Per convenzione WireGuard usa UDP 51820 come ListenPort – la porta non è registrata IANA, ma quasi tutte le guide la usano. TCP non è supportato.
Su un server VPN va aperta in ingresso. WireGuard risponde solo a pacchetti con chiave valida, quindi una scansione non mostra nulla – la porta è praticamente invisibile. Attraverso il tunnel raggiungi SSH, RDP, database o NFS senza esporli.
Tipico: manca latest handshake in wg show (firewall, endpoint o chiave pubblica sbagliati), il tunnel cade dietro NAT (PersistentKeepalive = 25), o i pacchetti grandi si bloccano (MTU, ad es. MTU = 1380).
Verifica
sudo wg show