WireGuard隧道设置、AllowedIPs路由与Linux转发配置指南

从隧道地址和目标网络开始

Interface Address 描述本机地址，Peer AllowedIPs 描述与对方身份关联的地址范围。先记录本地局域网、隧道网段与目标网络，检查是否重叠。

发送时匹配目标选择 Peer，接收时检查对端来源。AllowedIPs、分流与全隧道教程说明两端为什么不能机械照抄。

选择分流，还是全隧道

表中地址仅为示例。wg-quick 通常依据 AllowedIPs 建立路由；纯 wg 配置不自动替你完成全部系统选路。远程维护时保留原路由和恢复入口。

从路由进入 Linux 转发

网关内核是否转发、forward 链是否允许、真实出口是否正确、目标如何返回，必须逐项检查。开放外层 UDP 监听端口，与允许内层流量转发属于不同路径。

参考nftables、NAT 与回程路由教程决定是否需要受限 NAT。站点互联有正确的双向路由时，不一定使用 masquerade。

DNS 也是一个网络目标

分流配置中，内部 DNS 所在地址也需要可达。DNS 扩展由客户端工具和系统解析器处理，不是 WireGuard 核心协议自动下发的功能。

IP 可通而域名失败时，按客户端解析与 DNS 路由检查。握手没有更新时先检查UDP 外层路径，更多线索见连接排障栏目。