被 Linux 内核收录的 VPN 协议，WireGuard 到底有多强？

admin

2025年12月10日 1:48 本文热度 11

我们之前介绍过如何通过 OpenVPN 访问家里的网络，更多信息请参考OpenVPN 部署实用指南。

收到了很多小伙伴的留言和私信，其中关于 WireGuard 的呼声实在太高，再加上各宽带运营商在分配 IPv4 公网地址这件事情上越来越小气，投向 IPv6 的怀抱才是未来——基本都能轻松拿到 IPv6 的公网地址。且可以为家中的每一个设备都分配一个，IPv4 时代从来没打过这么富裕的仗，这吸引力不可谓不大。

那么本期我们就来搞定 WireGuard 的部署~

WireGuard 是什么？

WireGuard 是一款基于现代加密技术的开源 VPN 协议，由 Jason A. Donenfeld 于 2016 年开发。它最初是为 Linux 内核设计的，但现在已支持 Windows、macOS、iOS、Android 等全平台。Linus Torvalds 在邮件中称赞 WireGuard 是“可读性和安全性兼备的典范”，并于 2020 年 3 月合并至 Linux 内核（随 Linux 5.6 正式发布）。这位大佬的脾气大家都知道，总听到他骂人，能得到他的称赞从另外一方面也证明了 WireGuard 的强大。

相比传统 VPN 协议（如 OpenVPN、IPSec），WireGuard 的最大特点就是——轻量、快速、安全、易配置。

英文全称：WireGuard VPN
中文名称：WireGuard 虚拟专用网络
核心理念：安全即简洁（Secure by Simplicity）

我们选择 WireGuard 的另外一个主要原因是它对 IPv6 支持的更好。

场景	WireGuard 表现	OpenVPN 表现
IPv4-only	稳定	稳定
IPv6-only	✅ 可直接工作	⚠️ 需额外参数配置
双栈公网（v4+v6）	✅ 自动选择可用通道	✅ 可运行但路由配置复杂
IPv4 访问 IPv6 内网	✅ 通过 AllowedIPs 可实现	⚠️ 通常需要 NAT 或脚本辅助
移动端支持	✅ 原生支持 IPv6 连接	⚠️ 某些 iOS/Android 版本存在兼容问题

为什么被称为“下一代 VPN”？

极简的设计

WireGuard 的核心代码量只有约 4000 行，而 OpenVPN 超过 60 万行。代码少意味着攻击面更小，漏洞更易审计，也使得维护和优化变得更加高效，这也是安全性的重要体现。

现代加密算法

WireGuard 使用最前沿的加密套件组合：

• Curve25519：密钥交换
• ChaCha20：对称加密
• Poly1305：消息认证
• BLAKE2s：哈希函数
这些算法不仅安全可靠，而且在移动设备和嵌入式平台上性能优异。

高性能低延迟

得益于简洁的协议栈和内核级实现，WireGuard 的性能远超 IPSec 和 OpenVPN。在相同硬件下，它能提供更低延迟和更高带宽利用率。

配置简单明了

只需几行配置即可建立一个点对点 VPN 连接。不像 IPSec 那样需要复杂的证书体系，WireGuard 使用公钥/私钥对进行身份验证。

WireGuard 的工作原理

WireGuard 的连接建立过程非常直接：

1. 每台设备（称为 Peer）都拥有一对公钥和私钥；
2. 双方在配置文件中互相添加对方的公钥和允许的 IP 段；
3. 当通信开始时，WireGuard 自动完成密钥交换、隧道建立与数据加密；
4. 所有流量都会被封装在 UDP 数据包中传输，快速又高效。

部署 WireGuard 有多简单？

我们用 github 上的著名开源项目 wg-easy 来进行演示，它的部署方式以 Docker 为例，任何支持 Docker 的平台都只需几步即可完成安装与配置。项目地址:

https://github.com/wg-easy/wg-easy

# 创建一个支持 IPv4 + IPv6 的 bridge 网络，名字叫wg
docker network create \
  --driver bridge \
  --ipv6 \
  --subnet 10.42.42.0/24 \
  --subnet fdcc:ad94:bacf:61a3::/64 \
  wg

# 拉取镜像，使用上面的wg网络来创建容器
docker run -d \
  --net wg \
  -e INSECURE=true \
  --name wg-easy3 \
  --restart unless-stopped \
  -p 51820:51820/udp \
  -p 51821:51821/tcp \
  -v "$(pwd)/config:/etc/wireguard" \
  -v /lib/modules:/lib/modules:ro \
  --cap-add NET_ADMIN \
  --cap-add SYS_MODULE \
  --sysctl net.ipv4.ip_forward=1 \
  --sysctl net.ipv4.conf.all.src_valid_mark=1 \
  --sysctl net.ipv6.conf.all.disable_ipv6=0 \
  --sysctl net.ipv6.conf.all.forwarding=1 \
  --sysctl net.ipv6.conf.default.forwarding=1 \
  ghcr.io/wg-easy/wg-easy:15