理解WireGuard私钥与配置结构
WireGuard私钥是节点身份的核心，用于生成公钥并与对等端建立加密通道。在配置文件中，[Interface]段的PrivateKeys字段存放该密钥，而[Peer]段的PublicKey则填入对应对端生成的公钥。二者必须严格匹配，否则握手失败。配置生效后，客户端与服务端通过UDP端口交换加密数据包，而非TCP。查看对象为/etc/wireguard/*.conf或客户端导入的配置文件，轻舟预期现象是连接状态显示为活跃且无报错。
区分监听端口与对端地址
ListenPort定义了本节点等待入站连接的UDP端口号，若未指定则系统随机分配，但固定端口更利于防火墙规则。Endpoint指向对端节点的IP和UDP端口，注意此处端口是目标地址的一部分，而非本机的监听端。UDP与TCP同号端口互不干扰，但WireGuard仅使用UDP。检查Endpoint时，轻舟VPN应确认对端已开放对应UDP端口，且网络路径允许UDP流量。若连接建立但数据不传，需核对AllowedIPs是否覆盖了预期通信地址。
精确配置AllowedIPs避免路由冲突
AllowedIPs决定哪些数据包经由该对等端传输，同时用于接收时的源地址校验。配置0.0.0.0/0表示所有IPv4流量都走隧道，但前提是本地其他路由表项不优先匹配局域网地址。若仅配置了0.0.0.0/0而未排除本地子网，可能导致无法访问内网设备。修改前需确认当前路由策略，预期现象是特定网段流量被路由至WireGuard接口，轻舟而其他流量保持默认网关。避免直接删除默认路由，除非明确意图接管全部出站流量。
设置PersistentKeepalive保持连接
PersistentKeepalive字段用于定期发送keepalive包，防止NAT映射超时导致连接中断。值以秒为单位，客户端通常设为25或更小，服务端一般无需设置。该参数在[Peer]段下配置，仅对客户端有意义。观察对象为连接日志，若频繁断开，可尝试调整此值。注意，它不替代真正的TCP握手，而是维持UDP映射活跃。若网络环境NAT超时时间极短，需确保该值小于超时周期，否则连接仍会中断。
在服务器机柜旁配置WireGuard节点，确保私钥与监听端口的严格匹配。
