这篇WireGuard Peer配置教程面向已经完成WireGuard基础服务端部署、需要添加对等节点实现跨节点组网的用户，全程围绕WireGuard Peer配置：配置示例说明核心内容展开，跳过不必要的冗余理论，直接给出可落地的操作逻辑和可直接复制修改的配置模板，同时覆盖配置前后的校验要点和高频踩坑场景，帮助用户快速完成对等节点的连通调试，适配远程办公组网、跨站点资源互访等常规使用场景。
WireGuard Peer配置的前置准备
在开始配置Peer节点之前，你需要先确认两端的WireGuard服务都已经正常安装运行，且两端都已经生成好独立的公钥、私钥对，不要直接把一端的密钥复制到另一端使用。同时要确认服务端节点的防火墙已经开放WireGuard监听的UDP端口，没有被运营商或者上层安全策略拦截。
你还需要提前规划好整个WireGuard虚拟子网的IP段，所有Peer节点的虚拟IP都要落在这个网段内，不能出现IP地址冲突的情况，提前把每个节点要分配的虚拟IP记录下来，科学上网避免后续配置的时候出现地址重叠的问题。如果要让Peer节点访问公网，还要提前确认服务端已经开启了对应的IP转发规则，不需要额外配置复杂的NAT规则也能正常转发流量。
WireGuard Peer配置核心项逻辑说明
很多用户配置Peer的时候容易搞混配置项的所属位置，其实WireGuard的配置分为本地节点的[Interface]段和对端节点的[Peer]段，你在当前设备上写的Peer段，对应的就是远端要接入的另一个WireGuard节点的信息，不需要在本地重复填写本地节点的私钥信息。
提前完成密钥生成、端口放行与虚拟网段规划，即可快速落地WireGuard对等节点组网配置
WireGuard Peer配置：配置示例说明里最容易混淆的就是AllowedIPs字段，这个字段不是给当前节点分配的虚拟IP，而是代表你要通过这个对端Peer节点路由哪些网段的流量，如果你只需要两个节点之间互访虚拟子网的资源，只需要填写对端的虚拟IP和整个虚拟子网的网段即可，如果要把所有流量都走Peer节点转发，才需要填写0.0.0.0/0这类全路由规则。
可直接套用的两端Peer配置示例
假设我们的服务端节点虚拟IP是10.0.0.1/24，公网IP是203.0.113.10，监听UDP端口是51820，服务端生成的私钥对应自己生成的密钥，公钥是客户端后续要填写到Peer段的内容。服务端的配置里，在原有[Interface]段之后添加Peer段即可，Peer段里填写客户端的公钥，AllowedIPs填写给客户端分配的虚拟IP10.0.0.2/32，科学上网不需要额外添加其他冗余字段。
客户端节点的配置里，[Interface]段填写自己的私钥，本地虚拟IP10.0.0.2/24，DNS可以按需填写公共DNS或者内网DNS，然后Peer段填写服务端的公钥，Endpoint填写服务端的公网IP加端口203.0.113.10:51820，AllowedIPs填写10.0.0.0/24，代表所有虚拟子网的流量都走这个Peer转发，PersistentKeepalive如果是客户端在NAT内网环境下，设置为25即可，公网节点之间可以不用加这个字段。
配置生效后的连通性校验步骤
两端配置文件修改完成之后，执行wg-quick down wg0再执行wg-quick up wg0重启服务，不要直接用systemd reload配置，避免旧的路由规则残留在系统里影响连通性。执行wg show命令查看当前的Peer节点列表，确认对端的公钥已经被正确识别，最新的握手时间字段有正常更新的记录，说明两端已经完成了密钥交换。
接下来从客户端ping服务端的虚拟IP10.0.0.1，再从服务端ping客户端的虚拟IP10.0.0.2，如果两边都能正常通，说明Peer节点的基础配置已经生效。如果需要测试跨节点的内网资源访问，可以直接在客户端访问服务端内网的其他设备地址，星驰确认路由转发规则已经正常生效。
常见Peer配置误区排查
很多用户配置完Peer之后发现两端无法握手，大概率是AllowedIPs字段配置冲突，比如同一个AllowedIPs网段被分配给了两个不同的Peer节点，WireGuard会自动拒绝建立连接，这时候只需要执行wg show conf命令查看当前加载的配置，把重复的网段调整成唯一分配给单个Peer的规则即可。
还有部分用户会把本地节点的私钥填到Peer段的公钥字段里，导致两端密钥校验完全不匹配，永远无法完成握手，遇到这类问题可以交叉核对两端的公钥信息，确认你在A节点Peer段填写的公钥，就是B节点Interface段里对应的公钥，反过来也是一样的对应关系，不要搞混密钥的所属节点。
