迁移设备后更改 WireGuard 接口地址时，核心注意事项在于理解其静态配置模型与网络路由的交互。由于 WireGuard 不动态协商地址，修改接口 IP（如从 10.0.0.2 改为 10.0.0.5）意味着隧道端点标识变更。此时必须确保路由表正确指向新地址，否则数据包可能因目的地址解析失败而丢弃。检查重点应放在本地出站路由是否更新，以及对端是否感知到源地址变化。
确认监听端口与端点标识
WireGuard 客户端通常也需配置 ListenPort。虽然多数场景下客户端无需监听，但若启用了该功能，需确认端口未被防火墙阻断。注意 UDP 与 TCP 同号端口并非同一监听端点，WireGuard 仅使用 UDP。若迁移至新设备，飞鱼需验证新系统上对应 UDP 端口是否开放。通过 `ss -unlp` 或等效命令观察状态，预期现象为处于 Listen 状态且绑定正确接口。若端口冲突，会导致握手失败，表现为日志中出现 “UDP error” 或连接超时。
核对路由表与 AllowedIPs 匹配
AllowedIPs 不仅控制出站流量的路由选择，还参与接收源地址校验。若新接口地址变更，需检查路由表中是否有默认路由（0.0.0.0/0）或特定网段路由指向该 WireGuard 接口。关键点在于：配置了 0.0.0.0/0 并不必然吞掉所有局域网路由，路由优先级（metric）决定最终路径。若局域网流量意外进入隧道，需检查路由策略是否错误地将本地子网（如 192.168.x.x）纳入了 AllowedIPs。应使用 `ip route get <梯子软件目标IP>` 验证出站接口是否为预期的 WireGuard 实例，而非物理网卡。
在设备迁移过程中，检查网络端口状态是确保路由表正确指向新地址的关键步骤。
验证对端通信与握手状态
迁移后，旧设备的 WireGuard 配置若仍在线，可能产生地址冲突或路由混乱。需确认旧设备已停止服务或下线，避免两端同时使用相同 PeerID。在对端服务器上查看 WireGuard 日志，关注 handshake 时间戳。若显示握手成功但数据不通，可能是 MTU 问题或分片失败。使用 `ping -M do` 指定不分片进行探测，若大包丢包而小包通过，说明路径 MTU 异常。此时应调整 WireGuard 接口的 MTU 值，通常比物理网卡小 40-80 字节，以容纳加密开销。
排查持久连接参数
若客户端需保持活跃，需检查 PersistentKeepalive 参数（注意为单数）。该参数用于周期性发送空包维持 NAT 会话。迁移设备后，若新环境 NAT 映射更严格或超时更短，原定的 Keepalive 间隔可能失效。观察现象为连接在空闲一段时间后断开，且重连延迟增大。建议根据网络环境适当调整该值，但需权衡流量开销与稳定性。若未配置此参数，需确认对端路由表是否及时刷新，飞鱼否则可能导致单向通信或连接中断。
