WireGuardNT 的实现由三个主要逻辑层构成内核驱动driver 目录、用户态 DLLapi 目录以及示例和辅助工具example 和 setupapihost 目录。下面分别阐述各层的实现细节、大体框架以及使用方式。内核驱动实现driver/驱动入口点在 main.c 中的 DriverEntry 例程它负责初始化全局状态、注册设备对象、创建符号链接、以及注册 NDIS 协议或过滤驱动实际 WireGuardNT 实现为 NDIS 轻型过滤驱动或虚拟适配器驱动。驱动加载后会等待用户态 DLL 通过 CreateFile 打开设备句柄然后通过 IOCTL 进行交互。驱动内部核心模块及其功能device.c / device.h实现适配器设备对象的管理包括创建、删除、打开、关闭。每个适配器对应一个 DEVICE_OBJECT并关联一个 WG_DEVICE 结构该结构包含了接口配置、Peer 列表、加密密钥、统计信息、状态标志等。WG_DEVICE 结构被设计为 RCU 保护以实现无锁读取。allowedips.c / allowedips.h实现基于二进制 TrieRadix Tree的 AllowedIPs 查找和更新。该数据结构支持 IPv4 和 IPv6 地址前缀的高效匹配且线程安全通过 RCU。当数据包从上层协议栈到来时驱动会查询该树以确定目标对等体当从对端收到数据包时同样查询该树验证源地址是否合法。peer.c / peer.h 和 peerlookup.c / peerlookup.h管理对等体对象。每个 Peer 包含公钥、预共享密钥、端点地址IP端口、持久保活间隔、握手状态、定时器如重试定时器、保活定时器、以及收发字节统计。Peer 的创建、更新、删除都通过配置 IOCTL 触发并在 RCU 保护下生效。noise.c / noise.h实现了 Noise 协议框架中的握手过程包括初始化、响应、以及密钥派生。使用 ChaCha20-Poly1305 进行加密Curve25519 进行 Diffie-Hellman 计算。该模块还维护每个 Peer 的密钥轮换状态和计数器防止重放攻击。send.c / receive.c实现数据包的发送和接收路径。发送路径从上层协议栈获得 IP 数据包根据 AllowedIPs 查找目标 Peer然后调用加密函数使用该 Peer 的当前发送密钥封装成 UDP 数据包并通过 socket.c 中的 UDP 发送函数发出。接收路径从 UDP 套接字读取数据包解密并验证然后注入到本地网络栈通过 NdisMIndicateReceiveNetBufferLists 或类似接口。socket.c / socket.h管理 UDP 套接字的创建、绑定和收发。每个适配器绑定一个 UDP 端口由用户配置或随机分配该套接字在内核态通过 Winsock Kernel (WSK) 实现。socket.c 负责处理异步收发回调将收到的数据包交给 receive.c 处理。timers.c / timers.h实现了 WireGuard 协议中定义的各种定时器包括持久保活PersistentKeepalive、重试握手、会话过期等。使用内核定时器对象KTIMER和 DPC 例程来执行到期任务。cookie.c / cookie.h实现了 Cookie 机制用于防御 DoS 攻击。当检测到大量半开连接时对端需附带 Cookie 才能完成握手。该模块生成和验证 Cookie。ratelimiter.c / ratelimiter.h实现基于令牌桶的速率限制用于限制握手请求的频率进一步保护 CPU 资源。logging.c / logging.h提供日志记录基础设施日志级别分为 INFO、WARN、ERR。日志消息通过用户态注册的回调函数输出或通过 DbgPrint 输出如果未注册回调。日志开关可按适配器级别控制。memory.c / memory.h提供内存池和缓存分配器减少频繁内存分配带来的碎片化。crypto.c / crypto-amd64.asm实现了所有对称和非对称加密算法其中 AMD64 平台使用汇编优化版本极大提升加解密速度。rcu.c / rcu.h实现了 RCU 同步机制包括读端临界区进入/退出、写端更新和回调延迟释放。ioctl.c / ioctl.h处理从用户态发来的 IOCTL 请求包括设置配置、获取配置、设置状态、获取状态、设置日志等。IOCTL 代码定义在 ioctl.h 中。nsi.c / nsi.h与 Windows 网络状态指示器NSI交互用于通告网络连接状态变化。wireguard.inf驱动安装信息文件定义硬件 ID、服务名称、复制文件等用于即插即用安装。驱动编译后生成 wireguard.sys该文件必须经过数字签名方可加载测试环境下可通过测试签名绕过。用户态 DLL 实现api/api 目录下的源代码构建出 wireguard.dll该 DLL 导出所有用户可见的 API 函数。它的作用是封装与驱动通信的细节提供方便易用的 C 语言接口。wireguard.h对外发布的头文件包含所有类型定义、常量、函数声明。用户只需包含此头文件并链接 DLL 即可调用。adapter.c / adapter.h实现适配器的创建、打开、关闭。在创建时DLL 会尝试打开驱动设备\.\WireGuardNT若设备不存在则尝试加载驱动通过服务管理器。创建适配器时DLL 调用驱动 IOCTL 创建设备对象并分配资源关闭时通知驱动删除设备。configuration.c实现配置的序列化和反序列化。它将用户提供的 WIREGUARD_INTERFACE 结构及其后续内存块拷贝到连续缓冲区并通过 IOCTL 发送给驱动。同时获取配置时调用驱动读取当前配置并填充用户提供的缓冲区。logger.c实现日志回调注册。用户调用 WireGuardSetLogger 传递一个函数指针DLL 将其保存为全局回调并在驱动通过 IOCTL 发送日志消息时调用该回调。驱动日志消息通过事件或轮询方式传递具体实现依赖于 IOCTL 设计。driver.c / driver.h负责驱动的加载、卸载和版本查询。使用 Windows 服务 APIOpenSCManager、CreateService、StartService 等来管理 wireguard.sys 服务。registry.c / registry.h读写注册表用于持久化适配器配置或存储驱动状态目前官方可能未大量使用但保留接口。resource.c / resources.rc包含 DLL 版本资源和图标。exports.def定义 DLL 导出函数列表确保符号可见。rundll32.c / rundll32.h可能用于支持 rundll32 调用如安装/卸载驱动时的辅助入口。DLL 的实现遵循 Windows 动态库标准用户可通过 LoadLibrary 动态加载然后通过 GetProcAddress 获取每个函数地址。官方建议直接复制提供的示例代码中的 InitializeWireGuardNT 函数来完成函数指针解析。示例程序example/example.c 提供了一个极简但完整的示例展示如何使用 DLL API 创建一个适配器设置配置连接至演示服务器启动隧道然后保持运行直到用户按键退出。该示例演示了以下步骤调用 LoadLibrary 加载 wireguard.dll使用 GetProcAddress 获取所有必要函数指针生成或者硬编码一个私有密钥示例中使用了演示服务器的预共享密钥调用 WireGuardCreateAdapter 创建名为 Demo 的适配器构建 WIREGUARD_INTERFACE 结构包含私有密钥和监听端口0 表示随机构建一个 WIREGUARD_PEER 结构包含演示服务器的公钥、端点地址demo.wireguard.com:12912和 AllowedIPs0.0.0.0/0 及 ::/0调用 WireGuardSetConfiguration 下发配置调用 WireGuardSetAdapterState 将适配器设为 UP等待用户输入然后调用 WireGuardSetAdapterState 设为 DOWN最后关闭适配器。该示例非常适合作为开发者的起点。安装辅助setupapihost/host.c 和 setupapihost.vcxproj 用于构建一个小的可执行文件其作用可能是在驱动安装过程中处理 API 托管如提供驱动安装所需的环境但官方文档中未详细说明可能属于内部工具不影响开发者使用 DLL 的主流程。构建方式项目使用 Visual Studio 2022 及 WDK 构建解决方案 wireguard-nt.sln 包含所有项目。构建时属性文件 wireguard-nt.props 定义了通用宏版本号、平台映射、输出目录等。驱动项目driver.vcxproj编译为 .sysDLL 项目api.vcxproj编译为 .dll示例和辅助工具分别生成 .exe。构建输出按平台x86/amd64/arm/arm64和配置Debug/Release分开放置。使用方式对于最终用户无需直接操作驱动而是使用官方 WireGuard Windows 客户端该客户端内部调用此驱动。对于开发者希望在自己的应用程序中嵌入 WireGuard 功能时推荐如下流程从官方下载服务器https://download.wireguard.com/wireguard-nt/获取预编译的 wireguard.dll 和 wireguard.h。将 wireguard.dll 放置到应用程序目录或系统可搜索路径。在源代码中包含 wireguard.h并编写动态加载逻辑参考 example.c 中的 InitializeWireGuardNT 函数。调用 API 创建和管理适配器。注意程序需要以管理员权限运行因为创建网络适配器需提升权限。程序退出前务必关闭所有适配器并释放 DLL避免驱动残留。若需要卸载驱动可调用 WireGuardDeleteDriver但需确保无适配器存在。注意事项不得分发自行编译的 wireguard.sys 或命名为 wireguard.dll 的二进制文件以免与官方安装冲突。官方许可允许分发官方预编译的 wireguard.dll但必须遵守 prebuilt-binaries-license.txt 中的限制不得逆向、修改仅通过公开 API 使用。如果应用程序需要修改配置可以调用 WireGuardSetConfiguration 进行增量或全量更新无需重启适配器。日志功能可以帮助调试但生产环境建议关闭以避免性能损耗。实现中的已知限制及工作区当前驱动不支持 ECN但计划通过 IP_ECN cmsg 实现。IOCTL 使用 ULONG 表示配置大小无法处理超过 4GB 的配置实际场景不可能但架构上需改进。由于 Windows 网络栈的转发和弱主机发送行为IP_PKTINFO 在某些情况下被忽略驱动内临时使用了空 IP_OPTIONS 选项报文作为规避待微软修复后将移除。驱动内的结构体布局尚未完全优化缓存行计划重构。SAL 注解有待完善以支持静态驱动验证。综上所述WireGuardNT 的实现完整覆盖了从用户态 API 到内核驱动数据面的全部环节结构清晰接口稳定既可作为独立组件使用也为更高级别的 WireGuard 客户端提供了坚实底座。开发者只需理解几个核心 API 和配置数据结构即可快速集成高质量的 VPN 能力。