快鸭为何采用 WireGuard：协议选型的技术解读

选协议这件事，外行看名字，内行看开销。快鸭加速器 在 v3.8 里把 WireGuard 设为默认协议后，不少用户问：为什么不继续用更成熟的 OpenVPN？答案藏在协议本身的工程细节里——WireGuard 用更少的代码、更快的握手，换来了更稳的日常体验。

VPN 协议的本质是在不可信网络上建一条加密隧道。OpenVPN 诞生于 2001 年，功能全、可配置项多，但这份「全」的代价是庞大。WireGuard 是 2016 年后出现的后起之秀，它砍掉了大量历史包袱，只保留最核心的能力。快鸭把两者都留在客户端里，但把默认位给了 WireGuard。

一、代码量与攻击面

WireGuard 的核心实现约 4000 行代码，OpenVPN 连同 OpenSSL 依赖超过 7 万行。代码量不是数字游戏——每一行都可能藏 bug，都可能成为被攻击的入口。对安全审计来说，审 4000 行和审 7 万行的成本天差地别，出错的概率也不一样。

WireGuard 自诞生起就接受学术界的反复审视，2019 年后又进入 Linux 内核主线，等于获得了内核维护者的持续review。快鸭选择它，看中的正是这份「被很多人盯过」的安全记录，而不是标新立异。

二、握手与漫游

握手是建立隧道的第一步。WireGuard 采用无状态的基于 Noise 协议的握手，单次往返即可完成密钥协商，实测握手时间在 200ms 上下。快鸭vpn 的旧协议握手均值约 680ms，两者差距在弱网环境下被进一步放大。

更关键的是漫游。手机在 WiFi 和蜂窝网络之间切换时，IP 会变。旧协议需要重新握手，用户会看到短暂断流；WireGuard 的会话不绑定具体地址，网络一换，密钥还在，数据流几乎不间断地续上。快鸭移动端实测切换恢复中位数不到 1 秒。

三、为什么不是唯一选择

WireGuard 也不是万能。它默认走 UDP，在部分封锁严格的网络里可能被针对性干扰，此时换回基于 TCP 的 OpenVPN 反而更稳。所以快鸭没有「二选一」，而是提供了自动与手动两种模式，让用户按实际网络挑协议。

快鸭后端工程师的说法是：「协议没有好坏，只有合适。我们做的是把选择权留给用户，把默认值设成多数场景下最优的那个。」

从上线两周的数据看，约 82% 的用户保持在 WireGuard 默认协议上，连接成功率与延迟表现均优于旧协议；剩下 18% 的用户在特定网络下主动切换了 OpenVPN 或 Shadowsocks，这正是快鸭保留多协议的意义。

协议选型是一个权衡题。WireGuard 用精简换安全、用无状态换速度，代价是特定环境下的兼容性。快鸭的答案是：默认用它，同时不锁死其它选项。想亲身体验 WireGuard 的握手感，可以点击下载最新版。