理解公钥与对等端配置
迁移设备时，核心是保留或生成正确的公钥对。WireGuard基于非对称加密，私钥生成公钥。若旧设备私钥仍在，提取其公钥；若私钥丢失，需生成新密钥对并更新对端配置。注意，公钥仅用于身份验证和加密协商，并不直接存储网络地址。
备份现有配置与权限准备
操作前需具备对WireGuard接口的管理权限（通常为root或sudo）。使用只读命令查看当前配置，如`wg show <接口名>`。完整备份旧设备的配置片段，包括ListenPort（若已设置）、AllowedIPs及Peer的公钥。切勿直接覆盖系统配置，建议先导出为临时文件进行比对，避免遗漏自定义路由规则。
迁移操作与字段核对
在新设备上配置时，注意字段名准确性。例如，保持对端在线的参数是PersistentKeepalive（单数），而非复数。若新设备配置了ListenPort，需确保该UDP端口在防火墙中放行。注意，UDP和TCP使用相同数字的端口并非同一个监听端点，WireGuard仅使用UDP，切勿混淆服务端口。
AllowedIPs的路由影响
修改AllowedIPs会同时影响目的地址选择和接收源地址校验。不要简化认为配置0.0.0.0/0就必然吞掉所有局域网路由，它主要定义了该对等端允许通信的IP范围。配置不当可能导致流量黑洞或无法访问特定网段。建议先小范围测试AllowedIPs，小黄鸭VPN掉线原因排查再逐步扩大，避免一次性切断所有外部连接。
在更换设备时，核对公钥与对端配置是确保网络无缝迁移的关键步骤。
验证连接与恢复机制
配置完成后，使用`wg show`确认对端公钥状态，小黄鸭并执行ping或traceroute测试连通性。若连接失败，检查UDP防火墙规则和AllowedIPs覆盖范围。若需恢复，直接重新应用备份的旧配置片段即可。验证过程应包含正常流量和异常流量测试，单一测试通过不能证明所有路由策略均正确。
