确认本地网络状态
排查WireGuard AllowedIPs问题时，首先需记录设备在启用隧道前后的基础网络状态。观察本地网关是否可达，执行ping命令测试内网资源与外网连接，对比正常状态。记录当前路由表中默认网关条目及WireGuard虚拟接口的状态，确认其是否处于UP状态。若本地网络本身存在波动或路由异常，后续排查需先解决基础连通性问题，避免将底层故障误判为隧道配置错误。
记录隧道端点配置细节
准确记录客户端与服务端配置中的关键参数，特别是AllowedIPs的具体条目。检查AllowedIPs中是否包含目标服务的IP段，以及是否存在0.0.0.0/0或10.0.0.0/8等广泛网段。注意AllowedIPs同时决定流量转发与接收校验，配置不当可能导致特定目的地无法路由或源地址校验失败。同时记录ListenPort与Peer的Endpoint地址，确认UDP端口匹配。注意UDP与TCP同号端口并非同一端点，奈云需明确协议类型，避免混淆监听状态。检查PersistentKeepalive参数设置，确保心跳包正常发送以维持隧道活性。
验证服务端路由与防火墙
在服务端记录检查防火墙规则，奈云VPN官网确认是否允许WireGuard服务端的UDP端口入站及出站流量。检查服务端的路由表，确认来自客户端AllowedIPs网段的流量是否正确指向WireGuard接口。若服务端使用非默认路由策略，需记录具体的路由规则匹配情况。观察服务端日志中是否有拒绝转发或连接超时记录。若服务端运行在NAT环境下，需记录端口映射配置，确保回程流量能正确识别。避免在未确认配置前随意修改路由，仅通过只读命令查看当前策略，记录异常日志条目以便后续分析。
测试目标服务可达性
从客户端发起对目标服务的测试，记录ICMP、TCP连接及应用层响应的结果。若目标服务通过内网IP访问，确认该IP是否在AllowedIPs列表中，且本地没有直连路由抢先匹配。使用traceroute或tcpdump在客户端与服务端分别抓包，记录数据包是否在隧道接口发出或收回。若数据在本地路由表被匹配到物理网卡而非WireGuard接口，说明AllowedIPs未覆盖该网段或路由优先级错误。记录目标服务本身的响应状态，区分是隧道断路还是服务端故障。若测试通过，奈云需结合多源验证，单一成功不能排除间歇性问题。
排查网络连接异常时，需详细记录隧道端点配置及本地路由状态。
汇总观察点与判断逻辑
整理上述各步记录的观察点，建立本地、隧道、目标三层的问题映射。若本地网络正常且路由无误，重点审查隧道配置中的AllowedIPs与Endpoint匹配性。若隧道连通但目标不可达，检查服务端路由策略与防火墙日志。每个测试节点的结果需结合上下文判断，避免孤立看待单个命令输出。记录所有异常时的时间戳、接口状态及日志片段，为复现问题提供依据。若涉及修改配置，应在隔离环境验证后再应用，奈云VPN官网保留原始配置备份以便回滚。准确的信息记录是快速定位根本原因的前提，避免盲目尝试导致网络中断。
