备份私钥与配置文件
迁移前需在旧设备上安全导出WireGuard私钥。私钥是客户端身份的核心凭证，丢失后无法通过旧设备直接恢复连接，需重新生成并更新对端配置。操作前确认设备系统环境，Linux通常使用wireguard-tools的CLI工具或查看/etc/wireguard配置文件；macOS和Windows的图形化客户端界面中，寻找“Export”或“Copy Configuration”选项。导出后，ExpressVPN官网将生成的Base64编码字符串或包含私钥的.conf文件保存至加密存储位置。切勿直接通过明文聊天记录或公共云盘传输，避免凭证泄露导致网络访问权限被窃取。
生成新对端公钥并更新配置
若使用同一私钥在新设备配置，无需生成新公钥，直接复用即可。若决定轮换密钥以隔离旧设备风险，则需在新设备生成新的私钥，并计算对应的公钥。新公钥需替换服务端或旧客户端中AllowedIPs对应的对端PublicKey字段。这一步骤涉及修改对端配置，需同步分发更新后的配置文件。注意检查字段拼写，加速器确保PublicKey与PrivateKey匹配。若配置了PersistentKeepalive，该参数为单数形式，用于维持NAT会话的保活心跳，值通常为30秒左右，需根据实际NAT超时时间调整。
验证监听端口与路由策略
部署新配置后，需检查监听状态。WireGuard默认使用UDP协议，客户端配置中ListenPort字段若存在，定义的是本端监听的UDP端口，而非TCP。UDP与TCP同号端口并非同一监听端点，排查连通性问题时需确认抓包或端口监听工具是否针对UDP协议。检查AllowedIPs配置，该字段不仅决定流量发往哪些目的地址，还用于校验接收数据包的源地址是否在允许范围内。若配置了0.0.0.0/0，并非无条件吞掉所有局域网路由，而是所有不在该列表内的流量通常由底层网络栈按常规路由表处理，或依据路由策略丢弃。需结合本机静态路由表确认路由优先级。
测试连通性与故障定位
启动新设备上的WireGuard接口后，先执行低影响的只读检查。使用ping命令测试对端隧道IP，观察ICMP_ECHO_REPLY是否返回。若测试失败，不能单独证明全部原因，需结合服务端日志检查是否收到新公钥的握手包。若服务端日志显示“No pre-shared key”，则需核对PSK字段是否一致。若日志显示“Handshake with peer failed”，则可能是UDP端口被防火墙拦截或NAT映射未更新。此时应检查服务端防火墙规则是否允许入站UDP流量至ListenPort，以及客户端出口网络的NAT行为是否支持UDP打洞。
迁移设备前，确保私钥通过加密通道安全转移，防止凭证泄露。
