WireGuard架构中AllowedIPs是决定隧道路由逻辑的核心参数，很多新手配置时容易混淆它的作用边界，要么导致本地局域网断连，要么出现隧道握手成功但两端无法互访的问题，本文结合家庭远程访问、跨站点内网打通两类常见场景拆解参数含义，附可直接落地的配置示例、校验方法和排错思路，帮使用者避开常见配置误区。
AllowedIPs参数的核心含义
很多使用者误以为AllowedIPs只是指定需要走隧道转发的目标网段，实际上它承担双向的核心作用：在本地WireGuard配置文件中为对端对等体设置的AllowedIPs，会触发内核自动生成指向WireGuard接口的对应路由条目，所有目标IP属于该网段的流量都会被送入隧道加密发送。同时它也是WireGuard内核模块的入站包校验规则，收到的加密数据包解密后如果源IP不在对应对等体的AllowedIPs范围内，内核会直接丢弃该数据包，不会做后续转发处理。
不少新手会混淆AllowedIPs和隧道虚拟IP的区别，隧道虚拟IP是用户为WireGuard接口本身配置的三层地址，这个地址必须被包含在对端对等体的AllowedIPs列表中，否则对端无法把发往该虚拟IP的流量送入隧道，很多人遇到隧道端口连通正常、握手成功但两端虚拟IP无法ping通的问题，大多是遗漏了这条规则。
单设备点对点场景的基础配置示例
这类场景最典型的是个人用户将家中的树莓派、闲置路由器搭成WireGuard服务端，外出时用笔记本、手机远程接入访问家中的NAS、监控设备，配置逻辑相对简单。服务端配置文件中为客户端对等体设置的AllowedIPs，只需要填写客户端对应的隧道虚拟IP的/32地址，比如客户端隧道IP设为10.0.0.3，旋风加速器对应AllowedIPs就写10.0.0.3/32，这样服务端只会把发往该客户端虚拟IP的流量送到对应隧道连接，不会出现路由错乱。
典型的跨站点内网VPN组网场景，直观呈现隧道路由转发的运行逻辑
客户端侧为服务端对等体设置的AllowedIPs可以根据需求灵活调整，如果只需要远程访问家中的WireGuard网关本身，就只填写服务端的隧道虚拟IP10.0.0.1/32，这样客户端只有访问10.0.0.1的流量走隧道，其余所有公网访问、本地局域网流量都走原有网络路径，不会出现接入VPN后本地网页加载异常的问题。如果需要外出时所有公网流量都通过家中隧道转发，就把AllowedIPs设置为0.0.0.0/0, ::/0，覆盖所有IPv4和IPv6网段。
配置完成启动WireGuard服务后，可以在客户端执行路由查询命令，查看对应WireGuard接口的路由表条目，确认你配置的网段已经正确指向隧道接口，之后尝试ping对端的隧道虚拟IP，能正常连通就说明这部分AllowedIPs配置已经生效。
跨站点组网场景的扩展配置规则
不少中小团队会用WireGuard打通不同城市的办公室内网，比如A办公室的本地内网网段是192.168.1.0/24，B办公室的本地内网网段是192.168.2.0/24，两个站点各部署一台WireGuard网关设备，不需要在每台终端上安装客户端就能实现两侧内网全互通。这时候A站点的WireGuard网关配置中，为B站点对等体设置的AllowedIPs，需要同时包含B站点的隧道虚拟IP和B侧的完整内网网段，也就是10.0.0.2/32, 192.168.2.0/24。
对应的B站点WireGuard网关配置中，为A站点对等体设置的AllowedIPs就要填写10.0.0.1/32, 192.168.1.0/24，这样两侧内网终端互访的流量，会被各自的本地网关自动送入WireGuard隧道转发。配置这类场景时要注意两侧的本地内网网段不能重叠，否则AllowedIPs生成的路由规则会出现冲突，导致部分流量无法正确转发到对端站点。
常见配置误区与故障定位方法
最常见的配置误区是用户在客户端把AllowedIPs设为0.0.0.0/0全局走隧道之后，没有保留本地局域网的路由优先级，导致接入WireGuard之后，本地同WiFi下的打印机、智能家居设备都无法正常访问，这种情况只需要调整AllowedIPs的写法，把0.0.0.0/0拆分为0.0.0.0/1和128.0.0.0/1，就能在保证所有公网流量走隧道的同时，不覆盖本地原有内网的路由规则。
第二个常见误区是多对等体场景下不同对等体的AllowedIPs网段范围出现重叠，比如你同时配置了两个客户端，其中一个对等体的AllowedIPs写了10.0.0.0/24，覆盖了另一个客户端的/32地址，就可能出现部分流量被错误转发到不对应的对等体的问题，排查时直接执行wg show命令，就能查看所有对等体的AllowedIPs列表，快速定位重叠的网段条目。
利用AllowedIPs的入站校验属性，你可以开启WireGuard接口的内核调试日志，如果日志中出现源IP不在对等体AllowedIPs范围内的丢包记录，就说明入站加密包的源地址不符合配置规则，免费加速器不需要反复排查密钥、端口连通性这类无关项，能大幅提升故障排查效率。
