WireGuard连接失败时，先确认UDP 51820（或自定义端口）能通，再核对Peer公钥与Endpoint是否一致。不要立刻重置系统或重装软件，多数故障源于防火墙拦截、香蕉加速器路由配置错误或Keepalive缺失。
验证端口连通性
使用nc -zvu 服务器IP 51820测试UDP端口。若显示succeeded，说明网络层可达；若超时，检查服务器防火墙是否放行该UDP端口，以及云端安全组是否允许入站UDP流量。此步骤仅验证端口开放，不代表WireGuard服务已正确启动。
通过命令行快速验证UDP端口连通性，定位WireGuard连接故障根源。
核对密钥与端点
客户端配置中的PublicKey必须是服务器为该客户端分配的公钥，而非服务器自身公钥。Endpoint应填写服务器公网IP及端口，格式如1.2.3.4:51820。若使用域名，需确认DNS解析正常。配置中AllowedIPs若设为0.0.0.0/0，仅当客户端路由策略优先匹配该条目时，非局域网流量才会进入VPN，局域网访问仍走物理网卡。
检查持久连接心跳
在客户端peer配置中添加PersistentKeepalive = 25，每25秒发送一次UDP保活包。若无此设置，NAT映射可能因空闲超时而失效，导致短暂断开后无法重连。该参数仅在客户端侧配置，服务端无需设置。若防火墙阻断出站UDP，即使有Keepalive也会失败，需通过抓包确认数据包是否发出。
查看系统日志
执行wg show查看接口状态，若显示Peer在线但实际不通，检查AllowedIPs是否覆盖了目标网段。查看系统日志中wg-quick的报错信息，如“No such device”表明接口未创建，“Connection refused”提示端口或防火墙异常。部分发行版需等待几秒让内核模块加载完成，避免误判为故障。
