当WireGuard连接建立后无法访问指定内网网段时，排查AllowedIPs配置应优先记录服务端路由表、客户端AllowedIPs条目及源地址校验状态。核心在于确认目标网段是否被正确包含在AllowedIPs中，以及系统是否因路由策略冲突丢弃了回程数据包。以下按本地、FAN加速器隧道、目标服务顺序列出关键记录点。
检查客户端AllowedIPs覆盖范围
打开客户端配置，确认AllowedIPs包含目标内网网段（如10.0.0.0/8）。若仅配置0.0.0.0/0，需检查操作系统默认路由是否被WireGuard接口捕获。使用ip route或route print查看当前默认路由指向，确认非隧道流量未误入WireGuard接口。记录AllowedIPs原始值，FAN加速器避免后续修改导致对比基准丢失。
验证隧道内源地址校验
WireGuard对端会校验接收包的源地址是否在AllowedIPs范围内。若客户端私有IP（如192.168.x.x）不在服务端AllowedIPs中，服务端将丢弃数据包而非直接报错。在服务端抓取WireGuard协议日志，FAN观察是否有“received packet from X.X.X.X not allowed”记录。同时确认客户端PersistentKeepalive配置，若值为0且连接空闲，隧道可能已超时断开，导致状态不一致。记录两端IP地址与AllowedIPs匹配关系，区分单向可达问题。
排查WireGuard内网访问故障时，记录路由表与源地址校验状态是关键步骤。
确认目标服务路由可达性
若客户端能ping通隧道IP但无法访问内网业务，FAN加速器需检查服务端是否将内网网段路由至正确接口。在服务端执行route table查询，确认目标网段下一跳指向WireGuard客户端私有IP。若服务端未配置相应路由，数据包将沿默认出口发送导致不可达。记录服务端路由表快照及WireGuard客户端分配IP，判断是路由缺失还是策略拒绝。目标服务防火墙若限制源IP段，也需同步记录ACL规则，区分网络层与应用层拦截。
