旋风加速器选择WireGuard作为默认协议，这个决定做得很早，也很坚定。今天来聊聊WireGuard到底强在哪，为什么比OpenVPN和IKEv2更适合做加速器协议。
代码量：少就是安全
WireGuard整个内核模块只有约4600行代码。OpenVPN？约10万行。StrongSwan（IKEv2实现）？约40万行。代码量差了1-2个数量级。
代码少意味着攻击面小，审计容易，bug少。WireGuard被Linus Torvalds评价为"a work of art"，直接纳入Linux内核主线。OpenVPN和StrongSwan折腾了这么多年都没进内核，一直以内核模块的方式外挂。
从安全角度看，4600行代码可以做到逐行审计。事实上WireGuard确实经过了Formal Verification（形式化验证），数学上证明了协议的正确性。OpenVPN和IKEv2没有经过同等强度的形式化验证。
性能：内核态碾压
WireGuard跑在内核态，数据包从网卡进来，直接在内核空间完成加解密和路由，不用切换到用户空间再回来。OpenVPN跑在用户态，每个包都要在内核和用户空间之间拷贝两次，上下文切换开销不小。
实测数据：单核AES-NI环境下，WireGuard吞吐量约1.5Gbps，OpenVPN约400Mbps。差距接近4倍。延迟方面，WireGuard的协议开销约0.3ms，OpenVPN约1.5ms。对FPS游戏玩家来说，1ms的差距可能就是先开枪和后开枪的区别。
握手速度：连接建立快5倍
WireGuard的握手只需要一次往返（1-RTT），约100-300ms完成。OpenVPN的TLS握手需要2-3个RTT，加上控制通道协商，通常要500-1500ms。IKEv2也是1-RTT，但实现复杂度高，实际耗时在200-500ms。
连接建立快意味着切换节点快。旋风加速器能在300ms内完成节点切换，游戏基本不卡。这个速度WireGuard功不可没。
漫游支持：不断线的关键
WireGuard原生支持IP漫游（roaming），客户端IP变了不需要重新握手，连接自动迁移。这对移动用户特别重要——从WiFi切到4G，或者4G在不同基站间切换，加速器不断线，游戏不掉线。
OpenVPN也支持漫游（float参数），但实现不如WireGuard优雅，偶尔会出问题。IKEv2的MOBIKE扩展支持漫游，但很多实现有bug。
为什么不是唯一选择
虽然WireGuard很强，但旋风加速器也保留了OpenVPN和IKEv2选项，原因是WireGuard有些限制：只支持UDP（某些网络环境UDP被QoS限速甚至屏蔽），没有流量混淆（在深度DPI检测下可能被识别为VPN流量）。
在UDP受限的环境下，用户可以切换到OpenVPN over TCP。在DPI严格的环境下，IKEv2的ESP封装更不容易被识别。多协议支持是旋风加速器的弹性策略，WireGuard是默认最优选，不是唯一选项。
结语
WireGuard不是万能的，但在加速器这个场景下，它的优势几乎是压倒性的：代码精简、性能强劲、握手快速、漫游优雅。旋风加速器选择WireGuard作为默认协议，是技术选型上最正确的一个决定。