使用 udp2raw 对抗 WireGuard 阻断
内容提要
本文介绍如何在OpenWRT上使用udp2raw工具，将WireGuard的UDP流量伪装成TCP，以对抗协议特征识别和封锁。内容包括服务端与客户端的udp2raw配置、WireGuard服务端设置、OpenWRT安装WireGuard和udp2raw的步骤，以及通过init.d脚本管理udp2raw服务的方法。
延伸解读
伪装原理与适用场景
udp2raw 通过将 UDP 流量封装为 TCP 数据包（faketcp 模式），使 WireGuard 的流量在网络上看起来像普通 TCP 连接，从而规避基于协议特征的识别和封锁。这种方法适用于网络环境对 UDP 流量限制较严、但允许 TCP 通过的情况。需要注意的是，伪装并非加密，实际加密仍由 WireGuard 提供，因此安全性不因伪装而降低。
配置要点与端口选择
服务端和客户端的 udp2raw 配置需保持一致，包括密码、raw-mode 和端口。示例中使用 443 端口，这是 HTTPS 常用端口，可能更不易被封锁。但需注意，若 443 端口已被其他服务占用，需调整端口。另外，客户端本地监听端口（如 4096）需与 WireGuard 配置中的 Endpoint 端口对应，确保流量正确转发。
OpenWRT 上的注意事项
OpenWRT 安装 udp2raw 时，需根据设备架构选择正确的二进制文件（如 amd64、arm）。若系统缺少下载命令，可通过 Web 界面上传安装包。此外，可能需要安装 iptables-nft 及相关内核模块，以确保防火墙规则正常工作。配置脚本使用 UCI 和 procd 管理，修改配置后需重启服务生效。
Q&A
udp2raw 是什么？它如何帮助 WireGuard 对抗封锁？
udp2raw 是一个把 UDP 流量伪装成 TCP 的工具。WireGuard 默认使用 UDP，协议特征明显，容易被识别和封锁。udp2raw 通过将 WireGuard 的 UDP 数据包伪装成 TCP 流量，降低被识别的风险，从而帮助稳定连接。
在服务端和客户端，udp2raw 的基本命令行参数是什么？
服务端示例：udp2raw -s -l0.0.0.0:443 -r127.0.0.1:51820 -k udp2raw_password --raw-mode faketcp。客户端示例：udp2raw -c -r 11.22.33.44:443 -l127.0.0.1:4000 -k udp2raw_password --raw-mode faketcp。其中 -s 表示服务端，-c 表示客户端，-l 监听地址，-r 转发目标，-k 密码，--raw-mode faketcp 指定伪装模式。
在 OpenWRT 上安装 WireGuard 需要哪些步骤？
首先执行 opkg update，然后安装 wireguard-tools 和 luci-app-wireguard：opkg install wireguard-tools luci-app-wireguard。之后在 LuCI 中创建一个名为 wg0 的网络接口，远端节点 IP 和端口填写为 127.0.0.1 和 4096（因为 udp2raw 客户端监听本地 4096 端口）。
如何在 OpenWRT 上安装 udp2raw？
从 GitHub 下载 udp2raw_binaries.tar.gz，解压后找到对应架构（如 amd64、arm）的二进制文件，上传到 OpenWRT，然后移动到 /usr/bin/udp2raw 并赋予执行权限：mv /tmp/upload.ipk /usr/bin/udp2raw; chmod +x /usr/bin/udp2raw。如果 OpenWRT 缺少下载命令，可通过 System > Software 上传。
OpenWRT 上 udp2raw 的配置文件 /etc/config/udp2raw 主要包含哪些选项？
配置文件包含 mode（client 或 server）、local_addr、local_port、remote_addr、remote_port、password、raw_mode（如 faketcp）、auto_rule（是否自动添加防火墙规则）和 log_level 等选项。示例中客户端配置为 mode 'client'，local_addr '127.0.0.1'，local_port '4096'，remote_addr '11.22.33.44'，remote_port '443'，password 'udp2raw_password'，raw_mode 'faketcp'，auto_rule '1'。
如何通过 init.d 脚本管理 OpenWRT 上的 udp2raw 服务？
创建 /etc/init.d/udp2raw 脚本，内容包含 start_service() 和 start_instance() 函数，使用 procd 管理进程。脚本读取 /etc/config/udp2raw 配置，根据 mode 启动客户端或服务端。然后执行 chmod +x /etc/init.d/udp2raw，/etc/init.d/udp2raw enable 启用开机自启，/etc/init.d/udp2raw start 启动服务。修改配置后可用 /etc/init.d/udp2raw restart 重启。
在 OpenWRT 上修改 udp2raw 配置后如何生效？
可以使用 uci 命令修改配置，例如：uci set udp2raw.main.remote_addr='22.33.44.55'，uci set udp2raw.main.password='newpassword'，然后 uci commit udp2raw，最后执行 /etc/init.d/udp2raw restart 使配置生效。
