本文围绕WireGuard AllowedIPs的配置示例说明展开，从参数底层逻辑出发拆解三类高频使用场景的实操步骤，梳理配置前的准备工作、验证方法和容易踩坑的误区，帮助用户在不同组网需求下完成稳定的隧道路由配置，避免出现路由冲突、流量泄露、本地局域网断连等常见问题。
运维人员核对WireGuard隧道路由规则，排查路由冲突与流量泄露问题
AllowedIPs核心配置逻辑与前提说明
很多新手会把WireGuard的AllowedIPs参数理解为“允许接入的IP白名单”，这是完全错误的认知，这个参数的本质是WireGuard自动生成内核路由规则的匹配前缀，你填写的每一个网段，都会在启用隧道后自动生成指向WireGuard虚拟网卡的路由条目，决定哪些流量会被送入隧道转发。
在开始配置之前，你需要先完成两项基础检查：第一是确认WireGuard隧道两端的虚拟接口私网网段没有重叠，同时和两端本地的物理网卡所在私网网段也不存在冲突，避免路由匹配时出现优先级错乱；第二是提前备份当前系统的原有路由表，方便配置出问题后快速恢复原有网络状态。
场景1：仅访问对端指定私网资源的配置示例
这是绝大多数远程办公用户的刚需场景，用户只需要通过WireGuard隧道访问部署在公司内网的OA系统、业务服务器集群，不需要把自己日常上网的公网流量导入隧道，避免不必要的额外开销。
按照WireGuard AllowedIPs的配置示例说明，你只需要在本地客户端的Peer配置项里，把AllowedIPs的值设置为公司内网的目标网段，比如192.168.10.0/24，不需要添加任何其他公网网段。配置完成后启用隧道，系统只会把访问192.168.10.0/24段的流量送入WireGuard隧道，其余所有流量都会走本地原有网关转发。
这个场景下的常见误区是不少用户直接照搬通用配置里的0.0.0.0/0参数，把所有流量都导去公司的隧道节点，不仅会导致公网访问体验下降，还可能出现本地家里的智能设备、局域网打印机完全无法访问的问题。配置完成后你可以通过系统的路由查询命令，确认生成的路由条目只有目标私网段指向WireGuard虚拟网卡，同时ping本地网关验证局域网连通性正常，就说明配置符合预期。
场景2：全局公网流量走隧道的配置示例
如果用户希望所有公网访问流量都通过WireGuard对端节点转发，就可以使用全局路由的配置方式，按照WireGuard AllowedIPs的配置示例说明，这里需要把AllowedIPs设置为0.0.0.0/0和::/0，分别覆盖所有IPv4和IPv6的地址段。
直接填写0.0.0.0/0很容易出现本地局域网失联的问题，你可以通过两种方式规避：一种是把本地当前使用的私网网段单独从隧道路由中排除，在AllowedIPs之外添加对应的路由规则指向本地物理网卡；蘑菇另一种是把AllowedIPs的IPv4段写成0.0.0.0/1和128.0.0.0/1，这两个段拼接起来刚好覆盖所有IPv4地址，同时优先级低于系统原有的本地局域网路由，不会覆盖本地私网的转发规则。
配置完成后你可以通过公网IP查询站点验证出口地址是否为WireGuard对端节点的地址，同时尝试访问本地路由器的管理后台，确认没有出现本地管理流量被隧道劫持的问题。
场景3：多节点分段路由的配置示例
不少用户会同时部署多个WireGuard节点，希望不同的目标网段走对应的隧道节点转发，比如访问内部业务系统走公司节点，访问特定的公网服务走另一个部署在其他区域的节点，这时候就可以通过拆分不同Peer的AllowedIPs网段实现分流效果。
按照WireGuard AllowedIPs的配置示例说明，你需要先把所有需要分流的目标网段整理成完整列表，确认不同节点对应的网段完全没有重叠，再分别把对应网段填入不同Peer的AllowedIPs参数中。如果出现网段重叠的情况，WireGuard会按照Peer配置的先后顺序匹配路由，很容易出现流量走向不符合预期的问题。
常见配置故障定位方法
如果配置完成后出现部分站点无法打开的问题，首先排查是不是AllowedIPs的网段掩码设置错误，比如原本要覆盖整个/24的私网段，误写成了单个IP的/32，蘑菇VPN导致同网段其他地址的流量没有被送入隧道，直接从本地网卡发出引发连通异常。
如果出现预期走隧道的流量直接从本地网卡流出的泄露问题，要检查系统原有路由表中是不是存在优先级更高的匹配条目，覆盖了WireGuard自动生成的AllowedIPs对应路由，调整路由优先级之后就可以恢复正常。
