ListenPort 与连接建立的关系
WireGuard 基于 UDP 协议，其 ListenPort 字段指定服务端监听接收连接请求的 UDP 端口。若该值配置错误、被防火墙阻断，或客户端指向了错误的目标 IP 与端口，数据包无法到达正确的处理逻辑，导致握手失败或隧道无法建立。此时，即使密钥正确，连接状态也会显示为无流量或断连。
当防火墙规则错误地阻断了UDP监听端口，WireGuard隧道便无法建立连接。
不修改配置的只读检查
首先确认服务端防火墙规则。对于 Linux 系统，检查 nftables 或 iptables 中是否允许指定 UDP 端口入站；对于 Windows，确认“Windows 防火墙”入站规则是否放行该端口。其次，在服务端终端执行 wg show 查看当前配置是否生效，并确认 ListenPort 值与预期一致。若该端口已被其他服务占用，系统日志通常会记录绑定失败，需排查端口冲突。
观测结果能说明什么
如果在客户端使用 tracepath（Linux）或 tcptraceroute（Windows，需特定参数）发现数据包在某一跳丢失，说明路径中某环节未转发该 UDP 流，而非端口本身逻辑错误。若客户端 ping 通网关但 WireGuard 无握手，可能指向上游运营商或中间设备未保留该端口的 UDP 会话，或 NAT 设备超时过短。此时不能仅凭单次失败断言端口配置错误，需结合多次重试结果判断。
注意，UDP 与 TCP 使用相同数字端口时，是完全独立的监听端点。仅确认 TCP 端口开放不能证明 UDP 端口可达。若服务端运行在非公网 IP（如 NAT 后），易安需确认路由器已正确映射 UDP 端口，且客户端配置中的目标 IP 为公网 IP 而非内网 IP，否则数据包无法穿越 NAT 边界。
排查局限与后续方向
若上述检查均显示配置正确且端口可达，故障可能源于密钥不匹配或 AllowedIPs 范围设置不当。客户端若未正确配置 Endpoint 指向服务端地址，或服务端未识别客户端公钥，也会表现为连接中断。此时应核对双端密钥一致性，并检查 AllowedIPs 是否覆盖了客户端期望访问的内网网段。避免直接重置系统或重装驱动，先通过日志比对密钥指纹与 IP 路由表，缩小问题范围至配置逻辑层面。
