WireGuard

连接如何运作

Peer 公钥会与允许的隧道地址关联。AllowedIPs 按传出目标地址选择 Peer，并核对已验证传入数据包的源地址。路由、DNS 和账号管理仍需另外配置。

配置检查清单

• 每个 Peer 核对正确公钥。真实 PrivateKey 或 PresharedKey 不应放进公开问题、截图或示例。
• AllowedIPs 与系统路由一起核对。例如 10.0.0.0/24 指向该子网；0.0.0.0/0 与 ::/0 分别表示 IPv4 与 IPv6 默认目标范围。
• 核对端点、UDP 可达性，以及 NAT 后方是否需要 PersistentKeepalive。Keepalive 维持 NAT 映射，不会改变路由范围。

核对实际流量路径

• IPv4 与 IPv6 路由分别核对。一种地址的路由配置，不能证明另一种流量也受涵盖。
• 检查系统 DNS，以及自行选择解析器的应用。本网站的公开 DNS 查询不是设备 DNS 泄漏测试。
• 在自己的设备上观察一次受控断线。支持某协议不能证明客户端具有断线保护或指定应用路由。

排查连接问题

把端点可达性、认证、路由选择与 DNS 解析分开排查。记录客户端版本和完整错误，每次只变更一项配置。握手成功但无流量时，继续查路由与解析器；认证失败时，查账号、密钥或证书。

范围与限制

协议与客户端配置应一起查阅。成功握手不代表所有应用、IPv6 路由或 DNS 请求都已走隧道。

本页解释机制与检查方法，未提供本站速度、地区可用性或泄漏实测。吞吐量取决于实现、设备、网络路径与服务器，不能凭协议名称判定普遍最快的选项。