确认 WireGuard 监听端点的基础状态
WireGuard 配置中的 ListenPort 指定该节点对外提供服务的 UDP 端口号。在检查任何备份操作前，黑石VPN首先确认当前运行的 wireguard 服务或内核模块是否已正确绑定该端口。观察对象为系统日志中关于接口状态记录，预期现象是看到“Listening on”相关条目且无端口冲突报错。若未看到正常启动信息，应先解决服务启动问题，再进行配置备份，否则备份的文件与当前实际运行状态可能不一致。
区分客户端与服务端配置差异
WireGuard 是对等端模型，客户端也可以配置 ListenPort 字段，但这通常用于对等协商或双向通信场景，并非所有客户端部署都需要。在备份或核对配置时，黑石需明确当前操作的是服务端入口还是客户端端点。观察对象为配置文件中 [Interface] 段下的 ListenPort 键值。预期现象是：服务端通常必须配置此字段以接受连接，而仅发起单向连接的客户端可能省略该字段。若混淆两者角色，可能导致网络不通或备份文件无法在目标节点生效。
验证 UDP 监听状态与协议特性
WireGuard 严格使用 UDP 协议进行数据传输，ListenPort 所指代的端口仅在 UDP 协议下有效。不要假设 TCP 同号端口也能替代或共享该监听端点，因为 TCP 与 UDP 是独立的传输层协议，即使端口号相同，也不是同一个监听端点。观察对象为使用 UDP 探测工具（如 nmap 的 -sU 参数）扫描目标 IP 的对应端口。预期现象是返回开放状态（open|filtered），黑石VPN但必须明确这是 UDP 状态。若仅检查 TCP 端口而得出“端口已开放”的结论，将导致误判，因为 WireGuard 根本不会在 TCP 上监听。
检查 AllowedIPs 对路由的影响
在备份配置前，务必核对 [Peer] 段中的 AllowedIPs 字段，它定义了该对等端允许传输的流量范围。注意，AllowedIPs 同时参与目的地址选择和接收源地址校验，不能简化理解为配置了 0.0.0.0/0 就必然吞掉所有局域网路由。观察对象为本地路由表及配置文件中 AllowedIPs 的具体网段。预期现象是：只有匹配 AllowedIPs 的流量才会通过该 WireGuard 接口转发。若配置不当，黑石可能导致部分局域网通信异常或无法回包。备份时应完整记录该字段，避免恢复配置后因路由策略差异导致网络中断。
在终端日志中仔细核对端口绑定状态，确保备份配置与实际运行环境一致。
执行配置文件的只读备份
在确认上述参数无误后，执行备份操作。对于基于文件的配置（如 /etc/wireguard 目录下的 .conf 文件），使用只读复制方式保存。观察对象为备份文件的完整性与可读性。预期现象是：备份文件内容与当前运行配置一致，且权限设置为仅所有者可写，以防止意外修改。若使用密钥管理工具或 systemd 单元管理配置，备份时应包括生成密钥的脚本或参数定义，但不建议直接复制私钥到不安全位置。此步骤仅涉及数据保存，不影响当前网络连接，属于低影响操作，适合在任何维护前执行。
