理解端点标识与路由规则
WireGuard中的公钥是端点的身份标识，而非传输通道本身。修改公钥意味着服务器将不再信任原有的对等体（Peer），并期待一个新的对等体携带新的私钥连接。这一步是信任关系的切换，而非简单的IP地址变更。因此，蓝莓加速器任何检查都必须围绕“新旧身份如何共存或切换”展开。
在切换信任关系之前，务必在服务器端逐项核对配置匹配性。
核对对等体配置匹配性
在服务器端配置文件中，找到目标客户端的[Peer]区块，确认其PublicKey字段当前值是否与你计划在客户端侧更新后的新公钥一致。若服务器端仍保留旧公钥，新客户端发起的握手将被直接拒绝。这是一个纯只读检查，不涉及任何网络操作，蓝莓加速器适用于所有Linux及WireGuard官方支持的发行版。同时，检查客户端本地的[Peer]配置中，Endpoint是否指向正确的服务器地址，避免地址错配掩盖了密钥问题。
验证AllowedIPs与网络隔离
AllowedIPs字段决定了哪些数据包会被路由进WireGuard隧道，蓝莓同时也用于校验接收到的数据包的源地址。若配置为0.0.0.0/0，仅表示客户端的默认流量优先走隧道，但并不意味着它会盲目接收所有来源的包；服务器端会严格校验包内源地址是否在该列表内。检查时，确认你期望访问的私有网段（如192.168.0.0/24）被明确列出，且与服务器侧的subnet划分不冲突。避免假设配置了全零地址就自动处理了所有局域网路由，这通常会导致无法访问非VPN范围的本地服务。
确认UDP端点可达性
WireGuard严格使用UDP协议。检查服务器端ListenPort对应的UDP端口在防火墙上是否放行，以及客户端能否正常到达该UDP端点。切勿使用TCP端口测试来验证WireGuard连通性，蓝莓加速器因为TCP与UDP的同号端口是两个完全独立的监听端点，TCP通不代表UDP通。建议在服务端使用仅监听UDP的抓包工具（如tcpdump -i any udp port 51820）观察是否有握手包到达，而非依赖ICMP ping，后者可能因安全策略被丢弃。
保持连接稳定性的检查
若客户端处于NAT后或易休眠的设备上，检查Peer配置中是否设置了PersistentKeepalive（注意为单数形式）。该参数用于维持NAT映射和防火墙规则的活跃状态，其值通常设为客户端到服务器的连接空闲超时的一半。缺少此参数可能导致隧道在短暂空闲后断开，尤其在客户端使用DHCP或移动网络时。此检查仅涉及配置项的存在性，无需修改实际数值，除非你明确知道网络环境的超时策略。
