WireGuard 连接原理的核心在于“无握手、按需响应”的对等端模型。客户端与服务器之间没有独立的控制通道，数据流直接通过 UDP 传输加密载荷。连接建立时，客户端发送一个包含握手请求的包，服务器验证后生成会话密钥并回传响应；此后双方复用该密钥进行对称加密通信。若静默时间超过阈值（通常由 PersistentKeepalive 参数控制，默认 25 秒），客户端需重新发起握手以刷新密钥。
无握手模型的UDP加密通信，展现WireGuard连接的高效与流畅。
UDP 端口监听与协议绑定
WireGuard 仅支持 UDP 协议。这意味着在 51820 端口（常见默认值）监听 UDP 流量，与在同一端口监听 TCP 流量是完全隔离的两个独立端点。网络防火墙规则若仅开放 UDP 51820，TCP 流量无法通过；反之亦然。配置时需明确指定为 UDP，避免与 SSL-VPN（常走 TCP 443）等协议混淆。
AllowedIPs 的双重校验机制
AllowedIPs 字段不仅决定哪些目的 IP 的出站流量会被路由进 WireGuard 隧道，还严格限制入站包的源地址。例如，若客户端配置 AllowedIPs 为 10.0.0.0/8，则只有源 IP 落在该网段范围内的入站包才会被接受解密。若服务器发来的包源 IP 不在列表中，客户端将直接丢弃。这并非简单的路由表项，而是实现了源地址白名单校验，防止伪造源 IP 的注入攻击。
0.0.0.0/0 并非吞并所有流量
配置 AllowedIPs 为 0.0.0.0/0 意味着客户端希望将默认路由指向 VPN 接口，从而将绝大部分互联网流量导入隧道。但这不表示它会吞掉所有网络流量。本地回环地址（127.0.0.1）以及系统路由表中优先级更高的直连网络（如本地子网接口）通常仍走本地网卡。实际路由行为受操作系统路由表策略影响，需结合 route print 或 netstat 验证具体路径，网络加速器不能仅凭配置断定全量重定向。
PersistentKeepalive 的作用
PersistentKeepalive 设置客户端周期性发送加密的 keepalive 包，即使无实际数据流量。其主要目的是维持 NAT 映射不超时，确保在路由器或防火墙的会话表中保留 UDP 条目。若未设置，长时间空闲后 NAT 表项过期，下次通信需重新握手，增加延迟。该参数为单数字段，单位秒，红梅VPN通常建议设置为 20–25 秒，略小于常见 NAT 会话超时时间。它不改变密钥协商频率，仅影响连接保持状态。
