WireGuard 协议解析
WireGuard 是一种基于现代密码学的开源隧道协议，以 Noise 框架握手、固定密码套件与数千行的精简实现著称。本文解析其握手过程、密钥模型、代码量、性能与功耗表现，并与传统 VPN 协议做客观对比。
更新于 2026-09-01 · 约 6 分钟
WireGuard 是一种开源的 VPN 隧道协议与实现，由 Jason A. Donenfeld 于 2015 年前后发起，2020 年随 Linux 5.6 并入内核主线。它的设计目标很明确：用尽可能少的代码、尽可能少的可配置项，实现一条安全、快速、易于审计的加密隧道。TP VPN 的 iOS 与 Android 客户端只使用这一种协议。本文说明它的工作原理，以及它与传统协议的差异。
设计原则：少即是多
传统 VPN 协议通常允许在多种加密算法、哈希函数与密钥交换方式之间协商，配置项繁多，实现也随之庞大。WireGuard 反其道而行：
- 固定的密码套件。 协议只使用一组经过充分研究的原语，没有算法协商。若某个原语将来被发现存在弱点，解决方式是发布新的协议版本，而不是在运行时降级。
- 默认静默。 节点不会响应任何未通过身份验证的数据包。对网络扫描器而言，一台 WireGuard 服务器看起来与不存在无异。
- 以公钥为身份。 每个对端由一个 Curve25519 公钥标识，不需要证书体系、用户名或密码。
- 无状态漫游。 对端可以随时更换 IP 地址，只要数据包能通过身份验证，隧道就会继续。
基于 Noise 框架的握手
WireGuard 的握手采用 Noise 协议框架中的 IK 模式，主要原语包括：
| 用途 | 原语 |
|---|---|
| 密钥交换 | Curve25519（椭圆曲线 Diffie-Hellman） |
| 认证加密 | ChaCha20-Poly1305 |
| 哈希与密钥派生 | BLAKE2s、HKDF |
| 传输层 | UDP |
握手只需要一个往返：发起方发送一条包含临时公钥与加密身份的消息，响应方回复一条消息，双方即可派生出会话密钥。握手消息中携带 TAI64N 格式的时间戳，用于抵御重放攻击，这也是设备时间被大幅回拨时无法连接的原因。为了抵御洪水攻击，服务器在负载过高时可以要求发起方先出示一个基于其地址计算的 cookie，从而避免在未验证的请求上消耗计算资源。
会话密钥每两分钟左右重新协商一次，并在一定数量的数据包之后强制轮换；旧密钥随即丢弃。这意味着即使某个长期私钥在未来泄露，过去的会话也无法被解密，即前向保密。
密钥模型与「密钥路由」
WireGuard 把公钥与允许的 IP 地址范围绑定在一起，称为 cryptokey routing：收到一个解密成功的数据包时，实现会检查其内层源地址是否属于该公钥被允许的范围；发送数据包时，则按目的地址查找应使用哪个对端的公钥加密。这一机制把「身份」与「路由」合并为一张表，省去了额外的访问控制层。
在 TP VPN 中，密钥对在客户端首次注册设备时于本地生成：私钥只写入 iOS Keychain 或 Android Keystore，服务端仅保存公钥。每台设备拥有独立的密钥对，移除设备即吊销其公钥，隧道随之失效。隧道配置由 App 自动下发，用户不需要手动导入任何文件。
代码量与可审计性
WireGuard 最初的 Linux 内核实现只有约四千行代码，而传统协议栈的实现规模通常大一到两个数量级。代码量小带来的直接好处是：安全研究者可以在合理的时间内通读全部代码；缺陷更容易被发现与修复；攻击面更小。协议本身也经过了形式化验证与多轮学术分析，这是它能够被并入内核主线的重要原因。
性能与功耗
- 内核级转发。 在 Linux 服务器上，数据包的加解密与转发在内核中完成，避免了用户态与内核态之间的反复拷贝。
- 轻量的密码运算。 ChaCha20-Poly1305 在没有专用硬件加速的移动处理器上也表现良好，对电量友好。
- UDP 传输。 隧道不会把 TCP 流量再套一层 TCP，避免了双重重传导致的性能退化。
- 网络切换无感。 从 Wi-Fi 切换到移动网络时，设备地址改变，但身份不变，隧道可原地恢复而无需重新握手登录。
- 无空闲开销。 没有流量时，WireGuard 不主动发送数据（除非配置了保活），设备可以正常休眠。
实际耗电主要取决于您传输了多少数据，而不是隧道本身。
与传统协议的对比
以下比较针对协议设计本身，不涉及任何具体产品：
| 维度 | WireGuard | 传统 IPsec/IKEv2 | 基于 TLS 的用户态隧道 |
|---|---|---|---|
| 密码套件 | 固定，无协商 | 可协商，配置复杂 | 可协商，依赖 TLS 库 |
| 握手 | 1 个往返 | 多个往返 | 多个往返 |
| 实现规模 | 约数千行 | 数万至数十万行 | 数十万行（含 TLS 库） |
| 运行位置 | 内核（Linux）或用户态实现 | 内核 | 用户态 |
| 传输层 | 仅 UDP | UDP（ESP/NAT-T） | UDP 或 TCP |
| 漫游 | 原生支持 | 需要扩展（MOBIKE） | 通常需要重连 |
传统协议并非不安全，它们在企业网络中经过了长期检验；差异在于 WireGuard 用更少的部件达到了同等或更高的安全目标，代价是灵活性更低。
局限与注意事项
- WireGuard 只使用 UDP。在只允许 TCP 或严格限制 UDP 的网络中可能无法建立连接，此时可尝试更换网络。
- 协议本身不隐藏「正在使用 WireGuard」这一事实；它的目标是保护内容，而不是伪装流量形态。
- 由于握手依赖时间戳，请保持设备时间自动同步。
TP VPN 如何使用 WireGuard
TP VPN 只提供 WireGuard 一种协议，不在客户端中并行维护多种协议。集中于一种经过广泛审计的协议，可以让配置更简单、行为更可预期，也让安全评估的范围更清晰。服务端节点在 Linux 内核中完成转发，客户端在连接中断后按指数退避自动重连。相关细节见WireGuard 协议功能页。