为什么 WireGuard 需要 Endpoint？

为什么 WireGuard 需要 Endpoint？WireGuard Endpoint 告诉一个 peer，应把加密 UDP 包发往外层网络的什么位置。它通常写成 IP 地址或主机名加 UDP 端口。Endpoint 不是 peer 的身份、隧道地址，也不是需要路由给它的目的地清单；这些属于密码学路由模型中的不同部分。

VPN 完整指南梳理应用到 VPN 服务器的完整路径。本文只回答较窄的问题：WireGuard 选出 peer 后，哪个外层目的地能真正接收数据报？

关键要点

• Endpoint 是目前用于向 peer 交付 UDP 的外层 地址:端口。
• 公钥标识 peer，Endpoint 只说明它当前在哪里可达。
• 初始 Endpoint 在配置模型中可选，但需要主动发起的 peer 必须有可用目的地。
• 正确认证的包可以把保存的 Endpoint 更新为其最新来源地址与端口。
• AllowedIPs、系统路由、DNS 解析和 Endpoint 分别解决不同问题。

WireGuard Endpoint 是什么？

wg(8) 将 Endpoint 定义为 IP 地址或主机名，后面跟一个端口。该字段可以省略；WireGuard 会把它自动更新为来自相应 peer、最近一个正确认证包的源 IP 与端口。［1］在常见客户端—服务器部署中，客户端通常获得服务器的公网主机名或 IP 以及监听 UDP 端口，以便发出第一个握手包。

“外层”是避免混淆的关键。隧道承载的包有内层源与目的地址，例如 10.0.0.2 和 10.0.0.1。加密结果要跨越真实网络，还需要外层源与目的地，例如客户端的公网映射以及 203.0.113.8:51820。Endpoint 指的正是外层 UDP 交付的远端一侧。

端口不可缺少，因为 IP 地址只标识主机或网络接口，不会单独标识监听套接字。同一地址上的不同服务，甚至不同 WireGuard 接口，都可能使用不同 UDP 端口。主机名只是方便的配置输入；发包前仍要先解析成地址。

Endpoint、身份和隧道地址的区别

WireGuard 通过静态公钥识别已配置 peer。白皮书把公钥与允许隧道地址之间的绑定称为密码学路由。［2］peer 可以在外层网络间移动而保留同一密钥，因此它的身份不必等同于某个固定 IP。

隧道地址位于另一套地址空间。10.0.0.2 这样的内层地址由操作系统和 WireGuard peer 选择规则用于隧道内部。它不会自动在公网可达，也不能代替 Endpoint。

AllowedIPs 又是另一回事。它把内层 IP 前缀关联到 peer，用于出站选择和入站源地址验证。AllowedIPs 指南分别解释两个方向。即使 AllowedIPs 正确选出了 peer，缺失或陈旧的 Endpoint 仍会让外层交付失败。

值	它回答的问题	常见示例
公钥	这是哪个密码学 peer？	Base64 编码密钥材料
Endpoint	加密 UDP 当前要发到哪里？	203.0.113.8:51820
隧道地址	接口使用哪个内层地址？	10.0.0.2/32
AllowedIPs	哪些内层前缀属于该 peer？	10.0.0.0/24
系统路由	某目的地应送往哪个接口？	指向 10.0.0.0/24 的路由

图例：1 是发送方 WireGuard peer；2 是已配置的密码学 peer；3 是名为 Endpoint 的外层 UDP 目的地 203.0.113.8:51820；4 是受保护的内层包，其隧道地址和 peer 选择仍与外层目的地分开。

什么时候 WireGuard 需要 Endpoint？

至少一侧要知道如何开始。如果漫游笔记本既没有配置 Endpoint，也没有以前学到的可达地址，就无法向服务器发起握手。服务器通常可以省略客户端 Endpoint，因为它会先在监听套接字等待客户端联系。收到认证发起包后，服务器便学习客户端当前来源地址与端口。

所以，配置语法中的“可选”不表示“任何拓扑都不需要”。它表示 peer 条目可以不绑定固定初始位置。响应方可以通过有效流量学习位置；主动发起方则需要某个可用地址，无论是直接配置还是此前认证流量留下的状态。

主机名还引入 WireGuard peer 身份以外的解析行为。名称解析得到外层地址，工具或实现会按各自生命周期应用它。DNS 不会认证 WireGuard peer，密钥交换才会；反过来，正确密钥也不会把错误 DNS 答案变成正确主机。

如果服务器本身位于 NAT 后，它的监听端口还必须通过边缘设备的转发或映射可达。把服务器私有地址填进远端客户端的 Endpoint，并不会让私有地址自动获得公网路由。

认证流量如何更新 Endpoint

WireGuard 的漫游设计从有效流量学习位置。当来自已知公钥的包通过认证，WireGuard 就把该包的外层源 IP 和 UDP 端口记为 peer 最新 Endpoint。以后发给该 peer 的包会使用这个位置。位置只有在密码学检查通过后才被信任。［1］［2］

因此，手机从家庭 Wi-Fi 切换到移动网络时可以继续使用同一公钥身份。服务器看到来自新源映射的下一个认证包，便在那里回复。漫游说明进一步讨论时序、双方同时移动的限制和应用边界。

未经认证的数据报不能只靠宣称“把该 peer 的流量发给我”来替换地址。它必须以该已配置 peer 的身份通过 WireGuard 认证。在认证通过前，仅从新源地址收到数据报，不会替换已保存的 Endpoint。这保护机密性与 peer 身份。

因此，保存的 Endpoint 更像当前运行状态，而不是永久身份记录。NAT 重新绑定、运营商变化、IPv4/IPv6 转换和端口变化，都可能让昨天的外层组合失效，同时公钥仍保持有效。

Endpoint 不会安装系统路由

操作系统通常先决定把内层目的地送到哪个接口。包到达 WireGuard 接口后，WireGuard 再根据 AllowedIPs 表选择 peer，并把包封装发往其 Endpoint。这是不同层的两次查找。

wg-quick(8) 可以从 peers 的 AllowedIPs 推导操作系统路由，并专门处理默认路由。［3］这种便利让配置看似一次完成，但概念仍然独立。直接使用 wg、其他网络管理器或自定义策略时，相同 peer 配置可能对应不同系统路由表。

这种分层可以解释多种故障：

1. 没有系统路由：包从未进入 WireGuard 接口。
2. 没有匹配 AllowedIPs：WireGuard 无法为内层目的地选择 peer。
3. 没有可用 Endpoint：WireGuard 知道 peer，却不知道外层 UDP 发到哪里。
4. 外层路径失败：地址正确，但包被封锁、丢弃或误路由。
5. 认证失败：响应到达，却无法作为已配置 peer 通过验证。

在 AethoVPN 中，与选择 Endpoint 最接近的用户操作，是在应用中选择服务器位置：列表会显示负载，绿色表示状态良好，另外还有智能推荐节点。如果某个位置没有响应，就切换到另一个绿色位置对比结果，而不是去找隐藏的 Endpoint 字段；如果在某个网络上所有位置都失败，而换一个网络就正常，外层路径就是更可能的故障层。该产品没有文档说明 Endpoint 字段或特定隧道协议，所以本文的通用示例适用于自管的 WireGuard。可开始 3 天免费试用来试试切换位置。

Endpoint 与 PersistentKeepalive 的关系

Endpoint 回答“发到哪里”，PersistentKeepalive 决定安静的 peer 是否周期发送认证空包。PersistentKeepalive 指南说明 NAT 后 peer 为什么可能需要这类流量来保存返回映射。

保活不能代替 Endpoint。发送方的每个包，包括空包，都仍需当前外层目的地。反过来，当普通流量已刷新状态，或 peer 空闲时无需被远端联系，正确 Endpoint 也不要求保活。

排障时不要同时修改两者。先确认目的地址和 UDP 端口，再观察是否出现有效握手，然后才评估空闲过期。否则周期包只会制造更多失败流量，却无法指出错误层级。

怎样分层检查 Endpoint？

先检查外层目的地：主机名是否按预期解析，系统路由能否到达所选地址和 UDP 端口；再确认响应能以目标公钥完成认证。开放 UDP 端口本身不能证明 peer 身份。

握手后比较当前 Endpoint 和收发计数器，再分别检查内层目的地址、AllowedIPs 与系统路由。应用加载指示无法区分 DNS、外层 UDP、认证或内层路由故障，因此应记录每一层的观察结果。

总结

• Endpoint 是 WireGuard peer 当前使用的外层 IP/主机名与 UDP 端口。
• 公钥标识 peer，Endpoint 标识其可达网络位置。
• 响应方能学习 Endpoint，发起方则需要可用的初始目的地。
• 正确认证的包会更新已记录 Endpoint，从而支持漫游。
• AllowedIPs、系统路由、隧道地址和 DNS 仍是不同契约。

常见问题

WireGuard Endpoint 是服务器的 VPN IP 吗？

不是。Endpoint 是用于联系 peer 的外层地址与 UDP 端口。VPN 或隧道 IP 位于加密路径内部，并参与路由规则。

Endpoint 可以使用主机名吗？

可以。wg(8) 接受主机名加端口。名称解析提供外层地址，WireGuard 认证仍根据公钥验证 peer。

为什么服务器端 peer 可以省略 Endpoint？

监听服务器可以等待客户端先发起。正确认证的包到达后，服务器会学习该客户端的源 IP 和 UDP 端口。

Endpoint 会选择哪些流量进入隧道吗？

不会。系统路由把流量送往接口，AllowedIPs 为内层目的地选择 WireGuard peer，之后才使用 Endpoint 交付外层 UDP。

两个 peer 可以使用相同 Endpoint 吗？

配置上可以，例如两者位于同一转换地址之后，但它们的公钥仍不同，实际 NAT 映射与可达性也必须正确工作。

Endpoint 改变是否表示 peer 密钥改变？

不是。漫游正是让外层地址和端口可变，同时保留静态公钥身份。

PersistentKeepalive 能修复错误 Endpoint 吗？

不能。保活包仍发往当前 Endpoint。若目的地错误或不可达，重复发送不会纠正，除非之后有来自新位置的有效 peer 流量。

来源：

1. WireGuard Tools, wg(8): https://git.zx2c4.com/wireguard-tools/about/src/man/wg.8
2. WireGuard, “WireGuard: Next Generation Kernel Network Tunnel”: https://www.wireguard.com/papers/wireguard.pdf
3. WireGuard Tools, wg-quick(8): https://git.zx2c4.com/wireguard-tools/about/src/man/wg-quick.8

Sources checked 2026 年 9 月 12 日。

---

延伸阅读：

• 理解完整 VPN 路径
• 比较主要 VPN 协议设计
• 排查 VPN 无法连接的常见原因
• 理解出站选择与入站授权