很多用户在部署WireGuard站点到站点或者移动客户端接入的网络时，经常遇到Peer节点握手失败、流量不通的问题，反复调整配置也找不到根因，核心原因就是排查过程中没有系统性记录WireGuard Peer配置：排查时应记录的信息，零散核对配置很容易漏过细节错误，本文就把全流程需要记录的关键信息做了汇总，帮技术人员快速缩小故障范围。
运维人员逐项记录WireGuard Peer配置排查关键信息，快速定位握手失败、流量不通等故障根因
Peer基础身份标识信息排查记录
首先需要第一时间记录的是两端对应Peer节点的公钥内容，WireGuard完全依靠非对称公钥体系识别对端身份，公钥字符完全匹配是所有连接的前提，排查时要分别提取服务端和Peer本地配置里的对应公钥做逐字符比对，预期结果是两份公钥内容完全一致，常见误区是误把节点自身的私钥、预共享密钥当成对端公钥填入配置，这类错误会直接导致握手报文被对端直接丢弃，没有任何协商余地。
其次要完整记录两端Peer配置里的AllowedIPs网段清单，不能只核对服务端的配置内容，很多新手会忽略Peer本地配置里的AllowedIPs规则，漏填服务端虚拟网段的对应条目，导致Peer侧收到服务端返回的响应包时，找不到对应路由把流量导入WireGuard接口，记录时把两端的AllowedIPs全部整理出来，就能快速发现单边漏配的网段条目。
网络连通性相关的Peer配置记录
接下来要记录Peer配置里填写的Endpoint地址和端口信息，这个参数是WireGuard节点主动发起握手的目标UDP地址，在动态IP接入场景下，很多Peer节点的公网IP发生变化后配置里的Endpoint没有同步更新，直接导致握手请求发往了错误的地址，排查时先记录当前生效的Endpoint值，再配合UDP端口探测工具确认链路连通性，就能快速定位是不是地址配置过时的问题。
还要记录Peer本地WireGuard接口的监听端口，以及系统防火墙里对应的UDP放通规则，不少用户自定义了非默认的WireGuard监听端口，但是忘记在系统防火墙里放开对应UDP端口的入站权限，导致其他节点主动向该Peer发起的握手请求直接被防火墙拦截，记录时把端口号和对应的防火墙规则条目同步留存，就能避免后续调整配置时重复添加冗余规则，也能快速排除防火墙拦截的可能性。
针对部署在NAT内网下的Peer节点，科学上网还要记录配置里的PersistentKeepalive参数取值，很多内网Peer没有配置这个参数，运营商或者家用路由器的NAT会话超时后，公网侧的节点就无法主动向内网Peer发起连接，排查时把这个参数的配置状态记录下来，就能快速判断是不是NAT映射过期导致的连接中断，不需要反复抓包验证会话存活状态。
额外安全配置关联的Peer排查信息
需要单独记录Peer配置里预共享密钥的启用状态和具体内容，部分用户为了给WireGuard连接增加第二层加密验证，会额外配置可选的预共享密钥，这类配置要求两端的预共享密钥完全匹配，一旦某一端配置了密钥另一端没有填写，或者两边密钥字符不一致，迅捷就会直接导致正常握手流程被拒绝，排查时把预共享密钥的配置状态单独记录，就能快速排除这层额外验证带来的故障。
还要记录WireGuard接口运行时输出的Peer动态统计信息，包括最新握手时间、已接收和已发送的字节数，这些动态数据是判断配置是否实际生效的核心依据，很多时候所有静态配置看起来都完全正确，但系统路由冲突导致流量根本没有走WireGuard虚拟接口，统计数据里的传输字节数会一直保持为0，记录这些动态数据就能快速区分是静态配置错误还是上层路由层面的问题。
最后要记录Peer节点本地路由表中，对应WireGuard虚拟网段的路由条目，确认目标网段的下一跳确实指向WireGuard虚拟网卡，很多用户之前部署过其他VPN服务，卸载后残留的路由条目没有清理，导致访问对端Peer的流量全部走了物理网卡的默认路由，根本没有进入WireGuard的加密处理流程，排查时把这条路由的明细记录下来，就能快速排除历史路由冲突的问题。
把上述所有信息完整记录之后，排查WireGuard Peer相关故障时就不需要反复在多台设备之间切换查看配置，能把故障范围快速缩小到一到两个可能的故障点，大幅降低这类虚拟专用网络的排错成本，也能为后续的配置调整、规则优化留存准确的基准参考数据，避免后续修改配置时误改动之前已经验证生效的参数。
