WireGuard 协议深度解析：秘钥对握手、Keepalive 与 MTU 调优

WireGuard 凭借其简单、极速和融入 Linux 内核的特性，已经成为现代 VPN 与 Overlay 网络（如 Tailscale、Cloudflare WARP）的基石。

一、WireGuard 核心原理：CryptoKey Routing

不同于传统 VPN 复杂的动态 IP 分配机制，WireGuard 采用了极简的 公钥路由（CryptoKey Routing）：

• 每个节点生成一对 Curve25519 秘钥对（公钥 + 私钥）。
• 配置文件中显式将“对端公钥”与“允许的 IP 地址段（AllowedIPs）”进行关联绑定。
• 发送数据时，查找 AllowedIPs 表，用对应公钥加密并发出；接收数据时，解密后校验源 IP 是否符合 AllowedIPs 绑定，否则直接丢弃。

二、关键调优参数配置

在部署 WireGuard 节点或使用 Cloudflare WARP 时，两个参数直接决定连接质量：

1. MTU（最大传输单元）调优

• 问题：WireGuard 的 UDP 封装头部占用 40 字节。如果本地网络默认 MTU 为 1500，将 WireGuard 的 MTU 设为 1500 会导致数据包超大，被路由器分片（Fragmentation）甚至直接丢弃（导致连接卡死）。
• 推荐最佳值：
  • 标准 IPv4 环境：MTU = 1420 或 1412
  • 双栈 / PPPoE 宽带环境：MTU = 1380 或 1360

2. PersistentKeepalive（持久心跳保活）

• 问题：在 NAT 路由器或防火墙后，如果超过 30 秒没有数据传输，路由器的 NAT 映射表会被回收，导致后续传入连接无法到达。
• 推荐设置：在客户端 [Peer] 配置中添加：

  PersistentKeepalive = 25
  

  每 25 秒自动发送一个极小的加密探针包，保持 NAT 通道永久激活。