--- canonical: https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/ language: zh generated: 2026-10-21T13:34:54.966Z --- [首页](https://koalavps.com/zh/) / [探索](https://koalavps.com/zh/resources/) / KoalaVPS 现场笔记 KoalaVPS 现场笔记 # 用途明确的私有隧道。 WireGuard 可以将你的设备连接到服务器或专用网络。其优势取决于正确的路由、DNS 和端点安全。 [找到你的 VPS](https://koalavps.com/zh/vps/) ## 本文档内容 [定义路由](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-1)[每台设备保留一个密钥](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-2)[配置转发和 DNS](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-3)[理解信任的转移](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-4)[使用显式监听器并检查握手过程](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-5)[仅在网络需要时使用保活机制](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-6)[选择分流或全隧道设计](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-7)[在添加互联网路由之前先启动一个小型隧道](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-8)[测试预期路径和禁止路径](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-9)[使吊销和重启行为可重复](https://koalavps.com/zh/guides-wireguard-vpn-on-a-vps/#section-10)[知识库](https://koalavps.com/zh/resources/) ## 定义路由 决定隧道仅承载私有服务流量还是所有互联网流量。有意配置允许的路由，并同时考虑 IPv4 和 IPv6。分流隧道和全隧道设置有不同的泄漏和可达性考量。 ## 每台设备保留一个密钥 尽可能在设备上生成私钥，切勿将其公开。使用独立的对等身份，以便丢失设备时可被吊销而无需替换每个客户端。以受保护的权限存储服务器配置。 ## 配置转发和 DNS 请审慎设置转发和防火墙规则。检查名称解析、MTU 和返回路径。从客户端测试实际公网地址和 DNS 行为，而不是假定握手成功就意味着所有流量都使用预期路由。 ## 理解信任的转移 自托管 VPN 可以保护本地网络上的流量，但 VPS 和上游仍会看到元数据以及任何未加密流量。它不会使浏览器会话匿名，也不会覆盖你所访问服务的政策。 ## 使用显式监听器并检查握手过程 UDP 51820 是常见的 WireGuard 配置选择，并非强制或保证的主机策略。仅开放选定的 UDP 端口，并单独限制管理访问。wg show 命令可报告对等方握手和传输信息，无需公开私钥。 - 验证最近的握手 - 测试目标私有服务 - 仅在打算使用完整隧道时测试互联网和 DNS 路由 ``` wg show ``` 官方文档：[WireGuard 快速入门](https://www.wireguard.com/quickstart/) ## 仅在网络需要时使用保活机制 位于 NAT 后的对等节点可能需要定期保活流量，以维持入站数据包的映射。合适的设置取决于网络。保持配置有明确意图；如果目标只是访问一个私有应用，不要照搬全隧道方案。 ## 选择分流或全隧道设计 从实际目标开始。拆分隧道可以只承载私有子网或管理服务；完整隧道还需要互联网转发、出口规则和 DNS 计划。选择不重叠的隧道地址，并决定如何处理 IPv6。UDP51820 是常见端口，而非必需端口。确认所选主机的策略，并在更改路由或防火墙规则时保持控制台/管理员访问可用。 - 为每台设备分配唯一的密钥对和范围狭窄的对等身份。 - 将私钥保存在其预期设备上，不要放在公共文件中或通过二维码共享。 - 将公共端点和客户端漫游视为网络设计的一部分。 官方文档：[WireGuard 快速入门](https://www.wireguard.com/quickstart/) ## 在添加互联网路由之前先启动一个小型隧道 遵循受支持的操作系统安装流程，并以严格的文件权限生成密钥。配置服务器接口、一个对等节点和选定的 UDP 监听器。服务器端对等节点通常应在 AllowedIPs 中拥有自己的隧道地址，而不是分配给多个客户端的重叠全捕获地址。先从访问隧道地址开始，然后添加经批准的转发和目的地路由。成功握手只能证明对等节点已联系，而不能证明 DNS 或互联网出口正确。 ``` # Inspection examples; these do not reveal a private key: wg show ip address show dev wg0 ip route get 10.44.0.1 ``` 官方文档：[WireGuard 接口与对等配置](https://www.wireguard.com/quickstart/) ## 测试预期路径和禁止路径 从客户端验证最近一次握手和允许的私有服务。尝试一个应被拒绝的目的地。如果使用全隧道，请从该客户端检查生效的公共路由、DNS 解析器和 IPv6 行为；分流隧道流量应保留预期的本地路径。客户端网络变更后重复检查。仅在对端网络需要时使用 NAT 保活，并保持间隔与文档化设计一致。 - 无握手：检查端点 DNS、UDP 可达性、密钥和对等映射。 - 握手成功但无服务：检查 AllowedIPs、防火墙、转发和返回路由。 - 某些站点会卡住：在应用随机的永久值之前，先调查路径 MTU。 ## 使吊销和重启行为可重复 移除丢失设备的对等密钥，并确认它无法再建立预期访问。保留加密配置备份以及哪个公钥属于哪台设备的清单。测试接口和所需路由规则在正常重启后是否恢复。VPN 将信任转移至 VPS 及其上游；它不会消除应用程序标识符、账户 Cookie 或对最终目标进行 HTTPS 的需要。 官方文档：[WireGuard wg-quick 手册](https://git.zx2c4.com/wireguard-tools/about/src/man/wg-quick.8) 继续探索 ## 继续阅读。 [使用场景 ### 您自己的 WireGuard 端点。 将设备连接到私有服务，或通过您管理的服务器路由流量，并理解信任边界。…](https://koalavps.com/zh/use-cases-wireguard-vpn-server/)[网络 ### 网络应当能自我说明。 了解北欧地区的选择、端口速度与实际吞吐量之间的区别，以及托管网络应公布哪些证据。…](https://koalavps.com/zh/network/)[法律 ### 隐私政策——更少记录，清晰理由。 了解账户、支付和技术记录，为什么可能需要它们，以及应就访问和保留提出哪些问题。适用政策必须指明数据控制者和实际发生的处理。…](https://koalavps.com/zh/privacy/) 配置您的基础设施 ## 掌控一切。 按你的条件部署。 无需身份文件。完整管理员权限。原生加密货币计费。 [选择配置](https://koalavps.com/zh/vps/)