WireGuard Endpoint是WireGuard配置体系里定义对等节点公网访问地址与端口的核心参数，很多新手在搭建跨网VPN隧道时最容易在这个字段踩坑，要么出现完全无法握手的问题，小鸟VPN官网要么后续隧道频繁断开重连。本文就以家用OpenWrt主路由搭配云服务器WireGuard节点的最常见落地场景，给出完整的配置示例和实操步骤，覆盖前置检查、参数填写、结果验证、故障排查全流程，帮你避开大部分配置误区。
配置前的环境前提检查
我们选用的是普通家庭用户最常用的双节点场景，一端是部署在家庭宽带上的OpenWrt主路由，作为WireGuard的本地发起端，另一端是部署在云服务商的普通Linux服务器，作为WireGuard的远端接收节点，小鸟两端都已经提前完成WireGuard软件包的安装，且各自生成了配对的公钥、私钥和预共享密钥。
正式填写Endpoint参数之前，首先要确认云服务器端的WireGuard监听端口已经在云平台安全组和服务器本地系统防火墙里放通UDP协议，同时提前确认本地家庭宽带没有拦截对应外出UDP端口，避免后续配置完成后出现端口不可达的基础故障。如果本地家庭宽带没有分配公网IP，也不需要额外做内网穿透，只要保证云服务器的对应端口没有被运营商封停，就可以由本地端主动发起连接建立隧道。
家用路由搭配云服务器搭建WireGuard隧道的配置实操场景
WireGuard Endpoint参数的标准配置示例
这里的WireGuard Endpoint配置要根据节点角色区分填写，云服务器作为被动接受连接的服务端，它的配置文件里的对等节点字段不需要填写Endpoint参数，只需要指定允许接入的虚拟IP段即可，只有主动发起连接的本地OpenWrt端，才需要在对等节点配置页填写完整的WireGuard Endpoint信息。
具体的配置示例里，假设云服务器的公网IP为常规公网地址，WireGuard服务端的默认监听端口为51820，那么OpenWrt端的Endpoint字段就直接填写云服务器公网IP加冒号加端口的格式，不能只单独填写IP地址漏写后面的端口号，不少新手配置时只填IP不跟端口，会导致WireGuard进程找不到对应的对等节点访问入口，完全无法发起握手请求。
如果云服务器的公网IP是动态变动的场景，你也可以在Endpoint字段填写已经正确解析到云服务器IP的域名，WireGuard会自动定期解析域名对应的IP地址更新连接目标，不需要手动修改配置，不过要提前确认域名解析结果没有被污染，否则会出现连接指向错误地址的问题。
配置后的连通性验证步骤
填完Endpoint参数保存并重启WireGuard服务之后，首先在OpenWrt的终端里输入wg show命令查看运行状态，正常情况下你会看到对等节点的Endpoint字段已经正确显示了你填写的IP加端口信息，输出结果里还会显示最新的握手时间戳。
如果看不到任何握手记录，你可以先在OpenWrt端用nc或者其他网络工具测试云服务器的对应UDP端口是否可达，小鸟要是端口不通就回去检查云服务器的安全组、防火墙规则，以及本地网络有没有限制UDP协议的外出访问，WireGuard默认采用UDP传输，部分企业或者校园网的网络策略会拦截未备案的陌生UDP端口。
确认端口可达之后，你再尝试从本地内网的普通设备ping云服务器端WireGuard虚拟网卡的同网段IP，如果能正常收到回复，就说明Endpoint配置已经生效，两端的隧道已经成功打通，可以正常转发对应网段的网络流量。
常见的Endpoint配置误区排查
很多用户会犯的错误是在云服务器的对等节点配置里也填写本地家用端的Endpoint参数，要是家用宽带没有固定公网IP，小鸟这个参数填了反而会导致云服务器主动向动态变动的本地IP发起连接，完全没有实际意义，只有当两端都有固定公网IP的对等节点场景下，才需要双向填写Endpoint参数实现两端可主动发起连接。
还有部分用户会把Endpoint后面的端口写成TCP端口，或者和WireGuard服务端实际监听的端口不一致，这种情况哪怕IP地址填的完全正确，也不可能建立握手，你可以对照云服务器端wg show输出的listen port字段，确认填写的端口和服务端实际监听端口完全匹配。
另外要注意Endpoint参数里的地址不能搭配HTTP或者HTTPS前缀，WireGuard本身不识别URL格式的地址，直接裸写IP加端口或者域名加端口就可以，多余的前缀反而会导致配置解析失败，直接跳过对应对等节点的连接流程。整个配置流程不需要额外做非必要的系统内核参数修改，避免引入新的未知网络故障。
