Клиент Windows 1.1.1
WireGuard шифрует пакет, затем выбирает узел по открытому ключу.
WireGuard является VPN-туннелем уровня 3 для тех, у кого уже есть узел. Эта загрузка WireGuard VPN является клиентом Windows версии 1.1.1, тег от 20 сентября 2026. MSI amd64 весит 3.3 MB, лицензия MIT. Клиент работает в Windows 10, Windows 11 и на Server 2016, 2019, 2022 и 2025.
Версия 1.1.1. 20 сентября 2026. MSI amd64 3.3 MB. Лицензия MIT. Windows 10, 11 и Server 2016, 2019, 2022 и 2025.
Обновлено .
Cryptokey routing
- 1. Пакет dst 10.10.10.230 Обычный IP, ещё без шифрования.
- 2. Узел gN65BkIK... AllowedIPs указывают на этот открытый ключ.
- 3. UDP endpoint :51820 Отправка на последний подтверждённый Endpoint.
Опубликованный пример из обзора проекта. Это не действующий ключ. Когда пакет приходит, та же таблица проверяет адрес источника.
Что такое WireGuard?
WireGuard добавляет туннельный интерфейс. На других системах его часто называют wg0, а в Windows создаётся туннель на каждый конфиг. Вы указываете свой закрытый ключ и открытый ключ каждого узла. Программа упаковывает IP-пакеты в UDP. В комплект не входят вход, подписка и выходной сервер.
Программа для Windows является клиентом WireGuardNT. Автор, указанный проектом, Jason A. Donenfeld. После импорта .conf или .zip кнопка Activate (включить) поднимает туннель. В окне затем видны время последнего рукопожатия и счётчик передачи для узла.
Что клиент делает на деле
Пять частей клиента, у каждой свой раздел.
-
Фиксированная криптография
Noise_IKpsk2 с Curve25519, ChaCha20-Poly1305, BLAKE2s, SipHash24 и HKDF. Одна конструкция, без меню шифров.
Открыть таблицу примитивов -
Cryptokey routing
У каждого узла есть открытый ключ и список AllowedIPs. Исходящие пакеты выбирают узел. Входящие должны приходить из этого списка.
Смотреть правила маршрутизации -
Роуминг и PersistentKeepalive
Endpoint узла обновляется по последнему подтверждённому пакету. PersistentKeepalive остаётся 0, пока NAT не требует 25 секунд.
Когда ставить 25 секунд -
Службы Windows
WireGuardManager рисует значок в трее. Каждый туннель является своей службой: WireGuardTunnel$ и имя конфига. Конфиги хранятся через DPAPI.
Список команд -
Block untunneled traffic (блокировать трафик вне туннеля)
Один узел с 0.0.0.0/0 или ::/0 включает эту блокировку. Если туннель падает, трафик не уходит в обычное подключение.
Вернуть застрявший маршрут
Кто приходит с файлом конфига
- Домашняя лаборатория
- Импортируйте один .conf и укажите в AllowedIPs только домашнюю сеть. Веб-трафик остаётся на обычном маршруте. Шаги импорта
- Полный туннель в офис
- Один узел с 0.0.0.0/0 включает Block untunneled traffic, поэтому обрыв в кафе не выпускает сессию наружу. Поведение блокировки
- Ноутбук, который меняет сети
- Роуминг переписывает Endpoint по последнему пакету, который прошёл проверку. Туннель не нужно перезапускать только из-за смены Wi-Fi. Заметки о роуминге
- Развёртывание администратором
- Установите MSI, в том числе через групповую политику. DO_NOT_LAUNCH не открывает окно после установки. Каждый конфиг может быть своей службой туннеля. Файлы MSI
WireGuard, OpenVPN и IPsec
Проект сравнивает WireGuard с IPsec и OpenVPN. Технический документ оценивает реализацию для Linux меньше чем в 4000 строк, без криптопримитивов. Сравнение Softonic оценивает OpenVPN примерно в 100000 строк. Тест скорости здесь не придуман.
| Критерий | WireGuard | OpenVPN | IPsec |
|---|---|---|---|
| Транспорт | UDP | TCP или UDP | ESP, обычно согласуется через IKE |
| Идентификация | Короткие открытые ключи, обмен как у ключей SSH | Сертификаты или статический ключ, поверх TLS | Сертификаты и политика IKE |
| Выбор шифра | Fixed Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s | Меню TLS | Согласуемые наборы |
| Размер, который приводят | Меньше 4000 строк Linux в техническом документе, без примитивов | Около 100000 строк в сравнении Softonic | Проект называет обычные стеки большими и трудными для проверки |
| Роуминг | Endpoint следует за последним подтверждённым пакетом | Состояние сессии | Состояние IKE и политики |
| Контроль утечки в Windows | Block untunneled traffic, когда у одного узла маршрут /0 | Зависит от этого клиента | Зависит от этого клиента |
| Учётная запись в приложении Windows | Нет | Зависит от сервера | Зависит от сервера |
Проверьте файл перед запуском
Установщик Windows выбирает MSI под процессор, проверяет подпись и хеш, затем запускает его. На этой странице нет хеш-суммы. Хеш-сумма полезна только при сравнении с файлом в папке загрузок. Сначала сверьте версию и размер: 1.1.1, amd64 или x86 по 3.3 MB, arm64 по 2.9 MB.
В некоторых каталогах всё ещё указан 0.5.3 от 23 декабря 2021, около 2.89 MB, с оценкой 4.6 у той старой записи. Это не этот клиент. Доверие, лицензия и допустимое применение
- MIT в Windows Репозиторий Windows указывает лицензию MIT. Нет платы за место. Нет учётной записи.
- DPAPI на диске Менеджер шифрует импортированный конфиг в .conf.dpapi и ограничивает доступ учётной записью Local System.
- Журналы остаются на ПК Кольцевой журнал хранится на компьютере. Он уходит, только если вы сохраните его или выполните wireguard /dumplog в файл.
- Смена хеша Сканер может поместить wireguard.exe в карантин после обновления, потому что хеш файла изменился. Что проверить
Полевые отчёты
Опубликованные отчёты. Длина разная. Один из них является жалобой на старую сборку.
Рукопожатие не завершилось за 5 секунд, идёт повтор. Перезапуск туннеля почти всегда это снимал. Так было примерно на десятке ПК с Windows, иногда каждую неделю, хотя ping на адрес узла по-прежнему проходил.
McAfee поместил wireguard.exe в карантин сразу после обновления. Исключение держалось, пока следующая сборка не сменила хеш, и тогда исключение сняли.
Ping через туннель проходил. HTTP нет. Поддержка G Data назвала это принципиальной несовместимостью и предложила выключить межсетевой экран, подключиться, затем включить его снова.
Каталог называет ту старую сборку простой и более быстрой, чем сравниваемые установки OpenVPN и IPsec. Он же называет ту же сборку нестабильной, со слабой поддержкой драйвера Windows и без службы технической поддержки.
Короткие ответы
Клиент Windows бесплатный, и репозиторий лицензирует его по MIT. Платить за место не нужно, и учётную запись создавать не нужно. Всё равно нужен узел, которым вам разрешено пользоваться. Эта загрузка является программой туннеля, а не размещённым VPN.
Да. Проект указывает Windows 10, Windows 11 и Windows Server 2016, 2019, 2022 и 2025. Текущий клиент Windows имеет версию 1.1.1, тег от 20 сентября 2026.
Отчёт за май 2021 описывал, как McAfee помещал wireguard.exe в карантин после обновления, а затем снимал исключение при смене хеша. Сверьте версию 1.1.1 и размер на странице загрузки, прежде чем восстанавливать файл.
Нет. Приложение импортирует конфигурацию и обменивается зашифрованным UDP с узлом, который у вас уже есть. Оно не даёт выходной узел и учётную запись.
Если у одного узла AllowedIPs равны 0.0.0.0/0 или ::/0, Block untunneled traffic остаётся включённым, чтобы пакеты не утекали в обычное подключение. Нажмите Deactivate, чтобы снять эту блокировку.
Получить клиент 1.1.1
MSI amd64 и x86 весят 3.3 MB. MSI arm64 весит 2.9 MB. Установщик проверяет подпись и хеш, прежде чем запустить MSI.