WireGuard 官方自己列了一頁「我做不到的事」，買 VPN 前該看一遍 — 問問貓 VPN 該選哪一家

一、為什麼要看這一頁

WireGuard 是現在 VPN 業界的主流協定，幾乎每家的行銷頁都會寫「採用 WireGuard，更快更安全」。

但 WireGuard 官方網站上有一頁標題就叫 Known Limitations（已知限制），第一句話是：「WireGuard 是一個協定，和所有協定一樣，會做出必要的取捨。」

這一頁不是黑資料，是設計者自己寫的說明書。搞懂它，你就知道為什麼有些 VPN 業者明明用 WireGuard，還要另外加一堆自家功能——那些功能多半就是在補這些限制。

官方原文的意思是：WireGuard 不專注於混淆（obfuscation）。混淆應該發生在 WireGuard 之上的另一層，WireGuard 專心提供紮實的加密與簡單的實作。

白話：WireGuard 的封包看起來就是 WireGuard 的封包。它會把你的內容加密到別人看不懂，但它沒有打算隱藏「你正在用 VPN」這件事。

什麼時候會影響到你？

某些網路（例如部分公司網路、部分國家的網路）會用設備去辨識並封鎖 VPN 流量。在這種環境下，加密再強也沒用，因為對方不是要看內容，是要認出這是 VPN 然後擋掉。
這就是為什麼很多 VPN 業者會另外提供「偽裝模式」「隱形模式」「V2Ray」「WebTunnel」這類選項——那些是加在 WireGuard 外面的一層外衣，不是 WireGuard 本身的功能。

選購啟示：如果你常在會封鎖 VPN 的網路下使用，光看「支援 WireGuard」沒有用，要去確認業者有沒有額外的混淆／偽裝功能。

官方寫得非常直接：WireGuard 明確不支援透過 TCP 建立通道，理由是 TCP over TCP 的網路效能「經典地糟糕」。要把 WireGuard 的 UDP 封包變成 TCP，是上層混淆工具的工作。

白話：WireGuard 走的是 UDP。有些網路環境（飯店、學校、公司）只放行 TCP 的常見埠，UDP 會被擋掉，這時候純 WireGuard 就是連不上。

選購啟示：如果你常在這類網路下用，要看業者有沒有提供 TCP 模式或是 OpenVPN 之類的備援協定。一家只提供 WireGuard、沒有任何備援的服務，在受限網路下的成功率會比較差。

官方寫：WireGuard 預設不具後量子安全性，但可以用「預共享金鑰（pre-shared key）」參數加上一層後量子保護；最好的做法是在 WireGuard 之上跑一個真正的後量子握手，再把得到的金鑰塞進 WireGuard 的預共享金鑰欄位。

白話：所謂後量子安全，指的是擔心「現在被錄下來的加密流量，將來有了量子電腦再回頭解開」。WireGuard 原生設計沒處理這件事，但留了一個插槽讓別人補上。

選購啟示：有些業者會宣稱自己「已具備後量子保護」。這不是 WireGuard 本身自帶的，是業者自己加的一層。要看的是他們怎麼加、有沒有公開技術說明。對大多數一般使用者而言，這項的實際急迫性不高，但它是分辨「真的有做事」和「只是換了說法」的好題目。

漫遊時的風險（Roaming Mischief）：WireGuard 允許你從 Wi-Fi 切換到行動網路時不必重新握手。官方指出，這代表一個位於中間的主動攻擊者有可能替換來源 IP。不過官方同時寫明：那些封包對攻擊者來說仍然是無法解讀的，因為加密與驗證仍然有效。

握手會洩漏「是誰在連」但不洩漏內容：官方說明，握手本身用對方的靜態公鑰加密了發送者的公鑰；如果對方的私鑰外洩、又有人留著過去的握手紀錄，就有可能推算出是誰發過握手，但不會知道裡面傳了什麼資料。官方建議的緩解是輪換或重新產生金鑰。

系統時間被動手腳會出事：WireGuard 用系統時間當作單調遞增的計數器。官方寫明，如果系統時間被惡意控制（往前跳或往後跳），可能導致握手失敗、甚至讓使用者把自己的金鑰鎖死。所以裝置的時間來源不該落在有敵意的一方手上。

WireGuard 官方這一頁的存在本身，就是一個很好的判準示範：一份技術文件願不願意寫「我做不到什麼」。

你可以拿同一個標準去看任何一家 VPN 的官網：

只要你在官網上完全找不到任何限制說明，那不代表這個服務沒有限制，只代表他們選擇不告訴你。

實查：2026-09-11

資料來源：

本文只整理公開技術文件與其對消費者選購的意義，不提供任何規避地區限制或封鎖的操作教學。使用網路服務請遵守當地法令與各服務條款。