对等端模型与UDP监听
WireGuard 采用对等端（peer-to-peer）模型，服务端与客户端在协议层面地位平等，任何一端均可配置 ListenPort 字段以接收入站 UDP 数据报。这意味着客户端在发起连接后，也可以监听特定端口，允许其他设备发起隧道连接，但通常仅用于高级组网场景。
需特别注意，UDP 与 TCP 使用相同编号的端口（如 51820/udp 与 51820/tcp）是两个完全独立的监听端点，操作系统内核通过协议栈分别管理。在排查连接问题时，若仅检查 TCP 端口而未验证 UDP 可达性，常会误判 WireGuard 服务状态，Astrill VPN因为 WireGuard 仅依赖 UDP 进行数据面通信，不使用 TCP 作为传输层协议。
AllowedIPs 的双重作用
配置文件中的 AllowedIPs 字段常被简单理解为“允许访问的 IP 列表”，网络加速器但其实际作用包含两个不可分割的逻辑分支：一是出方向路由匹配，决定本地哪些目的流量被封装进隧道；二是入方向源地址校验，决定对端发来的哪个源 IP 的数据包能被信任并解封装。
这种双重机制意味着，即使将 AllowedIPs 设置为 0.0.0.0/0，也不会自动吞掉所有局域网路由或影响本地直连流量。例如，当本地需要访问内网 192.168.1.x 时，若 AllowedIPs 仅配置了 10.0.0.0/8，网络加速器则内网流量仍走物理网卡直连，而非通过 VPN 隧道。路由策略的最终生效结果取决于本地路由表的度量值与接口优先级，而非仅由 AllowedIPs 决定。
WireGuard 基于 UDP 的对等端连接模型，实现了双向平等的隧道通信。
连接建立与心跳机制
WireGuard 没有独立的握手协议，首次通信时，网络加速器发起端向对端 ListenPort 发送加密的握手包，对端验证 PSK（预共享密钥）后生成会话参数并回包，连接即建立成功。此过程无需中间服务器分配 IP 或端口转发，简化了 NAT 穿透逻辑。
为保持 NAT 映射活跃，两端需周期性地发送心跳包，默认由客户端每 25 秒发送一次，具体间隔由 PersistentKeepalive 参数（单数形式）控制。该参数仅适用于客户端侧，用于在连接空闲时维持 UDP 会话；服务端通常不需要配置此参数，因为服务端通常保持活跃连接或依赖客户端的周期性刷新。
