WireGuard Windows 故障排除：握手失败，以及卡住的终止开关。

导入隧道并激活

从下载页安装 Windows 客户端 1.1.1。继续之前请核对 MSI 大小。
打开 WireGuard。如果托盘界面尚未运行，管理器服务会启动它。
选择 Import tunnel(s) from file（从文件导入隧道）。
选取一个 .conf 文件，或装有多份配置的 .zip。
选中隧道并按下 Activate（激活）。
确认状态显示 Active（已激活），并且对端显示最近一次握手时间以及传输量。

1.1.1 会拒绝该次导入中的重复隧道名。请改名后再试。为什么名称会被拒绝

5 秒后握手没有完成

2021年4月邮件列表上的一份报告，客户端为 0.3.11，在对端公网地址的 ping 仍然正常时出现了这一行。重启隧道几乎每次都能清掉，涉及大约十几台 Windows 机器。

打开 Log（日志）选项卡，或运行 wireguard /dumplog。
找到写着握手在 5 秒后没有完成的那一行对端记录。
放行到达 Endpoint 中主机和端口的 UDP。51820 只是常见示例。
如果该对端在 NAT 之后，把该对端的 PersistentKeepalive 设为 25。不需要时保持为 0。
按下 Deactivate（停用），然后再按下 Activate。
如果装了第三方防火墙，只暂停到足以看出握手是否随后完成，然后再打开它。

隧道中断后互联网停了

当隧道只有一个对端，且该对端的 AllowedIPs 包含 0.0.0.0/0 或 ::/0 时，会打开 Block untunneled traffic。阻断是为了让数据包不要泄到普通连接上。这也意味着隧道断开时会像没有网络。

打开 WireGuard，检查隧道是否使用 0.0.0.0/0 或 ::/0。
按下 Deactivate。阻断与该隧道绑定。
如果想要默认路由，又不想要那些防火墙规则，把 0.0.0.0/0 换成 0.0.0.0/1 和 128.0.0.0/1。
把 ::/0 换成 ::/1 和 8000::/1。编辑器复选框会切换成这种形式。
再次按下 Activate。测试一个应留在本地的地址，以及一个应走隧道的地址。

关于这个开关本身的更多说明在Windows 客户端一节。

只在 NAT 之后设置 PersistentKeepalive

在隧道里修改该对端。
仅当此对端必须在路径安静后接受新会话，并且它位于 NAT 或有状态防火墙之后时，才添加 PersistentKeepalive = 25。
其他所有情况把值留为 0。这是项目默认值。
保存，停用，再激活，让正在运行的服务读到这次修改。

杀毒软件隔离了 wireguard.exe

不要把每一次标记都当成无害，也不要把每一次标记都当成恶意软件的证据。先把文件和已公布的构建对比。

在文件表上阅读版本和大小。客户端 1.1.1 的 amd64 与 x86 为 3.3 MB，arm64 为 2.9 MB。
如果大小或版本不符，不要恢复该文件。请删除它。
如果相符，你遇到的是 2021年5月那类报告：McAfee 在更新后隔离 wireguard.exe，下一次哈希变化时例外失效。
恢复或允许这个相符的文件，然后在下次更新后再检查例外名单。
如果服务仍然无法启动，阅读 Log 选项卡或运行 wireguard /dumplog。

无恶意软件说明用直白的话解释了同一条界限。

ping 正常，但 HTTP 不行

2023年12月的一份报告，客户端 0.5.3、系统 Windows 10，称 G Data 支持把这种组合叫做根本性不兼容。ping 通，有时 SMB 也通。HTTP 不通。他们的变通办法是关掉防火墙、连上，然后再启用。他们没有承诺改产品。

记下你的客户端版本。那份报告是 0.5.3，不是 1.1.1。
ping 隧道内的一台主机。如果 ping 通而浏览器不通，防火墙可能把隧道和 ICMP 区别对待。
把防火墙先关再开只当作一次短检查。检查结束后让防火墙保持打开。
如果 1.1.1 仍出现这种分离，在继续改更多设置之前先保存 wireguard /dumplog。

避开常见陷阱的做法

私钥: 不要放进电子邮件和截图。管理器把导入内容存为供 Local System（本地系统）使用的 .conf.dpapi。
分流隧道: 互联网其余部分应走普通路由时，AllowedIPs 里只列局域网。
不要终止开关的全路由: 用 /1 地址对，不要用 /0。编辑器里的复选框就是这样做的。
重装之前: 把隧道导出为 zip。DPAPI 加密之后，明文文件会被删除。
预共享密钥: 仅当服务器给了你 32 字节秘密时才添加。否则把该字段留空。
脚本: PreUp、PostUp、PreDown 和 PostDown 仅在允许它们的管理员注册表项已设置时运行。