让香港服务器上的 Claude Code 从美国住宅 IP 出网

# wg 接口先在 root ns 创建 —— 它的 UDP 加密 socket 会绑定在 root ns,
# 加密包因此能经香港物理网卡发往美国家
ip link add wg0 type wireguard
wg set wg0 private-key /etc/wireguard/hk.key listen-port 51820 \
    peer <HOME_PUBKEY> allowed-ips 0.0.0.0/0 persistent-keepalive 25
# 香港只监听、不配对端 Endpoint:由美国家主动拨进来(见第 06 节)

ip netns add claude
ip link set wg0 netns claude        # 搬接口;socket 不跟着走,仍在 root ns

ip -n claude link set lo up
ip -n claude addr add 10.9.0.1/24 dev wg0
ip -n claude link set wg0 mtu 1380 up
ip -n claude route add default dev wg0     # netns 里唯一的默认路由就是隧道

mkdir -p /etc/netns/claude
printf 'nameserver 1.1.1.1\n' > /etc/netns/claude/resolv.conf

# ccuser = 跑 Claude Code 的普通用户,换成你自己的
ip netns exec claude runuser -u ccuser -- claude

[Interface]
PrivateKey = <HOME_PRIVKEY>
Address    = 10.9.0.2/24

[Peer]                                  # 香港服务器
PublicKey  = <HK_PUBKEY>
Endpoint   = <香港公网IP>:51820          # 家里主动拨向香港,穿 NAT/CGNAT
AllowedIPs = 10.9.0.0/24                # 只接受隧道子网
PersistentKeepalive = 25                # 撑住 NAT 映射 + 让香港学到家里当前地址

sysctl -w net.ipv4.ip_forward=1
WAN=$(ip route show default | awk '{print $5; exit}')   # 家里出网网卡

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o "$WAN" -j MASQUERADE
iptables -A FORWARD -i wg0 -s 10.9.0.0/24 -j ACCEPT
iptables -A FORWARD -o wg0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# PPPoE 黑洞 PMTU 时给 TLS 兜底
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

wg-quick up wg0

#!/usr/bin/env bash
set -euo pipefail

ip link show wg0 >/dev/null 2>&1 || ip link add wg0 type wireguard
wg set wg0 private-key /etc/wireguard/hk.key listen-port 51820 \
    peer <HOME_PUBKEY> allowed-ips 0.0.0.0/0 persistent-keepalive 25

ip netns add claude 2>/dev/null || true
ip link set wg0 netns claude
ip -n claude link set lo up
ip -n claude addr add 10.9.0.1/24 dev wg0 2>/dev/null || true
ip -n claude link set wg0 mtu 1380 up
ip -n claude route add default dev wg0 2>/dev/null || true

[Unit]
Description=Claude netns + WireGuard underlay
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/usr/local/sbin/claude-netns-up.sh

[Install]
WantedBy=multi-user.target

chmod +x /usr/local/sbin/claude-netns-up.sh
systemctl daemon-reload
systemctl enable --now claude-netns.service

# 之后跑 Claude Code 都经这个包装进命名空间(交互式)
# 写成 /usr/local/bin/cc:
#   #!/bin/sh
#   exec sudo ip netns exec claude runuser -u ccuser -- claude "$@"

# 1. netns 里看到的应是美国住宅 IP、loc=US
sudo ip netns exec claude curl -s https://www.cloudflare.com/cdn-cgi/trace
#   ip=<美国住宅IP>   loc=US   ← Cloudflare 把你当美国住宅,而不是机房

# 2. root ns(对照):还是香港 IP,证明只隔离了 Claude Code、管理面没动
curl -s https://api.ipify.org ; echo

# 3. 关键:把美国家的 wg 停掉(在美国家 wg-quick down wg0),再在 netns 内 curl
#    必须超时 / 失败,绝不能返回香港 IP —— 这就是 fail-closed 的实证
sudo ip netns exec claude curl -m 10 https://api.ipify.org   # 期望:超时