العميل 1.1.1

ميزات WireGuard التي تأتي في البروتوكول وفي عميل Windows.

Cryptokey Routing هي الميزة التي يقابلها الناس أولا، مفتاح عام مع قائمة AllowedIPs. المصافحة هي Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s، مع Curve25519 وChaCha20-Poly1305 وBLAKE2s. بناء Windows المطابق لهذه الصفحة هو 1.1.1، بتاريخ 20 سبتمبر 2026.

آخر تحديث 1 نوفمبر 2026.

التشفير بناء واحد

تسمّي صفحة البروتوكول مجموعة ثابتة. لا توجد قائمة خوارزميات. يخلط المفتاح المشترك مسبقا الاختياري سرا متماثلا إضافيا. وعند غياب ذلك المفتاح يستخدم البناء 32 بايتا من الأصفار. تهدف المصافحة إلى السرية التامة للأمام وإخفاء الهوية والحماية من إعادة الإرسال، وتتجنب تخصيص حالة جلسة لحزمة تفشل في فحص mac1.

البدائيات التي يسمّيها المشروع
البدائية	الدور
ChaCha20-Poly1305	تشفير مصادق للحزم، بناء RFC 7539.
XChaCha20-Poly1305	يُستخدم حيث يطلب البروتوكول رقما عشوائيا بطول 24 بايتا.
Curve25519	ECDH. المفاتيح العامة نقاط Curve25519.
BLAKE2s	تجزئة وتجزئة بمفتاح، RFC 7693.
SipHash24	مفاتيح جداول التجزئة.
HKDF	اشتقاق المفاتيح، RFC 5869.
Noise_IKpsk2	نمط المصافحة. سلسلة البناء هي Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s.

تقول الورقة البيضاء إن تنفيذ Linux أقل من 4000 سطر، مع استبعاد بدائيات التشفير، حتى يستطيع شخص واحد قراءته. وضع إحصاء علني لاحق لشجرة النواة ملفات C فوق ذلك بقليل بعد تضمين الترويسات. أصدر Linux 5.6، بتاريخ 29 مارس 2020، النفق. ولم يجد تدقيق طرف ثالث قبل ذلك الإصدار ثغرات، وأضاف ملاحظة عن الدفاع المتعمق.

Cryptokey Routing

لكل واجهة مفتاح خاص وقائمة نظراء. لكل نظير مفتاح عام وAllowedIPs. عند الإرسال يختار عنوان الوجهة النظير، وتُشفَّر الحزمة إلى ذلك المفتاح العام، وينقلها UDP إلى Endpoint النظير. عند الاستقبال يجب أن تُفك الحزمة لنظير معروف، وأن يقع المصدر الداخلي ضمن AllowedIPs لذلك النظير. وإلا تُسقَط.

لذلك تستطيع قاعدة جدار حماية غالبا أن تطابق «من هذا العنوان، على هذه الواجهة» وتعامل الحزمة على أنها مصادَق عليها أصلا. يمكن أن يشترك IPv4 وIPv6 في نظير واحد. منفذ الاستماع المعتاد في الأمثلة هو 51820. ومنفذك قد يختلف.

استورد إعدادا يحتوي هذه الحقول أصلا

تبويب Tunnels (الأنفاق) في WireGuard لـ Windows، وفيه نفق واحد بحالة Active (نشط) وزر Deactivate (إيقاف) وعناوين Allowed IPs للنظير وآخر مصافحة وإجمالي النقل — تبويب Tunnels (الأنفاق) وفيه نفق Active (نشط) وDeactivate (إيقاف) وعدد النقل. افتح الصورة لتفحصها.

عميل Windows، WireGuardNT

يصف مستودع Windows هذا العميل بأنه الطريقة الرسمية لتشغيل WireGuard على Windows. يستخدم WireGuardNT. تملك خدمة المدير، WireGuardManager، واجهة الشريط. كل نفق خدمة مستقلة باسم WireGuardTunnel$ مع اسم الإعداد.

يقبل الاستيراد ملف .conf أو ملف .zip. يرفض الإصدار 1.1.1 الأسماء المكررة في استيراد واحد. يراقب المدير مجلد الإعدادات، ويشفّر الملف الجديد إلى .conf.dpapi بواسطة CryptProtectData، ويقيّده على Local System، ويحذف النسخة النصية. ويعيد التصدير من الواجهة كتابة الإعدادات.

نظير واحد مع AllowedIPs بقيمة 0.0.0.0/0 أو ::/0 يفعّل Block untunneled traffic (حظر الحركة خارج النفق). مسارات /1 تتجاوز سلوك جدار الحماية هذا. وفي المحرر مربع اختيار له. الخطوات إذا صمتت الشبكة

WireGuard

Add Tunnel (إضافة نفق) وEdit (تحرير) وDeactivate (إيقاف) على نفق Active (نشط). افتح الصورة لتفحصها.

أوامر موثّقة للمسؤولين
الأمر	ما يفعله
wireguard /installtunnelservice path.conf	ينشئ WireGuardTunnel$ مع اسم الإعداد.
wireguard /uninstalltunnelservice name	يزيل خدمة ذلك النفق.
wireguard /installmanagerservice	يثبّت WireGuardManager لواجهة الشريط.
wireguard /dumplog	يطبع سجل الحلقة المشترك. أضف /tail لمتابعته.
wireguard /update	يشغّل المحدّث. وتستطيع الواجهة فعل ذلك أيضا.
wireguard /removedriver	يزيل تعريف المحول عندما لا يبقى محول نفق.

لا تعمل PreUp وPostUp وPreDown وPostDown إلا عندما يُضبط مفتاح السجل الذي يسمح بها للمسؤول. يحتاج ملف .conf.dpapi إلى Local System أو مسؤول من أجل wg show.

أين يعمل النفق نفسه

مسارات التثبيت التي يسمّيها المشروع
النظام	ما تثبّته	ملاحظة
Windows 10 و11 وServer من 2016 حتى 2025	ملف MSI أو المثبّت الذي يجلبه	العميل 1.1.1. حجم amd64 وx86 هو 3.3 MB. حجم arm64 هو 2.9 MB. الرخصة MIT.
Linux	وحدة النواة منذ 5.6، مع wireguard-tools	داخل الشجرة منذ 29 مارس 2020. تغلّف التوزيعات الأدوات. شروط GPL لبناء النواة.
macOS	عميل App Store، أو wireguard-tools من Homebrew أو MacPorts	مسار الأدوات نفق من سطر الأوامر، وليس MSI الخاص بـ Windows.
Android وiOS	تطبيقات المتاجر. ولـ Android أيضا ملف APK مباشر.	تستطيع الهواتف استيراد رمز QR. أما عميل Windows فيستورد ملفا.
FreeBSD وOpenBSD	حزمة wireguard أو wireguard-tools	مذكورة في صفحة تثبيت المشروع مع الأنظمة الأخرى.

ملفات هذا الموقع هي ملفات MSI لنظام Windows. وتستخدم الأنظمة الأخرى حزمها الخاصة. إصدار Windows والحجم والمتطلبات

التجوال وإبقاء الاتصال والحاويات

يرسل الطرفان إلى أحدث Endpoint أنتج حزمة مصادَق عليها. يستطيع الحاسوب المحمول تبديل الشبكات من دون إعداد جديد. يتعرّف الخادم على Endpoint العميل من أول حزمة صالحة، لذلك غالبا لا يحتوي إعداد الخادم على سطر Endpoint لذلك النظير.

القيمة الافتراضية لـ PersistentKeepalive هي 0. اضبط 25 فقط إذا كان النظير خلف NAT أو جدار حماية ذي حالة، ويجب أن يقبل جلسات جديدة بعد صمت الحركة. التعديل بعينه

على Linux تستخدم الواجهة فضاء أسماء الشبكة الذي أُنشئت فيه. يمكنك نقلها إلى فضاء أسماء حاوية حتى يصبح النفق مسار الخروج الوحيد لتلك الحاوية.

[Interface]
PrivateKey = (stays on the machine that owns it)
Address = 10.10.10.2/32

[Peer]
PublicKey = gN65BkIKy1eCE9pP1wdc8ROUtkHLF2PfAqYdyYBz6EA=
AllowedIPs = 10.10.10.230/32
Endpoint = 192.95.5.69:51820
PersistentKeepalive = 25

عناوين مثال منشورة ومفتاح عام لمثال منشور. لا تعِد استخدام المفتاح. اترك PersistentKeepalive خارج الإعداد عندما لا تحتاجه.