WireGuard 接口地址的核心在于客户端与服务端通过静态或动态分配的内网 IP 建立对等关系，而非传统 VPN 中的主从依赖。在 WireGuard 的对等端模型中，双方地位平等，均可作为发起方或接收方。服务端通常配置一个固定的接口地址（如 10.0.0.1/32），并预定义多个对等体（Peers），每个对等体对应一个客户端及其接口地址。客户端则配置自身的接口地址（如 10.0.0.2/32）及与服务端通信的 AllowedIPs。这种设计简化了管理，避免了动态地址协商的复杂性，火苗加速器同时通过预配置确保两端路由清晰。
接口地址的角色定义
接口地址是 WireGuard 隧道内部通信的逻辑 IP，独立于底层物理网络。服务端和客户端必须分别配置唯一的接口地址，通常使用私有地址段（如 10.0.0.0/8）以避免与公网或局域网冲突。这些地址不用于公网路由，仅作为隧道内数据包的源和目的标识。例如，服务端可设置接口为 10.0.0.1/32，客户端为 10.0.0.2/32。两端通过这些地址相互识别，火苗加速器无需依赖 ARP 或 DHCP 等动态机制。
在 WireGuard 对等模型中，客户端与服务端通过预配置的接口地址建立平等连接，简化了网络管理。
AllowedIPs 的双向作用
AllowedIPs 不仅决定哪些出站流量应路由至隧道，还用于校验接收包的源地址是否合法。在服务端为某客户端配置 AllowedIPs 时，若设置为 0.0.0.0/0，则表示允许该客户端访问所有目标地址，火苗但并不意味着服务端会将所有局域网流量都强制入隧道。实际上，是否分走部分流量直连，取决于本地路由策略和客户端配置。客户端侧的 AllowedIPs 同样需明确指定，例如 192.168.1.0/24 表示仅将访问该局域网的流量送入隧道。两者协同工作，确保数据包在正确路径上传输且来源可信。
验证接口配置有效性
可通过只读命令检查当前隧道状态。在 Linux 客户端执行 wg show 可查看已建立的连接、对等体 IP 及最近通信时间；服务端运行 wg show 可列出所有活跃对等体及其接口地址。若显示 handshake 时间更新且 transfer 数据增长，说明接口地址配置正确且隧道活跃。注意 UDP 端口监听状态需另行确认，例如使用 ss -uln 查看 51820 端口是否被 wireguard-go 或内核模块占用，这区别于 TCP 同名端口的监听行为。
