WireGuard

用户态 WireGuard 协议实现，用于与对端建立 WireGuard 隧道，将被路由到此出站的 TCP/UDP 请求封装为 IP 包后通过 WireGuard 隧道发送。

DANGER

WireGuard 协议并非专门为翻墙而设计，若在最外层过墙，存在特征可能导致服务器被封锁

OutboundConfigurationObject

OutboundConfigurationObject 对应 OutboundObject 中的 settings 项。

json

{
  "outbounds": [
    {
      // ...
      "protocol": "wireguard",
      "settings": {
        "secretKey": "CLIENT_PRIVATE_KEY",
        "address": ["10.0.0.1", "fd59:7153:2388:b5fd:0000:0000:0000:0001"],
        "peers": [
          {
            "endpoint": "example.com:2408",
            "publicKey": "SERVER_PUBLIC_KEY",
            "allowedIPs": ["0.0.0.0/0", "::/0"]
          }
        ],
        "noKernelTun": false,
        "mtu": 1420,
        "reserved": [0, 0, 0],
        "remoteDNS": [
          "1.1.1.1",
          "1.0.0.1",
          "2606:4700:4700::1111",
          "2606:4700:4700::1001"
        ]
      }
    }
  ]
}

secretKey: string

客户端的私钥。必填。

使用命令 xray wg 生成客户端密钥对时。此处对应将输出的 PrivateKey。

address: [ string ]

Wireguard 接口的本地 IP 地址列表。存在多个时根据 peer 自动选择。

默认值为 ["10.0.0.1", "fd59:7153:2388:b5fd:0000:0000:0000:0001"]。

noKernelTun: true | false

是否无视自动检测强制不使用系统 TUN，默认值为 false；在 LXC 或 Docker 环境中可能需要设为 true。

关于 kernel TUN

Xray 将 wiregurad 的 IP 包重新还原为 TCP/UDP 载荷的方式。默认情况下 Xray 会自动检测：在 Linux 上且 Xray 进程具有 CAP_NET_ADMIN 权限时，创建 TUN 并由内核网络栈处理；在其他平台或权限不足时，使用进程内的 gVisor 网络栈。设为 true 时，仅使用 gVisor 网络栈，不会创建 TUN。使用 TUN 通常性能更高。

上述自动判断不一定准确，例如某些 LXC 环境即使具有 CAP_NET_ADMIN 权限，也可能无法使用 TUN，导致出站无法工作，此时将 noKernelTun 设为 true 即可解决问题。

此选项只选择内层 IP 包的处理方式。WireGuard 协议本身仍由 Xray 的用户态实现处理，与内核 WireGuard 模块无关。

使用 TUN 时会占用 IPv6 的 10230 号路由表，每一个其他 WireGuard 出站会依次往后使用路由表，比如第二个会使用 10231 号路由表，以此类推。

注意如果在同一个机器上启动第二个 Xray 实例不会接着分配路由表号，会继续尝试使用 10230 号路由表，因为已经被第一个 Xray 实例占用所以会失败无法连接，如果实在需要也需要设置这个选项禁用 TUN。

mtu: int

WireGuard 隧道内层 IP 包的 MTU。默认 1420。

MTU 的计算方法

一个 WireGuard 数据包的结构如下

- 20-byte IPv4 header or 40 byte IPv6 header
- 8-byte UDP header
- 4-byte type
- 4-byte key index
- 8-byte nonce
- N-byte encrypted data
- 16-byte authentication tag

N-byte encrypted data 即为我们需要的 MTU 的值，根据 endpoint 是 IPv4 还是 IPv6，具体的值可以是 1440(IPv4) 或者 1420(IPv6)，如果处于特殊环境下再额外减掉即可 (如家宽 PPPoE 额外 -8)。

reserved [ byte ]

WireGuard 协议保留字节，长度为 3，默认全 0，按需填写。

peers: [ PeersObject ]

连接 WireGuard 远端 peers 列表。

remoteDNS: [ string ]

用于解析被代理目标的域名。列表项必须为 IP。默认值为 ["1.1.1.1", "1.0.0.1", "2606:4700:4700::1111", "2606:4700:4700::1001"]。

不同于其他出站，WireGuard 隧道内的目标地址必须为 IP。当被代理目标为域名时，需要一个 DNS 服务器将域名转化为 IP 地址。这部分 DNS 服务器在这里配置，并且直接通过这个 WireGuard 隧道发送 DNS 请求。想将其接入 Xray 内置 DNS 系统请考虑在出站的 targetStrategy 提前解析。

PeersObject

json

{
  "endpoint": "example.com:2408",
  "publicKey": "SERVER_PUBLIC_KEY",
  "preSharedKey": "PRE_SHARED_KEY",
  "keepAlive": 0,
  "allowedIPs": ["0.0.0.0/0", "::/0"]
}