Windows 客户端 1.1.1
WireGuard 先加密数据包，再按公钥选择对端。
WireGuard 是给已经有对端可连接的人用的三层 VPN 隧道。这里下载的是 Windows 客户端，版本 1.1.1，标记日期为 2026年9月20日。amd64 MSI 为 3.3 MB，许可为 MIT。它可以在 Windows 10、Windows 11 以及 Server 2016 至 2025 上运行。
版本 1.1.1。2026年9月20日。amd64 MSI 3.3 MB。MIT 许可。Windows 10、11 以及 Server 2016 至 2025。
更新于 。
Cryptokey routing
- 1. 数据包 目的 10.10.10.230 明文 IP，尚未加密。
- 2. 对端 gN65BkIK... AllowedIPs 与此公钥匹配。
- 3. UDP endpoint :51820 发往最近一次已验证的 Endpoint。
取自项目概述中的公开示例。不是正在使用的密钥。数据包到达时，同一张表会按源地址做访问检查。
什么是 WireGuard？
WireGuard 会添加一个隧道接口。在其他系统上它常名为 wg0，在 Windows 上则按每份配置建立一个隧道。你提供自己的私钥和每个对端的公钥。它把 IP 数据包封装进 UDP。它不附带登录、订阅或出口服务器。
Windows 程序是 WireGuardNT 客户端。项目署名的作者是 Jason A. Donenfeld。导入 .conf 或 .zip 之后，Activate（激活）会启用隧道。窗口随后显示最近一次握手，以及该对端的传输量。
客户端实际做的事
客户端的五个部分，每一部分都链到各自的章节。
-
固定的密码学
Noise_IKpsk2，使用 Curve25519、ChaCha20-Poly1305、BLAKE2s、SipHash24 和 HKDF。只有一套构造，没有密码套件菜单。
打开原语表 -
Cryptokey routing
每个对端有一把公钥和一份 AllowedIPs 列表。出站数据包选定对端。入站数据包必须来自该列表。
查看路由规则 -
漫游与保活
对端的 Endpoint 会根据最近一个已验证的数据包更新。除非 NAT 需要 25 秒，PersistentKeepalive 保持为 0。
何时设为 25 秒 -
Windows 服务
WireGuardManager 绘制托盘界面。每个隧道是独立服务，名称为 WireGuardTunnel$ 加上配置名。配置用 DPAPI 存储。
命令列表 -
Block untunneled traffic（阻止未走隧道的流量）
某个对端使用 0.0.0.0/0 或 ::/0 时，终止开关会打开。隧道中断后，流量不会落到普通连接上。
恢复卡住的路由
WireGuard、OpenVPN 与 IPsec
项目把 WireGuard 与 IPsec、OpenVPN 对照着说明。白皮书称 Linux 实现不到 4,000 行，不含密码原语。Softonic 的对比把 OpenVPN 放在约 100,000 行。这里不编造速度测试。
| 标准 | WireGuard | OpenVPN | IPsec |
|---|---|---|---|
| 传输 | UDP | TCP 或 UDP | ESP，通常由 IKE 协商 |
| 身份 | 短公钥，交换方式类似 SSH 密钥 | 证书或静态密钥，基于 TLS | 证书与 IKE 策略 |
| 密码选择 | 固定的 Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s | 一份 TLS 菜单 | 协商得出的套件 |
| 人们引用的规模 | 白皮书中的 Linux 实现不到 4,000 行，不含原语 | Softonic 对比中约 100,000 行 | 项目称常见协议栈庞大，而且难以审计 |
| 漫游 | Endpoint 跟随最近一个已验证的数据包 | 会话状态 | IKE 与策略状态 |
| Windows 泄漏控制 | 某个对端有 /0 路由时启用 Block untunneled traffic | 取决于该客户端 | 取决于该客户端 |
| Windows 应用中的账户 | 无 | 取决于服务器 | 取决于服务器 |
运行前先核对文件
Windows 安装程序会按 CPU 选择 MSI，检查签名和哈希，然后运行。本页不印出摘要。摘要只有在你把它和下载文件夹里的文件对比时才有用。先核对版本和大小：1.1.1，amd64 或 x86 为 3.3 MB，arm64 为 2.9 MB。
有些目录仍显示 2021年12月23日的 0.5.3，约 2.89 MB，那条旧记录的评分为 4.6。那不是这个客户端。信任、许可与可接受使用
- Windows 上的 MIT Windows 仓库声明采用 MIT 许可。没有席位费。没有账户。
- 静态存储使用 DPAPI 管理器把导入的配置加密为 .conf.dpapi，并限制为 Local System（本地系统）。
- 日志留在本机 环形日志在这台电脑上。只有在你保存它，或运行 wireguard /dumplog 写入文件时，它才会离开本机。
- 哈希会变化 更新后文件哈希改变，扫描器可能会隔离 wireguard.exe。要检查什么
现场报告
已经发表的报告。篇幅不一。其中一则是对较旧版本的投诉。
5 秒后握手没有完成，正在重试。重启隧道几乎每次都能清掉。大约十几台 Windows 电脑上出现过，有时每周一次，而对端地址的 ping 仍然正常。
一次更新后，McAfee 立刻隔离了 wireguard.exe。例外名单维持到下一次构建改变哈希，然后该例外被去掉。
穿过隧道的 ping 正常。HTTP 不行。G Data 支持称之为根本性不兼容，并建议先关掉防火墙、连上，再把防火墙打开。
该目录称那个较旧版本简单，而且比它对比过的 OpenVPN 与 IPsec 配置更快。它也称同一版本不稳定、Windows 驱动支持不足，并且没有技术支持台。
简短回答
Windows 客户端免费，仓库以 MIT 许可授权。没有可购买的席位，也不需要创建账户。你仍然需要一个获准使用的对端。这次下载是隧道程序，不是托管的 VPN。
能。项目列出 Windows 10、Windows 11 以及 Windows Server 2016、2019、2022 和 2025。当前 Windows 客户端为 1.1.1，标记日期为 2026年9月20日。
2021年5月的一份报告写到，McAfee 在更新后隔离 wireguard.exe，哈希改变后又去掉例外。恢复文件之前，请先对照下载页上的版本 1.1.1 和大小。
不包含。应用导入一份配置，并与你已经有的对端交换加密的 UDP。它不提供出口节点或账户。
如果某个对端的 AllowedIPs 为 0.0.0.0/0 或 ::/0，Block untunneled traffic 会保持启用，数据包不会泄到普通连接上。Deactivate（停用）该隧道即可解除阻断。