WireGuard 配置文件使用教程

.conf 文件里有什么：逐行解读

每份 WireGuard 配置都由同样的两部分组成。[Interface] 描述隧道你这一端；[Peer] 描述你要连接的那台机器。下面是一份完整的客户端配置，其中的机密信息已替换为占位符：

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

[Interface] 部分：你这一端

• PrivateKey——这就是你在 VPN 上的身份。谁拿到它，谁就能冒充你。它由 44 个 base64 字符组成，以 = 结尾；如果你的长度不对，说明文件在复制过程中被截断了。
• Address——你的设备在隧道内部使用的 IP，而不是你的公网 IP。/32 表示“只有这一个地址”，对客户端来说很正常。
• DNS——隧道开启期间使用的解析服务器。没有这一行，设备会继续向原来的解析服务器查询，既会泄露你在查什么，也常常解析不了隧道另一端的任何地址。
• MTU——可选项，却是最值得了解的一行。大多数文件里没有它，因为默认值就是对的；默认值不对的情况请看故障排查。

[Peer] 部分：服务器那一端

• PublicKey——服务器的公钥。你自己的公钥从不出现在你的文件里，它保存在服务器上。
• Endpoint——数据包发往何处，格式为 host:port。WireGuard 只使用 UDP，51820 是惯用端口，并非必须。
• AllowedIPs——哪些目的地走隧道。0.0.0.0/0, ::/0 表示全部流量，这正是隐私 VPN 的用途。范围更窄的列表——比如只包含公司内网网段——只让这部分流量走隧道，其余仍走你平常的连接。这种方式叫作分流隧道（split tunnel），是有意为之的选择，而不是坏掉的全局隧道。
• PersistentKeepalive——每 25 秒发送一个小数据包，让你和服务器之间的 NAT 设备保持回程通道畅通。只要你在 NAT 后面就需要它，而用手机或家庭宽带时你总是在 NAT 后面。

Windows：导入隧道

Windows 有官方的 WireGuard 应用，把文件导入进去就完成了全部工作。

1. 安装 WireGuard，下载地址 wireguard.com/install。
2. 点击左下角的 新建隧道，会打开一个筛选为 配置文件 (*.zip, *.conf) 的文件选择框。选中你的 .conf，它就会出现在隧道列表中，名称与文件名相同。
3. 也可以直接粘贴。新建隧道 旁边的箭头提供 新建空隧道… (E)，会给你一个文本框——配置是通过消息发来而不是文件时很有用。文本框里会预填一个新的私钥，把那一行删掉，再把你自己的配置整段粘贴进去。
4. 点击 连接 (A)。状态变为 已连接，面板开始统计传输的字节数。这个字节计数器是最快的自检手段：如果只看到数据发出、没有数据返回，说明握手没有完成。

Android 和 iPhone：扫描二维码或导入文件

在手机上有两种方式，而二维码之所以存在，正是因为在触摸屏上输入 44 个字符的密钥实在太折磨人。

Android

1. 从 Play Store 安装 WireGuard，然后点按 + 按钮。
2. 创建 WireGuard 隧道 界面提供 扫描二维码、导入配置或压缩包，以及从零创建。根据你拿到的东西选择对应的方式。
3. 如有提示，给隧道起个名字，然后打开开关。Android 会询问一次是否允许添加 VPN 配置——这个提示来自操作系统，而不是应用。

iPhone 和 iPad

1. 从 App Store 安装 WireGuard，点按 添加隧道。
2. 在 新建 WireGuard 隧道 下，选择 扫描二维码 或 导入配置或压缩包。扫描界面的标题是 扫描二维码；扫描成功后会要求你为隧道命名。
3. 打开开关，并在 iOS 询问时允许添加 VPN 配置。

用已有的配置文件生成二维码

二维码不一定要由服务商提供——它不过是把你的配置文件画成了一张图，你自己用一条命令就能生成。WireGuard 应用本身就给出了这个建议：

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

在 Debian 或 Ubuntu 上，用 apt install qrencode 安装 qrencode；在 macOS 上，用 brew install qrencode。

macOS 和 Linux

macOS

从 Mac App Store 安装 WireGuard。Mac 版应用并不是放大了的 iPhone 版：它常驻在菜单栏，主窗口从 管理隧道 打开。点击 从文件导入隧道（菜单栏里也有同样的功能，名为 从文件导入隧道…），选中你的 .conf，然后选中该隧道并点击 启动。Mac 上没有二维码扫描功能——二维码是给手机用的——所以请直接使用文件，或选择 添加空隧道… 后把配置粘贴进去。

如果你更习惯用终端，brew install wireguard-tools 会提供和 Linux 上相同的 wg-quick 命令，下文会介绍。

Linux

1. 安装工具。在 Debian 或 Ubuntu 上：sudo apt install wireguard。大多数发行版都有同名软件包。
2. 把文件放到 wg-quick 查找的位置。这是最容易出错的一步，因为文件名会变成接口名：

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   600 很重要——文件里有你的私钥，不应让这台机器上的其他用户读取。名称要简短简单，它必须是一个合法的网络接口名。
3. 启动隧道：

   sudo wg-quick up wg0
   sudo wg show

   wg show 是最值得记住的一条命令。它会打印对端、端点、一行 latest handshake 以及流量计数。如果握手时间始终不出现，就是下一节所讲问题的典型特征。
4. 开机自动启动：sudo systemctl enable --now wg-quick@wg0。要手动关闭隧道，运行 sudo wg-quick down wg0。

装在路由器上，全家设备都覆盖

把隧道放到路由器上，就能覆盖它后面的所有设备，包括那些根本装不了 VPN 应用的设备——游戏机、电视、智能音箱。能不能做到，完全取决于你的固件。

如果你的路由器就是宽带运营商给的那台，现实的办法是在它后面再接一台你能控制的路由器，或者继续在每台设备上单独配置。两者都不算失败；按设备配置往往反而更好，因为不需要隧道的设备可以不开。

在让全家流量都走隧道之前，有一件事要先想好：那样所有流量都会经过它。不喜欢境外地址的银行网站、会检查地区的流媒体，以及任何需要与你本地网络中设备通信的东西，都可能表现异常。这正是范围更窄的 AllowedIPs 发挥作用的地方——只让需要的流量走隧道，其余保持不变。

能连上但打不开网页，以及其他常见问题

WireGuard 出错时异常安静，这是有意的设计——未经认证的数据包得不到任何回应，扫描器也就无法判断是否有服务在监听。副作用是：密钥错误、端口错误和网络被封锁，在你这一端看起来一模一样——一片沉默。所以要从症状入手。

“Handshake did not complete”

你的设备发出了握手发起包，却没有收到任何回应。请按以下顺序检查：

• 端点。主机正确、端口正确，并且端口是 UDP。这里打错一个字，就会恰好出现这个症状，而且只有这个症状。
• UDP 是否能出去。访客 Wi-Fi、酒店网络、部分企业网络以及少数移动运营商，只允许常用端口上的 TCP。如果同一份配置在家里能用、在某个特定网络上不能用，那配置没问题，问题出在网络。
• 密钥没有放反。[Peer] 中的 PublicKey 是服务器的公钥，而服务器那边必须另外持有与你的 PrivateKey 对应的公钥。为另一台设备复制来的配置会卡在这里。
• 你的时钟。WireGuard 握手中包含时间戳，偏差太大会被拒绝。这种情况很少见，但在时间丢失的设备上确实会发生。

如果隧道在家里能用、用移动网络却从来连不上，原因可能在你的运营商那边而不在你——运营商级 NAT（CGNAT）之类的安排会改变哪些连接能到达你。端口转发指南讲解了如何在几分钟内通过自己的路由器判断这一点。

MTU 问题：值得彻底弄懂一次

这就是经典的“连上了但网络是坏的”情况，特征非常明显：ping 通、DNS 正常、小网页能打开，而任何稍大的内容都会一直卡住。

原因在于大小。为隧道封装流量会增加头部，原本刚好适合你普通连接的数据包，进入 WireGuard 后就放不下了。小包畅通无阻，大包被丢弃。正常情况下网络会通知发送方改用更小的包，但负责通知的那条消息经常被过滤掉，于是你等不到报错，只能干等。

解决办法是从一开始就让 WireGuard 使用更小的包。wg-quick 已经在尝试这么做：它取你普通路由的 MTU，减去隧道开销的 80 字节，所以在普通的 1500 字节连接上会得到 1420。如果这还是太大——某些移动网络，以及大多数本身已经跑在另一条隧道上的连接——就显式设置并逐步调低：

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 是值得尝试的下限，因为这是 IPv6 要求所有链路都必须能承载的最小包大小，几乎在任何路径上都能通过。它会损失一点效率，但远比一条会卡死的隧道好。

隧道已开启，但没有流量经过

先检查 AllowedIPs。它不是防火墙，也不是权限列表——它决定的是哪些目的地会被路由进隧道。如果其中不包含 0.0.0.0/0，那么发往互联网其他地方的流量本来就不走隧道，你的连接正是按配置在运行。在 Linux 上，ip route show table all | grep wg0 可以显示实际路由了哪些内容。

如果路由没问题，只是域名解析不了，那就是 DNS 行的问题——要么缺失，要么写了但因为没装 resolvconf 而没有生效。

配置文件从哪里来

以上内容都假定你已经有了文件。获取文件的方式恰好只有两种。

自己搭建服务器

你生成一对密钥，在一台有公网地址的机器上安装 WireGuard，把你的设备添加为对端，再手动编写客户端配置。这并不难，也确实值得学习。代价是长期的：要为服务器付费并持续打补丁，而且每增加一台设备都要在两端手动修改——别忘了，一个对端就是一台设备。

从服务商获取

另一种方式是由服务商为你生成文件，你只需下载。使用 HytHost VPN（每月 €0.99 起），文件就在这里：

1. 订购服务并登录客户中心，然后从列表中打开你的 VPN 服务。
2. 找到 WireGuard Configuration 部分。这里有两个按钮——Copy to Clipboard 会把配置文本复制到剪贴板，Download Configuration 则直接给你现成的文件。
3. 如果你选择了复制，把它粘贴到纯文本编辑器中，以 .conf 扩展名保存——wg0.conf 就是个好名字。注意编辑器没有在末尾自动加上 .txt。
4. 导入文件，按照上文对应你设备的部分操作。在手机上，先用 qrencode 把它转成二维码。

同一个页面还会显示隧道当前是否已连接到服务器，在你开始改设置之前，就能回答“是我的问题还是他们的问题”。页面上没有二维码按钮——请自己用文件生成，这也意味着二维码永远不会被传到不该去的地方。