Jason A. Donenfeld 2015年隨手寫(xiě)的一個(gè)開(kāi)源項(xiàng)目，現(xiàn)在成了Linux內(nèi)核的默認(rèn)VPN方案。OpenVPN和IPsec用了幾十年沒(méi)解決的配置噩夢(mèng)，被他用4000行代碼徹底推翻。

這不是又一個(gè)"更輕更快"的技術(shù)口號(hào)。當(dāng)你發(fā)現(xiàn)Tailscale、Cilium這些當(dāng)紅產(chǎn)品底層全是它，才知道簡(jiǎn)潔設(shè)計(jì)在商業(yè)上的殺傷力有多大。

一、代碼量即安全

WireGuard完整實(shí)現(xiàn)約4000行代碼。OpenVPN和IPsec？數(shù)十萬(wàn)行。

代碼少不是炫技。Donenfeld直接砍掉了算法協(xié)商機(jī)制——傳統(tǒng)VPN握手時(shí)要來(lái)回商量用什么加密方式，這本身就是攻擊面。他預(yù)設(shè)了一套固定組合：Curve25519做密鑰交換，ChaCha20-Poly1305加密，BLAKE2s哈希，SHA-256派生密鑰。

沒(méi)得選，所以沒(méi)法降級(jí)攻擊。配置即安全。

二、內(nèi)核里跑，性能起飛

Linux 5.6起內(nèi)置WireGuard作為內(nèi)核模塊。用戶態(tài)VPN每發(fā)一個(gè)包都要在內(nèi)核空間和用戶空間來(lái)回拷貝數(shù)據(jù)，WireGuard直接在內(nèi)核里完成加密轉(zhuǎn)發(fā)。

第三方測(cè)試數(shù)據(jù)很直白：吞吐更高，延遲更低，CPU占用更少。接近物理網(wǎng)卡的吞吐能力不是形容詞，是架構(gòu)決定的。

三、Cryptokey Routing：把公鑰當(dāng)路由表用

這是WireGuard最反直覺(jué)的設(shè)計(jì)。每個(gè)對(duì)等節(jié)點(diǎn)的公鑰直接綁定允許的IP地址（AllowedIPs）。發(fā)包時(shí)按目標(biāo)IP找公鑰加密；收包時(shí)只有私鑰能解密，且源IP必須匹配該公鑰的允許列表。

ACL就是路由表，路由表就是ACL。兩層問(wèn)題一層解決。

四、移動(dòng)設(shè)備的隱藏福利

WireGuard幾乎無(wú)狀態(tài)（只緩存會(huì)話密鑰）。手機(jī)從Wi-Fi切到蜂窩網(wǎng)絡(luò)時(shí)，直接發(fā)加密數(shù)據(jù)包給服務(wù)端，服務(wù)端自動(dòng)識(shí)別新的端點(diǎn)IP和端口。不需要重新握手，連接不會(huì)斷。

傳統(tǒng)VPN切個(gè)網(wǎng)絡(luò)要重連幾十秒，這里零感知。

五、不是萬(wàn)能藥

WireGuard也有明確邊界。它不提供動(dòng)態(tài)IP分配，需要額外DHCP或靜態(tài)配置；沒(méi)有內(nèi)置的用戶認(rèn)證層，身份管理得自己搭；流量特征明顯，在嚴(yán)格審查地區(qū)可能被識(shí)別——雖然AmneziaWG這類混淆工具正在解決最后這個(gè)問(wèn)題。

六、生態(tài)正在接管基礎(chǔ)設(shè)施

點(diǎn)對(duì)點(diǎn)加密隧道、遠(yuǎn)程辦公接入、站點(diǎn)互聯(lián)、Kubernetes容器網(wǎng)絡(luò)、Tailscale/Netmaker的底層傳輸——這些場(chǎng)景列表本身就是市場(chǎng)投票。

后量子密碼學(xué)也在推進(jìn)。研究界嘗試把NIST標(biāo)準(zhǔn)化的Kyber密鑰封裝機(jī)制融入WireGuard握手協(xié)議，抵御未來(lái)的量子計(jì)算威脅。

從4000行代碼到內(nèi)核默認(rèn)選項(xiàng)，WireGuard證明了一件事：網(wǎng)絡(luò)協(xié)議的設(shè)計(jì)復(fù)雜度，很多時(shí)候是歷史包袱，不是真實(shí)需求。Donenfeld只是選擇從頭開(kāi)始，把該砍的全砍了。