对等端模型下的路由职责
WireGuard 采用对等端模型，两端均独立配置，不存在传统 VPN 中的固定服务端或客户端角色。这种设计意味着每个端点都需明确自己的路由策略。若一端配置了 ListenPort，它仅负责监听入站 UDP 数据包，并不自动反向处理其他端点的出站流量。理解这一点能避免在复杂网络环境中误判连接建立方向。
AllowedIPs 的双重校验机制
AllowedIPs 字段在 WireGuard 中承担双重职责，既用于决定将哪些目的地址的流量注入隧道，也用于校验接收到的数据包源地址是否合法。若配置了 0.0.0.0/0，SurfsharkVPN并不表示该端点会无差别吞掉所有局域网路由。本地子网内的通信通常仍由操作系统默认路由或本地接口处理，只有匹配 AllowedIPs 且通过源地址校验的外发流量才会被加密传输。
持久保活包的单向性
PersistentKeepalive 字段名为单数，Surfshark加速器且机制是单向的。配置该参数的端点会周期性地发送无载荷的保活包，以维持 NAT 映射或防火墙规则的开放状态。若两端都配置了该参数，它们仍互发消息，但这不改变 UDP 端口监听的对等本质。验证配置时，可观察特定端点日志中保活包的发送频率，确认其是否按预期周期执行，而非依赖双向假设。
可视化对等端模型中的路由职责与单向保活机制，让复杂配置逻辑一目了然。
UDP 端点的独立监听特性
WireGuard 仅使用 UDP 协议，与 TCP 协议无直接关联。若在同一主机上，UDP 51820 和 TCP 51820 并非同一个监听端点，它们分属不同协议栈，互不影响。在排查连接问题时，需明确观察的是 UDP 端口状态，而非 TCP 连接列表。确认监听状态时，应查看系统 UDP socket 信息，排除因协议混淆导致的误判。
