虽然 WireGuard 设计为始终加密，但配置失误或路由/防火墙漏洞常会让流量绕开隧道；本文教你如何在系统层面实施 WireGuard 强制加密，并逐步验证每个可控点，确保没有未加密流量外泄。