备份WireGuard AllowedIPs配置，核心是保存当前正在运行的、VPN客户端已解析生效的AllowedIPs列表，并记录关联的对等端身份。由于WireGuard允许在同一对等端条目下配置多个AllowedIPs，且这些值直接决定流量路由和源地址校验，单纯备份原始.wg文件可能遗漏动态添加的值。正确做法是导出当前运行时状态与静态配置两份副本，确保可追溯变更。
导出运行时生效的AllowedIPs
在Linux或支持wg-quick的系统上，使用wg命令行工具获取实时配置。执行wg show <interface_name>，输出中包含每个peer的allowed-ips字段。该值反映该接口当前生效的AllowedIPs列表，可能包含通过wg set动态追加的条目。可记录对应Peer公钥与AllowedIPs的输出；这只是该时刻的运行信息，仍需与配置源和系统路由对照。若系统使用systemd-networkd或NetworkManager管理，需确认其未重启后重置配置，否则运行时状态可能已偏离静态文件。
网络连接与设备配置场景示意
保存静态配置文件副本
定位WireGuard使用的配置源文件，使用wg-quick时常见为/etc/wireguard/<interface>.conf；其他管理工具应核对各自的配置源。直接复制该文件为备份副本，保留原文件名加时间戳后缀。注意检查文件中AllowedIPs字段是否包含CIDR网段或单IP，例如10.0.0.0/8或192.168.1.1。若配置由Ansible、Terraform等工具生成，应备份模板及变量文件，而非仅副本，以避免下次部署时丢失自定义修改。不要假设所有平台都使用wg-quick，某些嵌入式设备可能使用专有二进制，此时需查阅设备官方文档确认配置读取路径。
核对AllowedIPs与对等端身份绑定
备份时应将AllowedIPs与对应Peer的PublicKey一同保存；PersistentKeepalive是保活设置，不能替代Peer身份。WireGuard允许同一对等端配置多个AllowedIPs，但这些值必须与该公钥严格绑定。若备份仅包含IP列表而缺失公钥，恢复时无法验证流量来源合法性。检查配置中是否存在AllowedIPs重复定义，这在静态文件中虽语法允许但易引发歧义。若使用0.0.0.0/0，应核对管理工具实际创建的路由和策略；Table=是wg-quick相关选项，不能套用到所有客户端。备份文件中应标注每个AllowedIPs条目对应的对等端别名，方便后续比对。
验证备份完整性与可恢复性
在完成备份后，建议在隔离测试环境中恢复验证。在隔离环境中按实际管理工具加载备份配置，执行wg show对比AllowedIPs列表是否与备份一致。仅在上述隔离测试环境中，若使用wg-quick管理测试接口，可按实际接口名执行wg-quick down wg0和wg-quick up wg0，其中wg0须替换为实际测试接口名；重建会中断该测试隧道及依赖它的连接。随后核对所用配置方式是否接受各项地址及前缀，并比较相应的系统路由。不要在生产环境直接测试恢复，以免中断现有连接。验证时重点观察是否出现地址或前缀解析错误，这通常源于备份时遗漏了逗号分隔符或IP格式错误。此类测试可为恢复提供依据，但还需确认目标系统、密钥、地址和管理工具与备份适配；若失败，需回溯配置文件语法或内核模块版本兼容性。
静态配置可能包含PrivateKey及PresharedKey，应限制备份读取权限并加密保存；蓝莓加速器不要把完整配置或带密钥的导出结果贴入公开日志。接口名称占位符需要替换为实际接口名，例如wg0。
