OpenWrt 使用 udp2raw 伪装 WireGuard 流量：完整配置指南
内容提要
本文介绍如何在OpenWRT上使用udp2raw工具，将WireGuard的UDP流量伪装成TCP，以对抗协议特征识别和封锁。内容包括服务端与客户端的udp2raw配置、WireGuard服务端设置、OpenWRT安装WireGuard及udp2raw的步骤，并提供了完整的init.d脚本和UCI配置方法，实现稳定连接。
延伸解读
伪装原理与适用场景
WireGuard 的 UDP 流量特征明显，容易被深度包检测识别。udp2raw 通过将 UDP 封装成 TCP（faketcp 模式），使流量看起来像普通 TCP 连接，从而绕过封锁。此方案适用于网络中对 UDP 限制较严、但对 TCP 较为宽松的环境。但需注意，faketcp 并非真正的 TCP 协议，仅模拟 TCP 头，可能仍被高级检测识别。
配置要点与注意事项
配置中需确保服务端 udp2raw 监听端口（如 443）与 WireGuard 监听端口（51820）正确对应，客户端 udp2raw 将本地端口（如 4096）转发至服务端。OpenWRT 上需安装 iptables-nft 等依赖，并注意上传 udp2raw 二进制文件时选择正确的架构（amd/arm）。若使用防火墙，需放行相应端口。
稳定性与维护建议
文章提供了 init.d 脚本和 UCI 配置，便于 OpenWRT 管理 udp2raw 服务。脚本中设置了 respawn 参数，服务异常退出后会自动重启，增强稳定性。修改配置时可通过 uci 命令动态更新，无需手动编辑文件，但需重启服务生效。建议定期检查服务状态，确保伪装层正常运行。
Q&A
为什么 WireGuard 容易被封锁？
WireGuard 本身协议特征比较明显，默认配置很容易被识别甚至封锁。
udp2raw 的作用是什么？
udp2raw 可以把 UDP 流量伪装成 TCP，从而隐藏 WireGuard 的 UDP 特征，对抗封锁。
在服务端如何配置 udp2raw？
在服务端使用命令：udp2raw -s -l0.0.0.0:443 -r127.0.0.1:51820 -k udp2raw_password --raw-mode faketcp。其中 -s 表示服务端模式，-l 监听 443 端口，-r 转发到本机 WireGuard 端口 51820。
在 OpenWRT 上如何安装 udp2raw？
从 GitHub 下载 udp2raw_binaries.tar.gz，解压后找到对应架构的二进制文件（如 amd/arm），上传到 OpenWRT，然后移动到 /usr/bin/udp2raw 并赋予执行权限。
OpenWRT 上 udp2raw 的 UCI 配置如何设置？
编辑 /etc/config/udp2raw，设置 mode 为 client，local_addr 为 127.0.0.1，local_port 为 4096，remote_addr 为服务端 IP，remote_port 为 443，password 为设置的密码，raw_mode 为 faketcp，auto_rule 为 1。
如何让 udp2raw 在 OpenWRT 上开机自启？
创建 /etc/init.d/udp2raw 脚本，赋予执行权限，然后运行 /etc/init.d/udp2raw enable 和 /etc/init.d/udp2raw start。
修改 udp2raw 配置后如何生效？
使用 uci set 修改配置后，执行 uci commit udp2raw 和 /etc/init.d/udp2raw restart 即可生效。
