WireGuard连接故障中，AllowedIPs配置错误常表现为部分站点无法访问或路由异常，而非完全失联。该字段决定哪些流量进入隧道，飞马并校验对端源地址。排查需先确认本地网络可达、隧道建立状态，再分析目标服务的接收匹配逻辑，避免盲目重置网络。
深夜排查WireGuard路由配置，日志里的IP段决定流量走向。
本地网络与隧道建立状态检查
首先确认本机默认网关连通性，使用ping或curl测试公共地址，排除本地断网。随后查看WireGuard服务日志或客户端状态，确认隧道是否成功握手。若隧道未建立，AllowedIPs配置无效，需优先修复密钥或端口可达性问题。此阶段仅做只读观察，不修改网络设置。
AllowedIPs目的匹配逻辑验证
AllowedIPs定义客户端视角下应路由至隧道的目的地址段。例如配置10.0.0.0/8仅将私网流量送入隧道，访问公网时依赖默认路由。若需全局代理，应配置0.0.0.0/0和::/0，但需注意这与服务器端接收校验无关。检查当前配置是否覆盖目标IP段，可使用route命令或系统路由表确认实际路由路径，而非仅依赖配置文件。
对端源地址校验与接收策略
服务器端AllowedIPs同样限制可接受的源地址范围。若客户端出口IP未在服务器AllowedIPs中列出，包将被丢弃，导致连接中断或间歇失败。此校验独立于目的路由，即使客户端能发包，服务器也可能拒收。需查阅服务器端配置，确认是否包含客户端真实出口地址或子网。对于动态IP场景，考虑使用CIDR段或更新机制，但避免使用过宽掩码引入安全风险。
目标服务响应与端口隔离观察
当路由与校验均正确时，检查目标服务是否在监听指定UDP端口。注意UDP与TCP同号端口是独立端点，客户端配置ListenPort仅用于服务器回调，不改变出站流量路径。使用ss或netstat确认服务实际监听状态，并结合防火墙规则排除拦截。若服务返回超时，飞马VPN需区分是路由错误、源地址校验失败还是服务本身未运行，避免将应用层问题误判为配置故障。
