很多WireGuard用户调整AllowedIPs参数时经常遇到改完之后本地断网、内网设备无法访问、VPN隧道完全失效的问题，大部分故障都不是参数本身写错，而是修改前没有做对应前置校验，本文就围绕WireGuard AllowedIPs：修改前的检查核心要点，梳理所有必要的校验环节，帮用户避开常见的配置坑。
先确认当前路由表与AllowedIPs的映射关系
很多用户上来就直接改AllowedIPs的网段列表，完全没看当前系统里已经存在的路由规则，很容易出现路由冲突。
你可以先在本地系统执行路由查询命令，Windows用route print，Linux和macOS用ip route或者netstat -rn，先把当前WireGuard配置生效后生成的所有路由条目和AllowedIPs里的网段做一一比对，确认现有规则没有和本地直连网段、内网网关网段重叠的情况。
调整WireGuard的AllowedIPs参数前务必先核对现有路由表，避免出现路由冲突导致断网
这里要注意很多新手的误区，以为AllowedIPs写0.0.0.0/0就是全局走隧道，但如果本地局域网的网段刚好也被包含在你新增的AllowedIPs条目里，改完之后你连同局域网下的打印机、NAS都访问不了，甚至连WireGuard的远端节点地址都被路由进隧道，直接导致隧道断开。
校验WireGuard远端对等点的公网地址排除规则
这是WireGuard AllowedIPs：修改前的检查里最容易被忽略的致命环节，如果你要修改的AllowedIPs包含了所有公网地址段，一定要先确认WireGuard配置里的Peer端点的公网IP，有没有被单独排除在隧道路由之外。
正常情况下WireGuard的底层实现会自动把对等点的公网地址添加为本地直连路由，避免隧道流量递归进隧道，但如果你的AllowedIPs配置里写了非常细碎的全量公网网段，或者手动修改了系统的路由优先级，这个自动排除规则可能失效。
你可以在修改前先ping一下WireGuard对等点的公网地址，确认当前没有走隧道路由，再用traceroute命令跟踪到对等点的路径，确认第一跳就是本地运营商网关，而不是WireGuard的虚拟网卡网关，避免改完之后隧道直接失联，你连远程改配置的机会都没有。
核对本地内网服务的网段豁免需求
不少用户部署WireGuard是为了访问公司或者家里的内网资源，修改AllowedIPs之前一定要先把所有需要保留本地直连访问的内网网段全部列出来，包括家用的IoT设备网段、ikuu办公环境的打印机、内部文件服务器的专属网段。
很多场景下你不需要把所有流量都走隧道，ikuuu只需要把指定业务网段的路由放进AllowedIPs就可以，修改前先和当前已经配置的内网静态路由做比对，不要出现你要访问的内网业务网段没有被加入AllowedIPs，导致你连不上远端内网资源的问题。
这里还要注意如果你的WireGuard节点本身也提供内网网关功能，要提前和节点端的管理员确认节点侧已经放通了你要新增的网段转发权限，不然你本地AllowedIPs加了网段，节点侧没有配置对应的转发规则，改完之后对应网段的流量只会全部丢包，完全无法连通。
提前做配置备份与回滚预案准备
哪怕你前面所有WireGuard AllowedIPs：修改前的检查步骤都做完了，修改参数之前也一定要先把当前正在生效的配置文件完整备份一份，存放在本地非系统盘的路径里，不要直接覆盖原配置。
如果是在远程服务器上部署的WireGuard节点，修改前最好提前配置一个临时的定时回滚任务，到期后自动恢复旧的配置并重启WireGuard服务，就算你改完配置之后远程连接断开，定时任务也会自动把服务恢复到可用状态，不会出现你彻底连不上远端节点的情况。
最后还要提醒大家，修改完AllowedIPs之后不要立刻关闭WireGuard的配置编辑窗口，先测试本地公网访问、内网资源访问、ikuu远端隧道资源访问三个场景的连通性，确认所有业务都符合预期之后再保存退出，避免后续重启服务之后出现意料之外的路由异常。
