要点
一条隧道内有两层
WireGuard 创建第三层接口，将隧道地址映射到对等公钥，并通过 UDP 传输加密的 IP 数据包。其官方协议指定 Noise_IK、Curve25519、ChaCha20-Poly1305、BLAKE2s 和 HKDF。 WireGuard 不会尝试隐藏其网络模式。该项目的已知限制页面将混淆分配给基础协议之上的一层。
AmneziaWG 提供了额外的层。当有效负载使用 WireGuard 安全结构时，它会更改可见字段和数据包大小。这种区别设定了安全边界。屏蔽不会修复泄露的私钥、替换访问控制或保护公共配置文件。运营商仍然需要更新、唯一的对等密钥和撤销过程。
“AWG 3.1 解释”这一短语不应将保护和伪装整合为一项财产。加密可以保护内容并验证对等方的身份。混淆会改变可用于流量分类的功能。运营商仍然可以根据服务器地址、UDP 策略、时间或流量采取行动。
H1 - H4 范围和 S1 - S4 前缀
标准 WireGuard 数据包在可预测的位置携带消息类型和保留字节。 AmneziaWG 将这些值替换为 H1 - H4 参数。版本 3.0 接受每个 H 字段的一个值或一个范围。范围不得重叠。 H1 代表握手启动，H2 代表响应，H3 代表 cookie 消息，H4 代表传输数据包。
S1 - S4 将随机前缀添加到相应的数据包类别中。 AmneziaWG 官方参数表列出了 0-64 字节的 S1 - S3 和 0-32 字节的 S4。与早期格式相比，3.0 版本添加了 S3 和 S4。复制旧文件而不重新生成可能会产生不完整或不兼容的配置文件。
客户端和服务器必须使用一致的参数集。手工挑选的随机范围可能会重叠、在对等点之间不一致或创建大于路径 MTU 的数据包。用户应从受信任的颁发者导入新配置。操作员应在分发配置文件之前验证范围和客户端兼容性。
签名包和垃圾流量
I1 - I5 定义每次握手之前发送的签名数据包。 amneziawg-go 存储库记录了静态字节、随机字节、数字、字符和时间戳的 I1、I2、I3、I4、I5 顺序和标签。这些数据包不携带用户数据。它们决定了 UDP 交换的打开顺序。 Amnezia Docs 在配置可以模仿的模式中引用了 DNS 和 QUIC。
Jc控制签名包之后的一组垃圾包，而Jmin和Jmax则设置它们的大小范围。更大的价值并不能创造普遍优势。实施自述文件警告超过系统 MTU 的数据包将分段，并且分段可能成为可见的异常。额外的握手数据包也会消耗字节，并且可能会在有损路径上受到影响。
自定义协议签名（通常缩写为 CPS）描述了可配置的打开模式。它不会使完整会话与 DNS 或 QUIC 相同。分类器可以使用方向、定时、持续时间、地址信誉和主动探测。证据应表明 AWG 更改了选定的功能，然后报告过时的测试中发生的情况。
兼容性和强制迁移
Amnezia Docs 将 AmneziaVPN 5.0.1.5 设置为最低支持版本。较旧的应用程序无法使用 AWG 3.1 访客配置文件，并且可能会显示“未安装”。更新后，现有的 1.0 安装显示为 AmneziaWG Legacy 并保留其自己的密钥。安装 AmneziaWG 默认创建版本 3.1。
迁移意味着发布新的配置文件。每个设备都需要为 AmneziaWG 3.1 生成配置，对于本机客户端，需要生成 AmneziaWG 本机格式。官方应用程序指南警告不要在设备之间共享一种配置。独特的文件支持独立撤销并避免对等状态冲突。
保留经过测试的恢复路径，直到新配置文件通过验证。检查握手、DNS、IPv4、IPv6、对独立资源的访问以及网络更改后的重新连接。清零掩码参数可以接近标准 WireGuard 行为，但它们不会将旧的 1.0 密钥转换为新的 3.0 配置。
关于 DPI 的主张需要边界
DPI 产品可以结合字节签名、长度、方向、时序、地址列表和主动测试。每个运营商都会选择自己的规则。旁路 DPI 2026 声明无法覆盖全国范围的网络。 AmneziaWG 3.1 解决了 UDP 流的可识别特征。它无法控制 IP 阻止、全面 UDP 限制、错误路由或本地防火墙。
诊断应将连接分为几个阶段。任何握手都不能指向端点、端口、防火墙、参数不匹配、服务器中断或服务器之前的过滤。没有工作站点的握手会将注意力转移到路由、DNS、NAT、MTU 和AllowedIP。在 Wi-Fi 上有效但在移动设备上失败的配置文件需要与相同设备和配置进行受控比较。
负责的文档列出了客户端版本、日期、运营商和成功标准。 “网络 X 上完成的五次握手中的五次”具有可重复的边界；绝对检测声明则不然。
部署清单和主要来源
从官方来源将 AmneziaVPN 更新到 5.0.1.5 或更高版本。发布新的 AWG 3.1 配置文件，保留对服务器的恢复访问权限，并保护私钥。为每个设备提供自己的配置。导入后，记录握手时间、外部 IP、DNS 应答以及通过 IPv4 和 IPv6 的访问。
对于失败，请在不更改配置文件的情况下比较两个网络。检查端点分辨率、UDP 端口、设备时间、MTU、防火墙和服务器 NAT。不要单独调整 H、S、I 或 J 字段，除非您控制匹配的服务器配置。
主要来源是 Amnezia 的部署指南（位于实现自述文件的参数参考）和 WireGuard 协议页面，并在更新指南时再次检查它们，因为客户端要求和格式不断变化。
继续阅读