这篇WireGuard Peer配置教程面向有基础Linux网络操作经验、需要搭建站点间加密隧道或者多设备远程接入的用户，跳过冗余的基础概念铺垫，直接给出可落地的实用配置示例，同时梳理配置前的必要检查项、分步操作逻辑和高频故障的定位思路，帮用户避开常规配置误区，快速完成符合网络安全规范的对等节点部署。
配置前的必要前提校验
首先你得先确认两端的WireGuard服务已经正确安装，内核模块加载正常，执行modprobe wg命令没有报错的前提下，再开始生成对等节点的密钥对，不要跳过内核校验步骤直接写配置文件，很多新手遇到的隧道不通问题，根源就是WireGuard模块没有正确加载，后续排查的时候完全找不到方向。
运维人员在机房调试WireGuard加密隧道，完成Peer节点配置前的网络校验工作。
要确认两端的网络连通性基础，也就是作为服务端的Peer节点，对应的公网端口没有被运营商或者本地防火墙封禁，你可以先在对端用telnet或者nc工具测试端口可达性，确认没有基础网络阻断之后再推进配置，蜂窝加速器避免后续配置完之后把网络不通的问题错误归因给WireGuard本身的加密逻辑。
还要提前规划好WireGuard专属的虚拟子网段，不要和两端本地的内网网段出现冲突，比如本地已经用了192.168.1.0/24的话，虚拟隧道网段就不要选同段地址，否则会出现路由冲突导致部分流量无法正常转发，这类冲突问题排查起来需要逐跳核对路由表，会耗费大量不必要的时间。
服务端Peer的核心配置示例说明
打开WireGuard默认配置目录下的wg0.conf文件，首先定义服务端本身的接口参数，包括私钥、监听端口、虚拟网卡的绑定地址，蜂窝加速器这里要注意私钥是你之前用wg genkey生成的专属密钥，不要把私钥泄露给任何外部节点，只需要把对应的公钥分享给要接入的客户端Peer即可。
本次的WireGuard Peer配置：配置示例说明核心部分，就是在服务端配置文件的[Peer]区块里，写入第一个对等节点的参数，首先填入客户端的公钥，然后指定AllowedIPs参数为客户端对应的虚拟隧道IP，比如10.0.0.2/32，这样服务端就会把所有发往这个地址的流量都通过WireGuard隧道转发给对应的对等节点，不要随便把AllowedIPs设置成0.0.0.0/0，否则会出现不必要的路由冲突。
配置完之后执行wg-quick up wg0命令启动服务，VPN客户端然后用wg show命令查看当前的运行状态，确认服务端的监听端口已经正常绑定，已经配置的Peer节点条目已经被系统正确加载，没有出现参数格式错误的提示，这一步可以提前过滤掉大部分配置文件书写错误的问题。
客户端Peer的对应配置示例说明
客户端侧的配置文件结构和服务端基本一致，VPN客户端接口部分填入客户端自己生成的私钥，以及对应的虚拟隧道IP，也就是之前在服务端Peer区块里AllowedIPs指定的10.0.0.2地址，确保两端的虚拟IP属于同一个规划好的子网段，不要出现地址重复的问题。
客户端侧的[Peer]区块里填入服务端的公钥，然后指定Endpoint参数为服务端的公网IP加监听端口，AllowedIPs这里如果只需要走隧道的流量是虚拟子网的话，就填10.0.0.0/24即可，如果需要把所有流量都走隧道，再按需调整参数，同时可以设置PersistentKeepalive参数，在NAT环境下保持隧道的长连接状态，避免连接被运营商回收。
如果是移动设备上的WireGuard客户端，不需要手动编辑配置文件，只需要把服务端生成的对应Peer配置二维码扫码导入即可，参数逻辑和手动书写的配置完全一致，不需要额外调整特殊参数。
配置完成后的校验与常见误区排查
两端都启动WireGuard服务之后，先在客户端ping服务端的虚拟隧道IP，如果能正常收到回复，说明基础的Peer配置已经生效，加密隧道的连通性没有问题，后续可以再按需调整路由规则，实现跨内网的资源互访。
如果ping不通，首先检查两端的防火墙规则，确认WireGuard的监听端口已经放行，同时没有iptables或者firewalld的规则拦截隧道内的转发流量，很多新手配置完Peer之后忘记调整防火墙策略，导致隧道虽然建立成功但是流量无法转发，这类问题占配置故障的绝大多数。
还要注意不要混淆两端的公钥和私钥，服务端配置的Peer区块里必须填客户端的公钥，客户端配置的Peer区块里必须填服务端的公钥，如果密钥对应错误，隧道完全无法握手，在wg show的输出里会看不到最新的握手时间戳，直接检查密钥对应关系就能快速定位问题，不需要逐行排查所有配置参数。
另外要注意，WireGuard本身的Peer配置逻辑不会自动处理内网路由转发，如果需要让隧道两端的本地内网也能互相访问，需要额外在配置文件里开启IP转发功能，同时在两端的Peer区块里的AllowedIPs参数中加入对应的内网网段，才能让跨网段的流量正确走隧道转发。
