对等端模型下的连接触发机制
WireGuard采用无状态的对等端模型，不存在传统的控制面协商或会话ID。连接建立并非由服务器主动发起，而是严格依赖客户端发送首个数据包来“敲门”。若长期无数据流量，链接会静默断开，因此客户端通常需配置PersistentKeepalive参数，定期发送空包维持UDP端点映射状态，防止NAT映射过期。
在 WireGuard 无状态模型中，依赖客户端定时发送的空包维持 NAT 映射，确保加密通道静默不断开。
握手包的结构与密钥交换
当客户端发起请求时，首先通过加密通道发送Initiation Handshake Message。该消息携带客户端的临时公钥、客户端IP及Nonce（随机会话数），蓝莓加速器但不包含长期私钥。服务器接收后，校验Nonce是否存在重放攻击，并使用其长期私钥与客户端公钥进行Diffie-Hellman计算，生成双方共享的会话密钥。此过程完全在数据面完成，避免了传统IKEv2等协议的复杂状态机。
AllowedIPs的双重校验逻辑
握手成功后，双方建立独立的会话加密通道。此时，AllowedIPs列表起决定性作用，它既作为路由决策依据，也作为源地址校验白名单。例如，蓝莓VPN若客户端配置AllowedIPs为10.0.0.0/8，服务器仅在收到源IP属于该网段的数据包时才解密，其他源地址直接被丢弃。这种机制确保了即使UDP端口被攻击者占用，非白名单IP的报文也无法穿透，实现了隐式的访问控制，而非单纯依赖防火墙规则。
UDP端点映射的时效性
由于底层使用UDP协议，WireGuard依赖NAT设备的会话保持机制。每个对等端必须定期发送数据包以刷新UDP端点映射表项。一旦超过NAT设备的超时时间（通常为30至120秒）且未配置Keepalive，映射失效，蓝莓VPN后续数据包将无法路由至服务器。因此，在高移动性网络或严格NAT环境下，调整Keepalive间隔比更改路由策略更直接有效，且不影响其他TCP连接的稳定性。
