迁移WireGuard设备时，Endpoint配置的核心在于正确指向新的公网可达地址，并同步更新对端信息。仅修改本地监听地址而不更新服务端对客户端的Endpoint记录，大象会导致连接单向中断或握手失败。操作前需明确：客户端是连接发起方，其配置中的Endpoint字段应填写服务端当前的公网IP及UDP端口。
在迁移WireGuard服务前，技术人员正在核对新的公网IP地址，确保客户端Endpoint配置准确无误。
确认服务端当前公网地址与端口
在迁移前，首先确定新部署位置的服务端公网IPv4或IPv6地址。登录承载WireGuard服务的网络设备或云平台，VPN下载查阅其对外网暴露的IP配置。预期现象是你能获得一个从互联网侧可路由到的地址。若使用动态DNS，需确认更新机制是否正常，避免因IP变更导致Endpoint失效。此步骤为只读检查，不涉及网络变更。
更新客户端的Endpoint字段
在客户端配置文件（如Linux的/etc/wireguard/wg0.conf或移动端App导入的配置）中，找到[Interface]节下的Endpoint参数，将其值改为服务端新的公网地址和UDP端口。注意Endpoint仅影响客户端向服务端发起握手的初始目标，不影响后续数据传输。保存后需重新加载WireGuard服务，预期现象是日志中出现Handshake initiated，且对端开始响应。
检查服务端的AllowedIPs与对端配置
服务端为每个客户端维护独立的[Peer]区块，其中Endpoint字段记录的是该客户端上次握手的来源地址。若客户端IP变更（如从家庭宽带迁至办公室），服务端旧Endpoint虽可能过期，但通常不影响新连接建立，因为WireGuard基于UDP无状态，新握手包会携带新的源IP。需确保服务端配置中AllowedIPs正确覆盖客户端所需访问的网段，避免路由异常。检查时应观察服务端日志是否拒绝来自新源IP的入站包。
验证连通性与持久保活
在两端均完成配置后，执行基础连通性测试，如从客户端ping服务端分配的隧道内IP，或访问仅通过WireGuard路由的内网资源。同时观察PersistentKeepalive参数（单数形式）是否设置合理，其值通常以秒为单位，决定客户端向服务端发送保活包的频率。预期现象是连接保持稳定，无频繁重连。若使用防火墙，需确保UDP端口双向畅通，避免单向阻断导致握手卡在SYN_SENT等价状态。测试通过仅证明当前路径可达，不代表所有路由策略均无误，需结合实际业务流量验证。
