很多使用WireGuard搭建站点到站点或者远程访问VPN的用户，遇到跨网段不通、路由泄露、流量没有走隧道的问题时，往往直接反复修改AllowedIPs字段却找不到根因，其实排查WireGuard AllowedIPs相关故障的核心前提，是先系统性记录对应维度的关键信息，避免无效试错，WireGuard AllowedIPs：排查时应记录的信息就是帮你梳理所有必要的记录项，不用靠猜定位配置冲突。
两端节点原始的AllowedIPs配置快照
很多用户排查的时候只会看当前正在编辑的本地端配置，忘了先把隧道两端当前实际生效的AllowedIPs完整内容原样记录下来，暴喵VPN电脑连接设置哪怕你觉得之前的配置是对的，也不要直接覆盖修改，原始配置快照是后续比对差异的核心基准。
这里要注意不能只抄自己客户端的AllowedIPs，还要登录对端的WireGuard服务端节点，导出wg show命令输出的AllowedIPs字段内容，包括所有已经被自动添加的动态对端AllowedIPs条目，暴喵VPN电脑连接设置避免漏掉临时分配的路由规则，不少动态IP接入的客户端会自动生成临时AllowedIPs条目，直接看配置文件是看不到的。
排查WireGuard AllowedIPs相关故障前，需先完整留存两端节点的生效配置快照
当前系统路由表与WireGuard接口路由映射
记录完配置内容之后，第二步要把当前操作系统全量路由表导出保存，重点标记所有指向WireGuard虚拟接口的路由条目，和AllowedIPs里的网段做逐行比对，确认每一个配置的网段都生成了对应的指向隧道接口的路由规则。
很多新手的误区是以为AllowedIPs里写的网段会自动生成对应路由，实际上如果系统里已经存在优先级更高的同网段静态路由、或者物理网卡的直连网段和AllowedIPs配置重叠，WireGuard生成的路由会被覆盖，这部分重叠的路由条目必须单独标注记录，很多流量不走隧道的故障根因就藏在这里。
流量抓包的双向路径记录
当你确认路由没有冲突但对应网段的流量还是没走隧道的时候，需要分别在本地WireGuard接口、物理出口网卡、对端WireGuard接口三个位置同时开启抓包，记录目标IP的流量出入情况，不要只在单一位置抓包就下判断。
这里要重点记录哪些源IP的流量被WireGuard加密封装发出，暴喵VPN电脑连接设置哪些流量直接从物理网卡走了明文路径，对应反过来和AllowedIPs配置的网段做匹配，就能快速定位是不是配置了更细粒度的路由规则覆盖了AllowedIPs的默认路由逻辑，也能排查出部分网段路由泄露的问题。
对端节点的IP转发与防火墙规则状态
不少用户遇到的AllowedIPs配置看起来完全正确，但跨网段访问不通的问题，根因其实不在WireGuard本身的配置，而是对端节点没有开启IP转发，或者iptables/nftables的转发规则没有放通对应AllowedIPs网段的流量，这部分信息很容易被忽略。
排查的时候要把对端节点的IP转发sysctl配置值、所有和转发相关的防火墙规则、MASQUERADE伪装规则里的匹配网段全部记录下来，确认你在AllowedIPs里声明的网段，有没有被防火墙规则拦截，或者没有加入伪装的匹配范围，这类故障的外在表现和AllowedIPs配置错误几乎完全一致，没有记录规则信息很容易误判。
常见配置冲突的记录校验项
最后还要额外记录两端节点的AllowedIPs配置有没有出现双向路由环路的可能，比如两端都把0.0.0.0/0写入AllowedIPs，又没有配置对应的排除路由，暴喵就会出现隧道流量又被路由回隧道的死循环问题，这类故障会直接导致隧道完全断流。
很多人容易忽略的点是AllowedIPs里的IPv4和IPv6网段有没有同时配置冲突，比如只写了IPv4的全量路由，但系统默认IPv6流量没有走隧道，就会出现部分网站流量泄露到本地公网的情况，这部分也要纳入记录校验的范围，避免排查完IPv4的问题之后漏掉IPv6的异常。
做完以上所有维度的信息记录之后，你不需要反复盲改配置，只要逐行比对记录的内容，就能快速定位AllowedIPs相关的故障点，避免很多无意义的试错操作，也能避免后续出现同类故障的时候没有历史排查记录可以参考，大幅降低WireGuard VPN的运维成本。
