这篇指南针对用户将WireGuard原有接口地址从旧设备迁移到新硬件的全流程场景，梳理从预检查到上线验证全链路的核心风险点，通过现象倒推原因的排查逻辑，帮用户避免迁移后VPN连通失败、地址冲突、隐私边界泄露等常见问题，所有操作步骤都基于WireGuard原生协议特性设计，小火箭VPN不涉及第三方未验证的修改方案。
迁移WireGuard接口地址前先完成旧设备配置预校验，规避后续地址冲突风险
迁移前原有接口配置的预校验步骤
很多用户迁移WireGuard接口地址时，直接把旧设备的配置文件整盘复制到新设备，上线后立刻出现对端节点全部失联的现象，首先要排查的第一个原因是旧接口地址的绑定范围没有提前解绑。WireGuard的接口地址默认是和当前运行设备的公钥、小火箭内核路由表条目强绑定的，如果直接在新设备加载相同地址的配置，旧设备的路由规则没有清除的话，会出现两端同时广播同一个内网网段的ARP包，引发地址冲突。
这一步的检查操作要先在旧设备端执行wg show命令，记录下原有接口的私钥、监听端口、已分配的IP/子网段三个核心参数，再执行ip addr del [你原有WireGuard接口地址] dev wg0命令手动清除旧设备上的接口地址绑定，预期结果是执行完之后再用ip a查看，对应wg接口下已经没有之前的子网条目，不会再向外发送该地址的路由广播。
新设备侧接口地址的适配性检查
完成旧设备解绑之后，在新设备加载配置前，首先要排查新设备的现有网卡网段是否和你要迁移的WireGuard接口地址网段重叠。不少用户的新设备本地局域网刚好使用了和WireGuard虚拟网段相同的子网段，加载配置后会出现本地流量全部被导入WireGuard虚拟接口，导致新设备本身断网的现象。
这一步的检查操作是先在新设备执行ip route show命令，列出所有已经存在的物理网卡、其他虚拟网卡对应的路由条目，确认你要迁移的WireGuard接口所属的子网段没有出现在现有路由表中，预期结果是没有任何一条现有路由的目标网段和你要配置的WireGuard虚拟网段重合，不会出现路由优先级抢占的问题。
接下来还要检查新设备的防火墙规则，很多默认开启ufw或者firewalld的发行版，默认会禁止虚拟接口的流量转发，如果直接加载迁移过来的配置，即使接口地址配置正确，也无法和其他WireGuard对等节点通信。你需要确认新设备的ip forwarding参数已经开启，对应的INPUT、FORWARD链里已经放通WireGuard监听端口和虚拟接口的流量，避免出现接口地址配置成功但完全没有入站出站流量的现象。
对等节点侧的地址同步验证
很多用户迁移完WireGuard接口地址之后，发现部分对等节点可以连通、部分节点完全无法ping通迁移后的接口地址，这类现象的常见原因是部分对等节点的配置里，已经把旧设备的WireGuard接口地址作为了允许访问的IP白名单条目，没有同步更新。
这一步的排查操作是逐个登录所有已经和该WireGuard节点配对的其他设备，打开对应对等节点的WireGuard配置文件，查看AllowedIPs字段里是否包含你迁移的接口地址条目，确认该条目没有被其他更高优先级的路由规则覆盖，预期结果是所有对等节点的配置里，小火箭VPN都把迁移后的新节点WireGuard接口地址纳入了合法访问的白名单范围，不会出现部分节点被拦截的情况。
迁移后的隐私边界与故障定位
迁移完成后首次连通测试时，不要直接把所有流量导入WireGuard隧道，先只测试虚拟接口地址之间的互ping，确认所有对等节点都可以正常访问迁移后的接口地址之后，再逐步添加路由规则。如果测试过程中出现部分节点访问延迟异常升高的现象，优先排查是否有两个设备同时持有同一个WireGuard接口地址的广播包，及时回溯检查旧设备的接口是否已经完全关闭。
还要注意的一个常见误区是，不少用户认为迁移接口地址之后，原有设备的所有访问权限都会自动失效，实际上如果旧设备没有完全卸载WireGuard配置，只是断开了服务，一旦旧设备重启，残留的配置还是会尝试对外宣告相同的虚拟网段，引发地址冲突的同时，也可能让不在预期范围内的旧设备持有虚拟网段的访问权限，超出你预设的隐私边界。
全流程验证完成之后，建议保留旧设备的WireGuard配置备份一段时间，确认所有对等节点的连接稳定性都符合预期之后，再彻底删除旧设备上的相关配置文件，避免迁移过程中出现配置丢失无法回滚的问题。如果后续出现偶发的地址冲突告警，优先核对所有接入同一WireGuard虚拟网络的设备配置，确认没有其他设备误配置了相同的接口地址即可。
