握手前的准备：密钥生成与端口监听
WireGuard 不使用传统的“握手包”来同步状态，而是基于公钥基础设施。在建立连接前，服务端和客户端各自生成一对 X25519 非对称密钥。服务端监听配置的 UDP 端口（由 ListenPort 指定），客户端则需知道服务端的公钥和该端口。此时网络中尚未传输任何数据，VPN客户端双方处于等待状态。注意，UDP 端口与 TCP 端口即使数字相同，也是独立的监听端点，WireGuard 仅使用 UDP 协议进行数据传输，不涉及 TCP 重传机制。
噪声协议（Noise IK）执行与会话密钥派生
当客户端向服务端发送包含自身公钥的初始消息时，实际是在执行 Noise IK 协议的第一阶段。这一步并非简单的“密钥交换”，而是客户端发起认证并生成初始共享秘密。服务端收到后，使用自己的私钥和客户端公钥计算共享秘密，VPN客户端并回复包含服务端公钥的消息。此时，双方虽未建立完整会话，但已通过椭圆曲线 Diffie-Hellman 运算确认了对方的身份存在，防止了中间人攻击的基础验证。
终端窗口中滚动的十六进制字符，正在见证客户端与服务端密钥协商的开始。
对称加密载荷的传输与时间戳校验
握手成功的标志是双方成功派生出会话密钥（Session Key）。随后，所有应用层数据（如 HTTP、DNS 请求）都被加密并通过该 UDP 端口传输。WireGuard 会在每个数据包头中嵌入时间戳，用于检测重放攻击。若接收方发现时间戳过旧，会丢弃该包。这一阶段没有独立的“确认包”或“ACK”机制，连接是否有效取决于后续数据包的正常收发，而非控制信道的状态机转换。
持久保活机制与 NAT 遍历
在 NAT 环境中，UDP 会话会随静默时间过期而失效。为了保持 NAT 映射，WireGuard 引入了 PersistentKeepalive 参数（注意是单数形式）。若配置该值，客户端会定期发送空包或数据包头，迫使 NAT 设备更新映射表。这不是额外的“心跳握手”，极光加速器而是加密流量的自然延续。若未配置且长时间无流量，连接将中断，下次通信需重新触发 Noise 协议过程，但这并不等同于完整的重新安装或路由更新。
