把WireGuard运行的端点从旧设备迁移到新硬件或者新系统时，因为它采用对等端对等的通信模型，没有传统VPN的固定服务端身份强绑定逻辑，很多常规迁移操作很容易出现握手失败、路由校验不通过的问题，按照先后顺序完成校验和调整，就能最大程度降低迁移对现有业务的影响。
迁移前的原设备只读检查
首先不要直接卸载旧设备上的WireGuard配置，先打开原有运行的配置文件，逐行记录所有对等端的公钥、预共享密钥、允许访问的网段列表，以及本地配置的私钥、监听端口参数。这一步全程是只读操作，不会影响当前正在运行的VPN连接。
你需要额外确认原有配置里的PersistentKeepalive字段状态，这个字段是单数拼写的保活参数，不要和其他VPN协议的多实例保活配置混淆，记录下原有配置里的保活间隔数值，后续新设备要保持一致。
新设备侧的基础配置对齐
在新设备上导入原有记录的密钥和核心参数时，不要直接复制旧设备的整个配置目录覆盖，要逐行核对每一个字段的内容，避免不同系统平台的配置文件自动生成额外的未知参数，导致后续校验不通过。
运维人员逐行核对新旧设备的WireGuard迁移配置参数，规避后续握手失败等异常问题
如果旧设备原本配置了自定义的UDP监听端口，要确认新设备的同端口没有被其他UDP服务占用，注意UDP和TCP的同号端口属于完全独立的监听端点，不需要检查TCP侧的端口占用状态，避免做不必要的端口调整。
对端对等节点的参数适配调整
所有和当前迁移端点对接的其他WireGuard对等节点，都需要更新自己配置里指向迁移端点的Endpoint字段，把旧设备的IP地址或者域名替换成新设备对应的可达地址，不需要修改任何密钥相关的参数。
不要直接把所有对等节点的AllowedIPs字段直接改成0.0.0.0/0这类全量网段，SakuracatAPPAllowedIPs同时承担目的路由选择和接收报文源地址校验两个作用，随意扩大范围可能会导致原本正常的局域网路由规则被异常覆盖。
迁移后的分步连通验证
先临时在新设备上启动WireGuard实例，不要直接断开旧设备的运行进程，先从其他对等节点侧发起对新迁移端点的UDP端口连通性测试，确认网络层面可以正常抵达新设备的监听端口。
完成端口连通确认后，再关闭旧设备上的WireGuard进程，启动新设备的正式服务，先测试跨WireGuard网段的小流量连通，确认握手状态正常后，再逐步验证不同AllowedIPs范围内的地址访问，不要直接跑全量业务流量。
如果出现部分网段无法访问的情况，优先核对两端的AllowedIPs配置范围是否完全匹配，Sakuracat加速器不要直接修改系统全局路由规则，避免影响设备上其他非VPN的正常网络连接。
