WireGuard官网下载与安装配置教程，国区苹果商店搜不到

30 秒结论：WireGuard 是一个免费开源的 VPN 协议和客户端，官网是 wireguard.com，全平台都有官方客户端。国内下载有两个常见卡点：官方下载站直连常常打不开，以及 iOS / Mac 版没有上架国区 App Store。前者本站提供了 Windows 和安卓安装包的镜像（与官方文件逐字节一致，附校验值），后者要换非国区 Apple ID。装好之后要知道一件事：WireGuard 客户端不自带节点，你得有一份配置文件才能连；而它在中国大陆裸用翻墙并不可靠，更适合远程回家和异地组网。想翻墙看文末。

什么是 WireGuard？

WireGuard 是 Jason A. Donenfeld 开发的 VPN 协议，2020 年并入 Linux 内核主线。和 OpenVPN、IPSec 比，它有几个明显特点：

• 代码少：核心实现只有几千行，便于审计，出 bug 的地方也少
• 快、延迟低：使用 ChaCha20、Curve25519 等现代加密算法，Linux 上直接跑在内核里
• 省电：基于 UDP，不传数据时几乎没有流量，手机上耗电很低
• 配置简单：一对公私钥加一份几行的配置文件就能建立隧道，不需要证书体系

它同时是协议和软件：Mullvad、Proton VPN、NordVPN（NordLynx）等商业 VPN 底层用的就是 WireGuard 协议；你也可以自己装官方客户端，连接自己搭的服务器。

WireGuard 官网下载与国内镜像

下面每一行都给了两个地址：官方原链和本站镜像。能打开官方的优先走官方；打不开的再用镜像。

关于本站镜像：

• 文件从官方 download.wireguard.com 原样下载，未做任何修改，同步于 2026-10-10
• Windows 安装包带 WireGuard LLC 的数字签名，右键安装包 →「属性」→「数字签名」可以看到
• 想核对文件有没有被改过，可以对比下面的 SHA256：

Windows 上在 PowerShell 里运行 Get-FileHash 文件名 就能算出 SHA256。注意：官方下载目录里那份 latest.sig 写的是 BLAKE2b-256 值，不是 SHA256，两者拿来直接比会对不上，这是正常的。

官网入口认准这几个：

• wireguard.com：官网与下载页
• download.wireguard.com：Windows / 安卓安装包
• git.zx2c4.com：源码仓库

搜索结果里出现过 zh-wireguard.com（翻译了官方安装页，但夹带了别的客户端引流链接）、wireguardcn.com（现在挂的是垃圾内容）等域名，都不是官方站。

WireGuard 怎么安装？分平台教程

Windows 安装

1. 按上表选安装包：一般电脑选 amd64；骁龙处理器的 Windows 笔记本选 arm64
2. 双击 .msi 安装，一路下一步。官方支持 Windows 10 / 11 及 Server 2016 以上
3. 装完托盘区会出现 WireGuard 图标，打开主界面就能导入配置

官方下载页还有一个 wireguard-installer.exe，它本身只是个下载器，运行时还要再连官方服务器拉取 MSI。国内连不上官方站的话，直接下 MSI 更省事。

安卓安装

• 有 Google Play 的手机直接在 Play 商店搜 WireGuard
• 没有 Google Play 的（大多数国行手机），下载上表的 APK，安装时允许「安装未知来源应用」
• 系统要求 Android 7.0 及以上
• 官方没有上架 F-Droid，网上那些「WireGuard F-Droid 版」不是官方渠道

iOS 与 Mac 安装

WireGuard 的 iPhone 版和 Mac 版都没有上架中国区 App Store，用国区 Apple ID 搜不到。办法是：

1. 在 App Store 里退出国区账号（iPhone：设置 → 你的名字 → 媒体与购买项目 → 退出登录）
2. 登录一个美区（或港区、日区等）Apple ID
3. 搜索 WireGuard，开发者显示为 WireGuard Development Team，免费下载

系统要求：iOS / iPadOS 15.0 以上，macOS 12.0 以上。苹果端当前版本是 1.0.16（2023 年 2 月发布），之后一直没有更新，这是官方的节奏，不是你装错了。

Linux 安装

Linux 内核 5.6 起自带 WireGuard 模块，只需装用户态工具。官方给的命令：

CentOS 7 / 8 内核较老，需要先装 ELRepo 源（sudo yum install elrepo-release epel-release），再装 kmod-wireguard wireguard-tools。

路由器与 NAS

OpenWrt、爱快、华硕梅林、OPNsense、MikroTik、群晖、飞牛 OS 等系统都内置或支持 WireGuard，在管理界面里找「WireGuard」或「VPN 服务器」即可，不用另外下载客户端。远程回家这个用法，主战场就在这里。

WireGuard 怎么用？配置教程

先弄清楚：客户端不自带节点

装好 WireGuard 打开，界面是空的，这是正常的。**它只是隧道工具，不提供服务器。**要用起来，你需要下面两者之一：

1. 自己有服务器：一台 VPS、家里的软路由或 NAS，在上面跑 WireGuard 服务端，再给每台设备生成一份配置
2. 服务商给的配置：Mullvad、Proton VPN 等商业 VPN 都能导出标准的 WireGuard .conf 文件

客户端配置文件长什么样

一份典型的客户端配置（.conf）只有两段：

[Interface]
PrivateKey = 客户端私钥
Address = 10.13.13.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = 服务器公钥
Endpoint = 服务器IP或域名:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

几个关键字段：

• PrivateKey / PublicKey：每台设备一对密钥，私钥只留在本机，公钥交给对方
• Address：这台设备在隧道里的内网地址，每台设备不能重复
• Endpoint：服务器的公网地址和端口
• AllowedIPs：决定哪些流量走隧道。0.0.0.0/0 表示全部流量；只想访问家里内网就写内网段，比如 192.168.1.0/24，其余流量照常直连
• PersistentKeepalive：手机或家宽在 NAT 后面时建议写 25，防止连接空闲断开

生成密钥

在装了 wireguard-tools 的 Linux 上执行：

wg genkey | tee privatekey | wg pubkey > publickey

privatekey 和 publickey 两个文件就是一对密钥。Windows / 手机客户端在「新建空隧道」时也会自动生成一对。

导入配置并连接

• Windows / Mac：点「从文件导入隧道」，选 .conf 文件，再点「连接」
• 安卓 / iOS：点右下角「+」，选「从文件导入」或「扫描二维码」，然后打开开关
• Linux：把配置放到 /etc/wireguard/wg0.conf，执行 sudo wg-quick up wg0 启动，sudo wg show 查看状态

连上后，最直接的检查办法是看「最新握手」（Latest handshake）时间。有握手时间说明隧道通了；一直没有握手，多半是服务器端口没放行 UDP 51820，或者密钥填反了。

WireGuard Docker 一键搭建

不想手写服务端配置，可以用 Docker。常用的是两个镜像：

wg-easy

wg-easy 的 v15 是重写版，和网上很多旧教程不一样：旧版的 WG_HOST、PASSWORD_HASH 这类环境变量已经不用了，管理员账号改成第一次打开网页时在向导里创建。官方的做法是下载它仓库里的 docker-compose.yml 直接启动：

sudo mkdir -p /etc/docker/containers/wg-easy
sudo curl -o /etc/docker/containers/wg-easy/docker-compose.yml https://raw.githubusercontent.com/wg-easy/wg-easy/master/docker-compose.yml
cd /etc/docker/containers/wg-easy
sudo docker compose up -d

启动后有两个端口要在服务器防火墙里放行：

• 51820/udp：WireGuard 本身
• 51821/tcp：网页管理界面

注意：v15 默认要求用 HTTPS 访问管理界面。只是在内网用 http://IP:51821 访问的话，需要在 compose 里把环境变量 INSECURE=true 打开，否则页面登录不了。管理界面不建议直接暴露在公网上。

linuxserver/wireguard

官方文档给的 compose 核心部分：

services:
  wireguard:
    image: lscr.io/linuxserver/wireguard:latest
    container_name: wireguard
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Asia/Shanghai
      - SERVERURL=你的服务器IP或域名
      - SERVERPORT=51820
      - PEERS=3
      - PEERDNS=auto
      - INTERNAL_SUBNET=10.13.13.0
      - ALLOWEDIPS=0.0.0.0/0
    volumes:
      - ./config:/config
      - /lib/modules:/lib/modules
    ports:
      - 51820:51820/udp
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
    restart: unless-stopped

PEERS=3 表示生成 3 份客户端配置。启动后在 ./config/peer1/ 等目录里能找到 .conf 文件和二维码图片，执行 docker logs wireguard 也会把二维码打印在终端里，手机直接扫。

WireGuard GitHub 与源码

很多人搜「WireGuard GitHub」是想找安装包，但这里有个误区：

• github.com/WireGuard 是官方组织，但里面的仓库（wireguard-windows、wireguard-android、wireguard-apple、wireguard-go、wireguard-tools 等）都标注 Mirror only，仅是镜像
• 这些仓库的 Releases 都是空的，没有任何安装包
• 官方的源码仓库在 git.zx2c4.com

所以：下载安装包请走官网或本站镜像，GitHub 上找不到官方安装包。 GitHub 上自称「WireGuard 安装包」「WireGuard 中文版」的发布页，都是第三方打包，没法确认有没有改过。

GitHub 上真正有用的是周边项目：上面提到的 wg-easy、AmneziaWG（带混淆的 WireGuard 改版，见下文），以及各种一键安装脚本。

WireGuard VPN 能翻墙吗？

能连上，但在中国大陆裸用不可靠，不建议拿来翻墙。

WireGuard 的设计目标是建立一条高效的加密隧道，它从不隐藏自己是 WireGuard：握手包格式固定，又只走 UDP，协议特征很容易识别。关于它在国内的表现，比较可靠的记录是：

• 2022 年 2 月起，有开发者报告 GFW 开始识别 IPv4 上的 WireGuard 流量，持续使用大约一周后，会把对端的 UDP 端口封掉几天（WireGuard 官方邮件列表 2022 年 6 月的讨论里有转述）
• 之后不少用户反馈，国内用 WireGuard 连境外服务器要么被封端口，要么被严重限速（运营商对境外 UDP 普遍做 QoS），走 IPv6 的情况会好一些

这个说法不是 2026 年才有的新情况，也没有证据表明「已经全面封死」，更准确的描述是：能用一阵，但随时可能被干扰，不适合当主力翻墙工具。

想让 WireGuard 能抗识别，就得给它加一层混淆，常见的有：

• AmneziaWG：在 WireGuard 基础上改了握手包特征，项目仍在活跃更新，官网 amnezia.org，Windows / 安卓 / iOS / Mac 都有客户端
• udp2raw、wstunnel：把 UDP 流量伪装成 TCP 或 WebSocket

这些方案都要自己租 VPS、自己配，出问题还要自己排查，时间和金钱成本都比直接用机场高。

WireGuard 真正适合做什么？

撇开翻墙，WireGuard 在下面这几件事上几乎是首选：

1. 远程回家：在家里的软路由或 NAS 上跑 WireGuard，在外面用手机连回家，访问群晖、Home Assistant、内网摄像头。连的是国内自家宽带，不涉及跨境，所以又快又稳
2. 异地组网：几个办公室、几台分散的服务器组成一个虚拟局域网。Tailscale 和它的开源替代 Headscale，底层就是 WireGuard，只是替你自动处理了密钥分发和 NAT 穿透
3. 商业 VPN 的底层协议：在海外，Mullvad、Proton VPN 等服务的 WireGuard 模式就是用来保护公共 Wi-Fi 下的隐私

WireGuard vs OpenVPN 怎么选？

简单说：新搭的 VPN 选 WireGuard；但两者裸用都不是为了对抗审查设计的，翻墙需求要另外看。

想翻墙，用什么替代 WireGuard？

翻墙需要的是能把流量伪装成普通 HTTPS、对抗协议识别的协议，比如 Shadowsocks、Trojan、Hysteria2、VLESS+Reality、AnyTLS。这些正是机场的标配，对只想稳定上网的人来说，比自建 WireGuard 省事得多：不用租 VPS、不用配混淆，被封了有人换线。

先说清一个容易误会的点：机场一般不给 WireGuard 客户端能直接导入的 .conf 配置，而是给一个订阅链接，在 Clash、v2rayN、Shadowrocket 这类客户端里用。所以「拿 WireGuard App 连机场」这条路基本走不通。

本站收录的机场里，官方明确写了提供 WireGuard 节点的只有一家：

• GLaDOS：2017 年开业的老牌机场，官方介绍里写明同时提供 WireGuard 和 V2Ray 节点，有免费试用。它的 WireGuard 节点同样通过订阅在代理客户端里用，不是给官方 WireGuard App 导入的

没有更多机场能核实到 WireGuard 节点，这里就不硬凑了。只想要一个稳定的翻墙服务，可以从 便宜机场推荐 里按预算挑；不确定选什么客户端，看 Clash 客户端怎么选。

常见问题（FAQ）

下载与官网

WireGuard 官网是哪个？

官网是 wireguard.com，下载页是 wireguard.com/install。Windows 与安卓安装包放在 download.wireguard.com。源码仓库在 git.zx2c4.com，GitHub 上的 WireGuard 组织只是镜像。zh-wireguard.com、wireguardcn.com 等都不是官方站。

WireGuard 下载打不开怎么办？

Windows 和安卓可以用本站镜像：文件从 download.wireguard.com 原样下载、未做修改，并附 SHA256 校验值。macOS 和 iOS 只能从 App Store 安装，而且国区商店没有上架，需要切换到美区等非国区 Apple ID。

WireGuard iOS 国区为什么搜不到？

WireGuard 的 iOS 版和 Mac 版都没有在中国区 App Store 上架，国区账号搜不到。需要退出国区 Apple ID、登录美区等其他地区的账号再搜索安装，这个 App 本身免费。

WireGuard GitHub 上能下载安装包吗？

不能。github.com/WireGuard 下的仓库都标注 Mirror only（仅镜像），Releases 是空的，没有任何安装包。GitHub 上自称 WireGuard 安装包的发布页都是第三方打包的。

配置与使用

WireGuard 怎么用？配置文件怎么写？

WireGuard 客户端本身不带节点，需要一份 .conf 配置文件：Interface 段写你的私钥和隧道内地址，Peer 段写服务器公钥、服务器地址端口和 AllowedIPs。在客户端里导入这个文件或扫描二维码，点激活即可连接。

WireGuard 用 Docker 怎么搭？

常用两个镜像：wg-easy 带网页管理界面，适合新手，当前大版本是 v15；linuxserver/wireguard 通过环境变量直接生成客户端配置。两者都需要 NET_ADMIN 权限并开放 UDP 51820 端口。

连上了但上不了网？

先看客户端里有没有「最新握手」时间。没有握手：检查服务器防火墙和云厂商安全组是否放行 UDP 51820，以及两边公钥是否填对。有握手但上不了网：多半是服务器没开 IP 转发（net.ipv4.ip_forward=1）或没配 NAT。

翻墙

WireGuard 能翻墙吗？

裸用不可靠。WireGuard 没有流量混淆，2022 年起就有用户报告 GFW 会识别它，持续使用约一周后封掉对端 UDP 端口数天。想用它翻墙要加混淆层（如 AmneziaWG），复杂度远超直接用机场。

本文的版本号、下载地址和 App Store 上架情况核实于 2026-10-10。本站镜像文件从官方原样下载、未做修改。文中机场相关推荐可能含推广链接，通过链接购买不会增加你的费用，本站可能获得佣金，这不影响内容客观性。翻墙工具的使用请遵守所在地法律法规。