协议指南 / AmneziaWG 2.0
AmneziaWG 2.0：VPN 流量混淆如何工作？
AmneziaWG 2.0 是基于 WireGuard、增加了流量混淆机制的 VPN 协议。它保留加密隧道模式，同时改变可用于识别连接的特征。
发布日期 · VPN Bot
加密与混淆解决不同的问题
加密隐藏传输数据的内容。混淆改变通信过程的外部特征。即使数据包内容已加密，观察者仍能看到它的大小、方向和发送时间。
AmneziaWG 2.0 改变有辨识度的数据包头和大小，从而增加流量分类的难度。但这不代表连接变得不可见，或与所有普通应用的流量完全无法区分。
隧道内部发生了什么？
隧道通过 UDP 承载 IP 数据包。通信双方使用密钥和握手来建立受保护的会话。WireGuard 的加密基础使用 ChaCha20-Poly1305 保护数据，并在密钥交换中使用 Curve25519。
服务器从隧道接收数据包后，会继续将其路由到目标地址。只要系统路由确实将流量送入隧道，就能传输多种应用流量，而不必为每个应用单独设置代理。
H、S、J 和 I 分别代表什么？
H1–H4 指定消息类型标识符，AWG 2.0 可以使用范围值。S1–S4 为不同类型的数据包添加前缀。Jc、Jmin 和 Jmax 控制握手前随机数据包的数量和大小。I1–I5 描述额外的签名数据包。
这些参数调整的是通信的外观，并不是不同的加密算法。配置更长或随机数据更多，不代表保护一定更好。设置必须适合所用实现，并在协议要求的地方与对端保持一致。
为什么 DNS 和 MTU 是独立设置？
DNS 将域名转换为 IP 地址。选择 DNS 解析服务器不会改变 AWG 版本，也不会启用混淆。让控制流量看起来像 DNS，同样不代表用户请求通过所选 DNS 服务传输。
MTU 限制接口上的数据包大小。隧道存在额外开销，因此数值过大可能导致传输问题，过小则会增加数据包数量。不存在适用于所有网络的最佳 MTU。
与 WireGuard 及其他 AWG 版本的兼容性
.conf 格式相似，并不意味着协议兼容。标准 WireGuard 客户端不支持 AWG 2.0 的全部扩展。服务端实现和客户端都必须理解实际使用的参数。
配置不只有地址和密钥。为了成功导入而删除不认识的字段，可能得到一个应用可以接受、却无法连接服务器的文件。应用版本和路由器的协议支持情况都很重要。
这种方式的优势与局限
当需要 IP 层面的 VPN 路由，而普通 WireGuard 容易被特征识别时，AWG 是一种可考虑的方案。但网络条件仍然重要：如果 UDP 不可用，混淆本身不会创建备用 TCP 通道。
排查时应区分两种情况：完全没有握手，或者隧道已建立但部分资源无法访问。后一种情况可能与 DNS、路由或数据包大小有关，而不是混淆。没有任何预设能保证在所有网络服务商的环境中可用。
常见问题
基础解答与社区讨论中的问题。链接指向相关讨论示例和文档；单个错误报告不代表所有用户都会受到影响。
用简单的话说，AmneziaWG 2.0 是什么？
它是基于 WireGuard、对可见流量特征进行混淆的 VPN 协议，通过加密 UDP 隧道传输 IP 数据包。混淆增加识别难度，但不能保证在所有网络中都能连接。
为什么一直停留在“正在连接”？
原因可能是客户端处理配置失败，而不只是网络问题。GitHub 上有用户报告 Windows 中应用 AWG 2.0 参数时出错。先检查导入和创建 peer 的日志，再检查服务器可达性。单个报告不代表所有用户都会遇到同一问题。
修改 I1–I5 后，需要重新分发配置吗？
已经保存的文件不会自动更新。根据 Amnezia 文档，新生成的文件会继承服务端修改后的 I1–I5。要让旧客户端使用这些设置，需要更新其配置；仅修改 I 参数本身，并不必然要求更换加密密钥。