Roaming WireGuarda
Zdolność WireGuarda do płynnego podążania za klientem, który zmienia sieć lub adres IP (WiFi → komórkowa). Serwer identyfikuje peery po kluczu publicznym, nie po adresie IP, i sam aktualizuje endpoint, gdy zaszyfrowane pakiety zaczną przychodzić z nowego adresu.
Mechanizm: każdy peer jest identyfikowany kryptograficznie (klucz publiczny); gdy z nowego źródłowego IP/portu nadejdzie poprawny, uwierzytelniony pakiet, WireGuard po cichu aktualizuje endpoint peera → tunel trwa bez nowego handshake’u. Efekt: można zmieniać sieci bez zrywania połączenia, co idealnie pasuje do telefonów. „PersistentKeepalive” utrzymuje otwarte mapowania NAT, by serwer mógł dotrzeć do klientów za NAT-em. W odróżnieniu od OpenVPN (cięższego, związanego z IP) bezstanowa, oparta na kluczach konstrukcja WireGuarda sprawia, że roaming kosztuje prawie nic. To jeden z powodów, dla których Tailscale i Netbird budują na WireGuardzie siatkowe VPN-y dla urządzeń mobilnych.