WireGuard
现代VPN协议，以代码精简（约4000行内核实现）、性能优异、加密强度高著称，2020年合并进Linux 5.6内核主线
核心事实
时间轴 (近 90 天)
Tailscale 的底层数据平面构建在 WireGuard 之上，每台设备生成自己的 WireGuard 密钥对，节点之间建立点对点的加密隧道。
Tailscale SSH 是 Tailscale 提供的免密钥 SSH 访问功能，利用 WireGuard 网络和身份认证机制替代传统的 SSH 密钥管理。
Tailscale 是一项基于 WireGuard 协议构建的虚拟组网服务，能把不同网络中的设备组成加密的点对点网状网络，每台设备获得固定的 100.x.x.x 内网 IP。
WireGuard 以内核模块形式运行于 Linux，代码量远小于 OpenVPN，因此审计更容易、延迟更低。
WireGuard采用沉默设计，不响应未经认证的数据包，端口扫描无法探测其存在
NetBird采用点对点网状结构，设备之间尽可能直接建立WireGuard隧道，无法直连时才回退到中继服务器
NetBird是基于WireGuard的零信任网状网络平台，在WireGuard之上增加了身份管理、NAT穿透和策略分发层
Tailscale/WireGuard依赖中心化协调服务器，ZeroTier同样有中心节点，而Yggdrasil的路由完全去中心化
深度包检测（DPI）可以在一定程度上识别VPN流量的存在，例如识别出连接使用了OpenVPN或WireGuard协议
WGDashboard 内置了 WireGuard 功能，可以一站式管理对等节点、配置和流量数据
还有 28 条时间轴事件
全部知识事实 (20)
Tailscale 在 WireGuard 数据平面之上构建了控制平面，自动完成密钥交换、节点发现和路由配置，用户登录账号后设备自动加入名为 tailnet 的私有网络
75%已验证WireGuard 的代码库仅约 4000 行，而 OpenVPN 超过 70000 行
75%已验证WireGuard 由 Jason Donenfeld 于 2015 年开发，并于 2020 年正式合并入 Linux 内核
75%已验证WireGuard 采用 Curve25519 用于密钥交换、ChaCha20 用于对称加密、Poly1305 用于消息认证的固定密码学组合
70%已验证Tailscale 是一款基于 WireGuard 协议构建的零配置 VPN 服务，让不同设备通过安全加密隧道直接通信
65%已验证WireGuard作为Tailscale底层协议，其Linux内核模块代码仅约4000行
65%已验证WireGuard 由 Jason Donenfeld 于2015年开发，代码库约4000行，相比 OpenVPN 的数十万行
65%已验证当 UDP 被防火墙彻底拦截时，Tailscale 通过 DERP（Designated Encrypted Relay for Packets）中继服务器保证连通性，且端对端加密使中继服务器无法解密数据内容
65%待验证Tailscale 的协调服务器不转发用户实际数据流量，数据始终在设备之间通过 WireGuard 隧道端到端加密传输
70%待验证Noise Protocol Framework 由 Signal 协议设计者 Trevor Perrin 提出，其 IK 模式在发起方已知响应方静态公钥时可实现零RTT加密传输
60%待验证WireGuard的加密在网络层（第三层）进行，透明加密任何协议的数据
60%待验证DERP中继服务器只能看到WireGuard加密后的密文，无法解密实际传输内容
60%待验证WireGuard使用Noise Protocol的IK模式，实现1-RTT握手并提供前向保密性
60%待验证Tailscale SSH 是 Tailscale 提供的免密钥 SSH 访问功能，利用 WireGuard 网络和身份认证机制替代传统的 SSH 密钥管理。
50%待验证Tailscale 的底层数据平面构建在 WireGuard 之上，每台设备生成自己的 WireGuard 密钥对，节点之间建立点对点的加密隧道。
50%待验证Tailscale 是一项基于 WireGuard 协议构建的虚拟组网服务，能把不同网络中的设备组成加密的点对点网状网络，每台设备获得固定的 100.x.x.x 内网 IP。
50%待验证WireGuard 以内核模块形式运行于 Linux，代码量远小于 OpenVPN，因此审计更容易、延迟更低。
50%待验证NetBird是基于WireGuard的零信任网状网络平台，在WireGuard之上增加了身份管理、NAT穿透和策略分发层
50%待验证NetBird采用点对点网状结构，设备之间尽可能直接建立WireGuard隧道，无法直连时才回退到中继服务器
50%待验证WireGuard采用沉默设计，不响应未经认证的数据包，端口扫描无法探测其存在
50%