WireGuard作为近年流行的轻量级VPN隧道方案，配置逻辑比传统的IPsec、OpenVPN更加精简，但很多新手在入门阶段最容易踩坑的就是虚拟网卡的地址设置环节，本文围绕WireGuard接口地址：配置示例说明的核心需求，采用云服务器服务端加本地Linux客户端的通用场景，给出从前期规划到验证排错的完整实操流程，覆盖绝大多数普通用户的自建隧道使用需求。
配置前的前置准备与地址段规划原则
首先要明确WireGuard的接口地址属于隧道内网的私网地址，不能和两端设备本身的物理网卡所在网段冲突，也不能和后续要走隧道访问的后端业务网段重叠，否则会出现路由抢占、流量走向异常的隐性问题，很难快速定位故障点。
本次实操场景中，我们提前规划的隧道私网段使用10.0.0.0/24，服务端的WireGuard接口地址固定设为10.0.0.1，客户端的接口地址分配为10.0.0.2，两个地址都要带上/24的子网掩码，只有特殊点到点直连场景才会使用/32掩码，普通用户不要随意修改子网掩码参数。
WireGuard服务端与客户端接口地址配置实操场景示意
正式修改配置文件之前，先在两台设备上执行ip addr show命令，遍历检查所有现有物理网卡、虚拟网卡的地址段，确认没有任何网卡已经占用10.0.0.0/24段，从根源上避免后续出现地址冲突的问题。
服务端WireGuard接口地址的具体配置步骤
先找到WireGuard默认生成的配置文件路径，绝大多数Linux发行版的默认路径都是/etc/wireguard/wg0.conf，打开文件后找到[Interface]区块下的Address配置项，直接填入我们提前规划的10.0.0.1/24即可。
这里要注意一个常见的新手误区，猎豹官网下载不要把服务端的公网IP填到Address字段里，Address字段只属于WireGuard虚拟网卡wg0的内网隧道地址，公网监听地址和端口要写在同区块的ListenPort配置项里，二者的作用完全不同不能混淆。
保存配置文件后执行wg-quick up wg0命令启动接口，之后执行ip addr show wg0命令，就能看到虚拟网卡已经绑定了我们设置的10.0.0.1/24地址，没有报错的情况下服务端的接口地址配置就已经完成。
客户端WireGuard接口地址的对应配置方式
打开客户端本地的wg0.conf配置文件，同样在[Interface]区块的Address字段填入10.0.0.2/24，绝对不要和服务端的接口地址设置成同一个IP，否则隧道启动后会出现IP冲突，导致隧道时断时续甚至完全不通。
在客户端配置文件的[Peer]区块里，要把服务端的WireGuard接口地址10.0.0.1作为默认的隧道对端地址，后续如果要配置允许通过隧道访问的后端业务网段，猎豹VPN也可以把这个地址加入AllowedIPs的配置列表里，保证回包路由正常。
启动客户端的WireGuard接口之后，同样执行ip addr show wg0命令，确认客户端的虚拟网卡已经正确绑定10.0.0.2/24，没有出现地址冲突、权限不足的报错提示，就可以进入后续的连通性验证环节。
接口地址配置后的连通性验证与常见误区排查
验证的时候直接从客户端ping服务端的WireGuard接口地址10.0.0.1，如果能正常收到回包，就说明两端的接口地址配置完全正确，虚拟隧道的基础连通性已经正常。
如果ping不通，首先要检查两端的Address配置的子网掩码是不是都是/24，有没有出现一端写/32另一端写/24的情况，这种情况会导致两端的虚拟网卡不在同一个逻辑网段，系统生成的路由转发规则不匹配，自然无法正常通信。
还有一个高频误区是很多用户把AllowedIPs的配置和接口地址的配置搞混，AllowedIPs是用来指定哪些网段的流量走隧道转发，不是用来设置WireGuard虚拟网卡自身地址的，不能把接口地址写到AllowedIPs里代替Address配置，这种错误配置会导致虚拟网卡无法正常绑定地址。
最后还要检查系统的防火墙规则，有没有放行WireGuard虚拟网卡的转发流量，不要因为防火墙拦截了隧道内网的ICMP报文，误以为是接口地址配置出错，浪费大量时间排查本身没有问题的配置项。
整套配置流程不需要额外的复杂插件，按照规划好的私网段分配两端的接口地址，避开现有物理网络的网段冲突，就能快速完成WireGuard的基础连通搭建，后续如果要接入更多客户端，只需要在同一个私网段里分配新的未被占用的接口地址即可，不需要改动现有已经配置好的服务端和客户端的地址参数。
