AmneziaWG 搭建教程：自建服务器并连接 Windows 客户端

AmneziaWG 搭建教程：自建服务器并连接 Windows 客户端

Marcus Reid
2026年10月14日· 7 分钟阅读

在自己的服务器上完成 AmneziaWG 搭建需要三样东西：一台符合 Amnezia 要求的 Linux 主机、通过 SSH 安装协议的官方 AmneziaVPN 应用，以及为每台设备单独生成的客户端文件。本文以一台 Ubuntu 24.04 LTS 服务器和一台 Windows 11 电脑为例。［1］

关键要点

  • 先核对主机条件：x86-64、KVM 虚拟化、公网 IPv4 地址和受支持的发行版。
  • 把凭据交给任何应用之前，先自己核对服务器的 SSH 主机密钥。
  • 完全访问连接只用于管理，每台设备各用一个访客连接。
  • AmneziaWG 原生 .conf 文件不是标准 WireGuard 配置。
  • 访客连接可在应用中撤销；完全访问密钥泄露则要改密码并清理服务器。

本文依据文末官方来源整理，未完成完整端到端实测。应用里的按钮名称可能随版本变化，请以你屏幕上的当前文字为准。开始前可先阅读自建责任与恢复清单。

什么情况下适合搭建 AmneziaWG 自建服务器？

AmneziaWG 保留了 WireGuard 的密码学设计，但改变了数据包格式：在握手前加入垃圾包、加入随机前缀并使用不同的报头值，使流量更难按特征识别。［2］ 正因为有这些额外参数，AmneziaWG 文件不能和普通 WireGuard 客户端文件互换。它所基于的标准协议，可参考 WireGuard 原理说明。

当你想自己掌握服务器、选择所在地区并决定谁能接入时，自建才合适。与此同时，主机的更新、防火墙、凭据和停用也都由你负责。如果你只是想让手机和笔记本日常上网，先在 自建服务器与 VPN 服务的差别说明里比较这份责任。

角色本文中的对象谁能修改服务器
服务器KVM 主机上的 Ubuntu 24.04 LTS x64你，通过 SSH 和完全访问连接
管理应用Windows 11 电脑上的 AmneziaVPN持有完全访问权限，务必保密
客户端应用同一台 Windows 11 电脑上的 AmneziaWG只有访客连接，可以撤销

步骤 1：准备符合 Amnezia 要求的服务器

新租或新建一台服务器，不要复用已经在跑其他服务的机器。Amnezia 把 Ubuntu 22.04、24.04 以及 Debian 12、13 列为官方支持，要求 x86-64 CPU，并说明 OpenVZ、LXC 等容器虚拟化无法使用。［3］

付款前再核对其余条件：

  • 至少 1 个 vCPU、1 GB 内存和 10 GB SSD；同时连接数达到 10 个以上时，建议 2 GB 内存和 2 个 vCPU；
  • 公网 IPv4 地址，因为不支持 IPv6；
  • root 账户，或可以无密码提示执行任意命令的 sudo 用户；
  • 内核版本满足所用协议版本的要求，Ubuntu 24.04 符合。［3］

先做一份服务商快照，或记下重装镜像的方法，并确认能打开服务商的网页控制台。防火墙改错或安装失败把 SSH 锁在外面时，控制台就是你的回退入口。

安装前记录主机现状，方便之后对比变化：

sudo ss -lntup > before-sockets.txt
systemctl list-units --type=service --state=running > before-services.txt
dpkg -l > before-packages.txt
sudo iptables-save > before-firewall.txt

步骤 2：交出凭据前先确认 SSH 信任

AmneziaVPN 应用会用你输入的 IP 地址、SSH 用户名以及密码或私钥连接服务器。［1］ 在此之前，先从终端自己连一次，把主机密钥指纹与服务商控制台或安装输出中显示的指纹进行比较。

ssh root@SERVER_IPV4

提示中出现指纹时，在它与服务商提供的值一致之前不要输入 yes。如果能打开服务商控制台，可以在那里用 ssh-keygen -lf 读取密钥指纹，这条命令会打印公钥文件的指纹：［4］

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

指纹不一致说明你连的可能不是自己的服务器，应立即停止。用密钥登录优于沿用旧密码；如果把私钥交给应用，就只用为这台服务器单独生成的那把，也绝不要贴进聊天或工单。

步骤 3：用官方应用完成 AmneziaWG 搭建

在 Windows 11 电脑上，从 Amnezia 官方下载页安装当前版本的 AmneziaVPN，然后按自建流程操作：［1］

  1. 点击加号图标或 Get Started，选择 Self-hosted VPN。
  2. 输入服务器地址；SSH 不在 22 端口时，加上 :PORT。
  3. 输入 SSH 用户名，以及密码或私钥。
  4. 选择 Automatic 安装（只安装 AmneziaWG），或选择 Manual 自行挑选协议，然后继续。

完成后，应用会持有一个对服务器拥有完全访问权限的连接。Amnezia 提到 AmneziaWG 默认随机选择 UDP 端口，而部分运营商会封锁高位 UDP 端口，因此建议使用不高于 9999 的端口。［1］ 无论最后用哪个端口，都只在服务商防火墙或安全组里放行这一个 UDP 端口，并保留原有的 SSH 规则。

把前面的清点命令改用 after- 文件名再跑一遍，并用 diff 与之前的结果比较。保留这份结果：它记录了安装器新增的监听端口、服务、软件包和防火墙规则，也告诉你之后清理时应该移除什么。

步骤 4：为 Windows 11 单独创建客户端连接

不要用完全访问连接日常上网。Amnezia 说明完全访问密钥无法撤销或重置；一旦泄露，补救办法是修改服务器 root 密码并移除 Amnezia 的服务。［5］ 相比之下，访客连接只能用来连接，而且可以随时撤销。［6］

在 AmneziaVPN 中创建访客连接：［6］

  1. 点击底部栏的 Share 图标。
  2. 输入能识别这台设备的名称，例如 win11-laptop。
  3. 选择 AmneziaWG 协议和 AmneziaWG native format，然后保存 .conf 文件。

安装 Windows 版 AmneziaWG 应用，选择与你的 Windows 版本和架构相符的安装包。点击 Add Tunnel，选择 .conf 文件，再点击 Activate。［7］ 然后检查客户端是否可用：

  1. 打开一个常用网站，确认能正常加载。
  2. 在 IP 查询页上查看公网地址，并与服务器的 IPv4 地址比较。
  3. 停用隧道，确认地址变回平时的地址。

这项检查只覆盖这台设备和这一次请求。每个访客连接只供一台设备使用，Amnezia 还提醒，把同一个文件添加到多台设备会让所有设备上的连接都失效。［6］［7］ 每多一台设备就再建一个访客连接；通过热点共享笔记本的连接属于另一种安排，可参考手机热点与 VPN 说明。

步骤 5：排查 AmneziaWG 客户端兼容问题并撤销访问

大多数导入失败来自格式或客户端用错了。修改服务器之前，先逐项排查：

现象可能原因处理方法
AmneziaWG 应用拒绝 vpn:// 密钥这种密钥格式只适用于 AmneziaVPN 应用以 AmneziaWG 原生格式重新导出连接［6］
标准 WireGuard 客户端能导入文件却始终连不上文件带有 AmneziaWG 掩码参数改用 AmneziaWG 应用；只有关闭掩码时两种格式才一致［2］
新服务器生成的文件在旧客户端上失败客户端不支持该协议版本先更新客户端，再考虑重新生成［2］
多台设备同时掉线同一个 .conf 文件被多台设备使用给每台设备单独的访客连接［7］
所有设备都无法完成连接UDP 端口被主机防火墙或网络封锁检查安全组，再尝试不高于 9999 的端口［1］

撤销某台设备时，用完全访问连接打开 AmneziaVPN，点击 Share，进入 Users 标签页，选择服务器和协议，选中该用户后点击 Revoke，再点击 Continue。［6］ 然后从那台设备尝试重新连接，确认失败，同时另一台设备仍能正常使用。

如何更新、移除和恢复服务器？

保持 AmneziaVPN 和 AmneziaWG 应用为最新版本，并像对待任何面向互联网的主机一样更新服务器上的 Ubuntu 软件包。应用或协议更新后，先用一个现有访客连接复测，再签发新连接，因为客户端必须支持其文件所对应的协议版本。［2］

停用服务器时，用完全访问连接打开 AmneziaVPN，进入 Settings → Servers，选择服务器，打开它的管理标签页，选择 Clear server from Amnezia software，再点击 Continue；Amnezia 说明这会移除应用在服务器上做的全部更改。［8］ 只把服务器从应用列表中删除，已安装的协议和服务仍会继续运行。［9］ 之后把主机与 before- 文件比较，在安全组中关闭那个 UDP 端口，不再需要时再通过服务商删除服务器或快照。

如果完全访问连接丢失或泄露，就通过服务商控制台修改 root 密码，轮换或删除交给应用的 SSH 密钥，并在签发新连接前清除 Amnezia 软件。［5］

总结

  • 选择一台全新的 x86-64 KVM 服务器，带公网 IPv4 地址和受支持的发行版。
  • 把凭据交给应用之前，自己核对 SSH 主机密钥。
  • 完全访问连接只用于管理，每台设备使用自己的访客文件。
  • 修改服务器设置前，先排查格式、客户端和端口问题。
  • 在应用中撤销访客；删除服务器前先清除其中的 Amnezia 软件。

常见问题

AmneziaWG 文件能导入官方 WireGuard 应用吗？

一般不能。AmneziaWG 文件带有额外的掩码参数，Amnezia 说明只有关闭这些机制时它才与标准 WireGuard 一致，所以应使用 AmneziaWG 应用。

AmneziaWG 能在 OpenVZ 或 LXC 服务器上运行吗？

不能。Amnezia 的要求明确说明容器虚拟化无法使用，服务器需要是带 x86-64 CPU 和公网 IPv4 地址的 KVM 虚拟机。

为什么连我自己的笔记本也要用访客连接？

因为完全访问密钥无法撤销。笔记本丢失时，你可以在应用里撤销它的访客连接，而不必重置服务器密码并清理主机。

两个人可以共用一个配置文件吗？

不可以。每个访客连接只供一台设备使用，同一个文件用在多台设备上可能让所有设备都断开，所以要为每人每台设备单独创建访客连接。

为什么只有部分网络下连接失败？

有些网络会封锁高位 UDP 端口。先确认服务商防火墙放行了所选端口，再按 Amnezia 的建议尝试不高于 9999 的端口，然后才考虑改动其他设置。

从应用中删除服务器等于卸载吗？

不等于。从应用里删除条目后，协议和服务仍留在服务器上。应先执行 Clear server from Amnezia software，再从应用中删除服务器。

完全访问密钥泄露了怎么办？

按服务器已被入侵处理。通过服务商控制台修改 root 密码，删除应用使用过的 SSH 密钥，清除 Amnezia 软件，之后再重新签发访客连接。

免责声明: 本文仅适用于配置你拥有或获授权管理的服务器和网络。请遵守适用于你的法律、网络政策以及托管服务商的条款。

来源:

  1. Amnezia docs — Install VPN on your server — https://docs.amnezia.org/documentation/instructions/install-vpn-on-server/
  2. Amnezia docs — AmneziaWG — https://docs.amnezia.org/documentation/amnezia-wg/
  3. Amnezia docs — Supported Linux OS for VPS — https://docs.amnezia.org/documentation/supported-linux-os-for-vps
  4. OpenBSD manual — ssh-keygen(1) — https://man.openbsd.org/ssh-keygen
  5. Amnezia docs — Share full access — https://docs.amnezia.org/documentation/instructions/share-full-access
  6. Amnezia docs — Share a guest connection — https://docs.amnezia.org/documentation/instructions/share-connection
  7. Amnezia docs — Use the AmneziaWG app — https://docs.amnezia.org/documentation/instructions/use-amneziawg-app/
  8. Amnezia docs — Remove Amnezia services from the server — https://docs.amnezia.org/documentation/instructions/delete-amnezia-services
  9. Amnezia docs — Remove a server from AmneziaVPN — https://docs.amnezia.org/documentation/instructions/delete-server

Sources checked 2026 年 10 月 14 日。

延伸阅读:

开启 3 天免费试用

注册即可免费体验全部高级功能。

*仅限新用户；每位用户只能获得一次试用。

免费试用

相关文章

AmneziaWG 搭建教程：自建服务器并连接 Windows 客户端 | AethoVPN