遷移 WireGuard 伺服器時，先準備新主機，以一部裝置試切並驗證實際路徑，再證明它能返回舊主機。端點切換、伺服器身份更換和退役應分開決定，讓失敗操作有清晰的還原界線。

關鍵要點：

兩端都保留可用控制台與最後可信設定。

先搬一個客戶端；DNS 變更不會強制所有客戶端重新解析。

實測回退是讀者的驗收要求，不表示作者已進行實驗。

遷移 WireGuard 伺服器之前要記錄甚麼？

本文以 Ubuntu 24.04 LTS、原生 wg-quick@wg0、一台現有及一台替代伺服器為範圍，依官方文件整理，未進行完整端到端實測。以下驗證均是你在授權環境應確認的預期。自建網絡運維概覽說明整體擁有者責任。

你需要 sudo 權限、兩端已驗證且獨立於隧道的控制台、維護時段、受保護備份，以及可暫時斷線的客戶端。不要在無權管理的生產子網操作，亦不可停止共享主機上未獲批准的服務。此流程不授權你在他人的端點實驗。

記下新舊公網端點及 UDP 端口、伺服器公鑰、隧道地址、客戶端密鑰識別與 AllowedIPs、互聯網或私人網絡目的地、DNS 及防火牆負責人、伺服器出站介面。另記 IPv6 支援、路由政策、客戶端解析方式及舊供應商資源清單。記錄須限制存取，不把私鑰或完整客戶端設定公開。

承擔兩台主機重疊費用前，可先比較自控 VPS 與託管出口的責任。仍需自己控制密鑰或私人路由時才遷移；日後改變選擇，也不會自動取消舊資源。

步驟 1：訂明 WireGuard VPS 遷移的還原界線

改動流量前先寫下回退條件，例如管理途徑失效、試切客戶端無法完成必要應用請求、DNS 路徑異常或 IPv6 走未批准路徑。按維護安排定出最長觀察窗口，並指定能操作兩端控制台的負責人，不能以通用等待時間代替決定。

用唯一名稱保存舊伺服器的已審閱設定與撤銷記錄，記下開機啟用、目前運行、轉發及防火牆狀態。單一設定檔並不包含供應商防火牆、IP 轉發設定或收費狀態。

複製前按peer 清單與撤銷程序核對身份，避免舊備份包含後來已撤銷裝置。遷移期間凍結 peer 編輯，或由唯一附日期記錄追蹤變動，兩端接受流量前都須套用。

新主機透過既定套件管理程序安裝發行版 WireGuard 工具，只建立所需路徑。限制管理入口、放行指定 UDP 端口，只在充當閘道時啟用轉發，並把回程路由或 NAT 限於指定隧道範圍及實際出站介面。Ubuntu 閘道文件分開說明這些部分；不要照抄其他主機的介面名稱或清空防火牆。［2］

步驟 2：決定搬移還是更換伺服器身份

選擇	客戶端改動	運維條件
新伺服器身份	每個已遷移客戶端更新伺服器公鑰及 Endpoint	新舊主機身份明確分開，可同時存在
保留可信身份	保留伺服器公鑰，只改 Endpoint	安全傳送秘密，只讓指定主機運行
懷疑伺服器密鑰洩漏	更換身份及受影響共享秘密	不以已洩漏密鑰作回退捷徑

以下並行試切優先使用新身份。在新主機以嚴格 umask 建立密鑰對，私鑰留在主機，只分發公鑰。WireGuard 按密鑰認證 peer；更改地址本身不會建立新身份。［1］

刻意保留舊身份時，只透過已認證且主機密鑰已核驗的管理通道傳送私密材料，目的檔案只准 root 存取。先停舊隧道才啟動複製實例；這個分支會中斷服務，不能直接套用雙身份並行試切。可達主機不清楚地共用同一身份，會令端點學習與排查歸屬含糊。

只有兩端網絡確實隔離、客戶端每次只啟用一份指定設定時，獨立伺服器才可使用相同隧道子網。不要把兩份副本橋接至同一路由域。若改子網，須重查所有客戶端地址、路由、ACL 及 DNS 依賴，不能當作只換 Endpoint。

步驟 3：建立新路徑，暫不切換所有裝置

把設定安裝至 /etc/wireguard/wg0.conf，由 root 擁有、權限 0600；只保留獲准 peer，並重套所有撤銷記錄。檔案管理模式須省略 SaveConfig 或設為 false，避免關閉時覆蓋編輯；DNS 及掛鈎亦須適配新主機。［3］［4］

新身份分支可保留舊主機，並啟動替代伺服器：

sudo systemctl start wg-quick@wg0
sudo systemctl is-active wg-quick@wg0
sudo wg show wg0 public-key
sudo wg show wg0 listen-port
sudo wg show wg0 peers

命令在新主機執行。按遷移記錄核對公鑰與端口，不從 active 推斷成功。不要列出 showconf 或包含秘密的 dump。透過相關控制面確認隧道地址及供應商入站 UDP 規則。

啟動失敗時便停止，把客戶端留在舊主機，採用服務與開機檢查流程。先確立新主機自己的基線，再處理整批裝置。

步驟 4：以單一客戶端進行 WireGuard 端點遷移

在本機保存試切客戶端最後可信設定，清楚標示每份設定的目標主機。新身份分支需一併更新伺服器公鑰及 Endpoint 主機、端口；只有該配對使用預共享密鑰時，才更新對應項目。除非另外決定更換裝置身份，否則保留客戶端私鑰。

新舊兩份設定每次只啟用一份，避免客戶端路由重疊破壞比較。向授權隧道服務產生流量，在新主機核對該客戶端的握手及計數變化。經普通連線開到網頁，不足以證明隧道已生效。

域名 Endpoint 的解析時機取決於客戶端實作與生命週期。改 DNS 不保證運行中的隧道立即轉往新目的地。記下客戶端及版本、實際解析端點，以及文件要求的重新連接或啟用動作；配合Endpoint 地址與漫遊機制安排操作，不循環重啟無關服務追逐快取。［1］［4］

可行時先在授權試切設定中明確填入新端點，再獨立驗證預定域名。DNS 切換前保存舊記錄及 TTL；回退時仍要核對客戶端實際目的地，不只看管理頁的記錄已還原。

步驟 5：甚麼能證明新路徑可用？

檢查試切裝置時，以一個仍使用舊主機的未改客戶端作對照。記下時間、設定身份、目的地、預期結果及觀察握手的主機，不保存秘密設定值。

檢查方法	預期現象	失敗處理
試切裝置存取獲准隧道地址	新主機有新握手，服務回應	查身份、UDP 路徑及應用政策
必要互聯網應用經全隧道	指定流量從新主機出站	查路由、轉發及 NAT
客戶端解析必要域名	使用預期解析器及回應	查 DNS 掛鈎與解析政策
核對 IPv6 及主動斷開隧道	符合已聲明的入隧道、阻擋或直連政策	若走未批准路徑，停止驗收
舊主機對照裝置重做請求	原路徑仍然可用	先還原獨立回退途徑

互聯網出口部署須由實際應經隧道的瀏覽器核對試切裝置的公網 IP。分流可能正確地讓該瀏覽器沿用普通出口，應先寫明預期，不要直接判作遷移失敗。IPv4 觀察不能證明 DNS 路由、IPv6、UDP 或斷線保護。

介面已握手但應用失效時，採用路由與轉發診斷清單，只修故障層。不要同時更換密鑰、DNS 與防火牆規則，否則會失去判斷回退所需的證據。

步驟 6：驗證回退，再退役舊伺服器

搬遷其餘裝置前，在授權時段內有意讓試切客戶端返回可信舊設定。停用新設定，一併還原舊伺服器公鑰及 Endpoint，並依客戶端文件重新啟用。確認舊主機有新握手，再核對必要應用、DNS、IPv6 及斷線行為。若舊身份已洩漏，便不能安全回退，須另建可信還原途徑。

還原成功後才再次向前切換。保留身份分支回退時，先停替代主機，再還原舊主機目前已審閱設定及撤銷記錄，最後啟動舊實例；不可同時運行兩份副本。只撤回遷移專屬防火牆或 DNS 改動，並獨立確認控制台可用。

餘下裝置分小組遷移，逐一記下選用的伺服器公鑰及實際端點。觀察至預先約定的窗口結束，並涵蓋具代表性的客戶端重新連接。舊主機沒有流量只是輔助證據，並不代表休眠裝置已搬走；完成整批前須聯絡相關負責人。

新設定驗收後才啟用開機服務，保留控制台並測試獲授權重啟。觀察窗口結束前保留舊回退資源。退役時停止並停用舊隧道、撤銷舊實例專用憑證、移除遷移規則，按保留政策處理備份。透過供應商各自生命週期刪除舊實例、磁碟、保留地址及快照，分別驗證關機與停止收費。

總結

複製前凍結身份、路由及撤銷記錄。
整批遷移前驗證一個客戶端的新路徑和舊路徑還原。
驗收與資源帳目核對後才退役基建。

常見問題

遷移時一定要換伺服器公鑰嗎？

選擇新伺服器身份便須更換。可信身份可保留公鑰，但必須安全傳送秘密並維持明確的獨占運行歸屬。

降低 DNS TTL 會立即搬走客戶端嗎？

較低 TTL 影響解析快取，不會強制每個運行中的 WireGuard 端點更新。須核對實際目的地及依文件重新解析。

試切時兩台伺服器可以共用身份嗎？

本文並行分支採用不同身份。若刻意保留原身份，須先停止舊隧道才啟動替代主機。

新握手代表互聯網存取正常嗎？

握手只證明 peer 通訊，並不證明轉發或解析政策。應用路徑、預期 IP、DNS 與 IPv6 都須獨立核對。

同一客戶端密鑰可以放在兩台主機嗎？

受控遷移期間可在兩個隔離主機配置。保持不同伺服器身份、單一有效客戶端設定及同步撤銷記錄。

何時可以刪除舊虛擬機？

待裝置遷移、回退及觀察窗口符合書面條件後再刪除。磁碟、地址及快照可能仍收費，須逐項核實。

怎樣才算實測了回退？

實際將授權試切裝置切回可信舊路徑並驗證必要行為才算完成。本文只提供程序，沒有聲稱作者已執行實驗。

來源:

WireGuard — Quick Start — https://www.wireguard.com/quickstart/
Ubuntu — Using the VPN as the default gateway — https://ubuntu.com/server/docs/how-to/wireguard-vpn/vpn-as-the-default-gateway/
Ubuntu — Common tasks in WireGuard VPN — https://ubuntu.com/server/docs/how-to/wireguard-vpn/common-tasks/
Ubuntu Noble — wg-quick(8) — https://manpages.ubuntu.com/manpages/noble/man8/wg-quick.8.html

Sources checked 2026 年 10 月 11 日。

延伸閱讀:

遷移 WireGuard 伺服器：端點切換、驗收與可靠回退