WireGuard怎么用：从安装到导入配置的完整步骤
简答：WireGuard本身是VPN协议和客户端，不会自动提供服务器或节点。使用前先准备服务端提供的.conf配置文件，或自行搭建服务器；然后安装对应平台客户端，导入配置并开启隧道。最快流程是：准备配置→安装客户端→导入并连接→检查握手和网络。
定义：WireGuard是一种基于密钥和加密隧道的VPN协议，客户端必须配合可用的服务器配置才能建立连接。
先看你属于哪种使用场景
WireGuard怎么用，首先取决于你手里的资料。WireGuard客户端只是连接工具，不等同于VPN服务，也不会自动生成可用节点。
| 场景 | 你需要准备什么 | 适合的操作 |
|---|---|---|
| 已有服务配置 | 服务方提供的.conf文件、二维码或配置内容 | 安装客户端后导入，不要随意修改密钥和地址 |
| 自建服务器 | 服务器地址、端口、客户端密钥和服务端Peer配置 | 先生成密钥，再配置服务端与客户端 |
| 路由器部署 | 路由器支持WireGuard的固件或管理界面 | 在路由器后台导入或填写配置，具体菜单因型号而异 |
导入前检查四点：来源可信、文件格式可识别、Endpoint地址和端口完整、私钥没有发给陌生的转换网站或他人。配置文件中可能包含私钥，建议按敏感凭据保存。
WireGuard官方安装页目前列出Windows、macOS、Android、iOS、Linux和OpenWrt等安装入口，本文核验时间为2026年11月9日，版本号和商店页面以后可能变化，下载时以WireGuard官方安装页为准。
Windows和macOS：安装、导入、连接
- 安装：Windows用户从官方安装页进入WireGuard Installer；官方Windows项目说明，普通用户应使用常规安装器，Standalone MSI主要面向系统管理员。macOS用户从官方安装页进入App Store。
- 导入：打开客户端，选择导入已有隧道或从文件导入，选中服务方提供的
.conf文件；如果没有文件，也可新建空隧道后手动填写配置，但字段必须来自服务端或服务方。 - 授权：首次启动可能要求系统网络权限或管理员确认。允许后，检查隧道名称、Interface和Peer内容是否已经保存。
- 连接：选中隧道并点击激活。成功信号通常是客户端显示Active或已激活，并且状态页出现最近握手时间、收发数据或类似运行信息。
Windows和macOS的图形界面入口可能随客户端版本变化，但核心动作相同：安装客户端、导入配置、授权网络扩展或适配器、激活隧道。可参考TP-Link关于Windows和macOS导入WireGuard配置的官方说明了解常见界面流程。
如果连接后无法上网，先关闭隧道即可回滚到原网络；不要一开始就同时修改DNS、MTU和AllowedIPs，否则很难判断是哪一项导致问题。
Android和iPhone：文件导入与二维码导入
- 安装客户端：Android从Google Play或WireGuard官方下载入口安装，iPhone从App Store安装。官方安装页同时提供对应平台入口。
- 准备配置：优先使用服务方提供的
.conf文件或二维码。二维码只应在可信设备和可信来源之间使用，不要把包含私钥的二维码上传到陌生网站。 - 导入：在客户端中选择从文件导入、从二维码扫描或新建隧道。扫描二维码时，需要允许相机权限；从文件导入时，需要允许访问文件或云盘位置。
- 连接：保存隧道并开启开关。系统通常会弹出创建VPN连接或添加VPN配置的授权提示，确认后再观察客户端是否显示已连接。
失败时按最短路径回退：关闭隧道→重新打开客户端→重新导入原始配置→只测试一个隧道。若文件导入后字段为空，先确认文件确实是WireGuard配置，而不是订阅链接、二维码图片地址或其他客户端格式。
Linux：安装wireguard-tools并用wg-quick连接
Linux适合使用命令行管理。以Ubuntu为例，WireGuard官方安装页给出的安装命令是：
sudo apt install wireguard
安装完成后，将配置文件保存为/etc/wireguard/wg0.conf，并限制文件权限：
sudo chmod 600 /etc/wireguard/wg0.conf
启动隧道：
sudo wg-quick up wg0
查看状态：
sudo wg show
停止隧道：
sudo wg-quick down wg0
WireGuard官方Quick Start说明了wg、wg-quick、接口激活和状态查看的基本关系；其中wg show可用于查看当前接口和Peer状态。首次测试建议先用手动启动，确认连接正常后再考虑开机自动启动。
如果命令报权限错误，检查是否使用了sudo；如果提示找不到命令，确认安装的是当前发行版对应的WireGuard工具包；如果隧道启动成功但没有流量，继续检查配置字段和服务端转发设置。
配置文件字段怎么理解
| 字段 | 作用 | 常见核对点 |
|---|---|---|
PrivateKey | 本机私钥 | 只保存在本机，不要公开或上传 |
Address | 本机隧道地址 | 必须与服务端分配的客户端地址匹配 |
DNS | 隧道启用时使用的DNS设置 | 由配置提供者指定；异常时可暂时对比系统DNS |
PublicKey | 对端公钥 | 不能误填成本机PrivateKey对应的文本 |
Endpoint | 对端服务器地址和UDP端口 | 格式通常类似域名:端口或IP:端口 |
AllowedIPs | 决定哪些目标地址交给该Peer | 0.0.0.0/0常用于全流量IPv4场景；内网分流则应使用指定网段 |
PersistentKeepalive | 周期性发送保活包 | NAT或防火墙后需要接收长期空闲连接时才考虑启用 |
WireGuard官方Quick Start指出，密钥可使用wg genkey生成私钥，再用wg pubkey生成对应公钥；位于NAT或防火墙后的Peer，如果需要在长时间无流量后仍接收数据，可以使用PersistentKeepalive，官方示例提到25秒是适用于多种防火墙环境的一个可行值，但不代表所有网络都必须设置。
一个仅用于理解字段的配置结构如下，不能直接连接真实服务器：
[Interface]
PrivateKey = 你的客户端私钥
Address = 服务端分配的隧道地址
DNS = 服务端指定的DNS
[Peer]
PublicKey = 服务端公钥
AllowedIPs = 需要经过隧道的网段
Endpoint = 服务器域名或IP:端口
PersistentKeepalive = 按需填写
连接不上或能连接但不能上网：按顺序排查
- 没有握手：检查Endpoint域名、端口、网络是否可达，以及服务端是否登记了正确的客户端公钥。不要先改MTU。
- 有握手但没有网页：检查AllowedIPs是否覆盖目标地址，服务端是否开启转发和NAT，DNS字段是否可用。若能访问IP但不能打开域名，优先排查DNS。
- 只有部分地址不通：检查是否配置了分流网段，确认目标地址是否落在AllowedIPs范围内；多个Peer存在相同或重叠网段时，也可能产生路由选择问题。
- 频繁掉线：先换一条已知可用的基础网络进行对比，再检查移动网络、路由器防火墙和PersistentKeepalive。不要把“客户端显示已连接”直接等同于所有网站都能访问。
- 修改后更糟：关闭隧道，恢复原始配置备份，再一次只改一个字段。每次修改后记录是否出现握手、是否有收发数据。
Linux上可用sudo wg show观察最近握手时间以及收发字节；图形客户端则查看隧道状态页。没有握手通常指向Endpoint、端口、公钥或服务端状态；有握手但无流量，通常还要检查AllowedIPs、DNS、转发和防火墙。具体原因仍需结合服务端日志与实际网络确认。
常见问题
WireGuard客户端安装后能直接使用吗？
不能。客户端只负责建立隧道，你还需要服务方提供的配置，或自己搭建WireGuard服务器并完成服务端配置。
WireGuard的.conf文件可以随便发给别人吗？
不建议。配置文件通常包含PrivateKey、Endpoint和地址信息，私钥泄露后可能导致该客户端身份被冒用，应像密码一样保存。
AllowedIPs应该怎么填？
全流量IPv4场景通常会看到0.0.0.0/0；只访问某个内网时，应填写服务端指定的内网网段。不要照抄其他服务的配置，必须以服务端路由设计为准。
为什么显示已连接却打不开网页？
“已连接”只说明客户端启用了隧道，不一定代表端到端访问正常。依次检查最近握手、收发数据、AllowedIPs、DNS、服务端转发和防火墙。
PersistentKeepalive是不是一定要设置25秒？
不是。WireGuard官方说明它主要用于NAT或防火墙后的Peer在长时间无流量后仍需接收数据的场景；如果不需要，默认关闭即可。