WireGuard nutzt per Konvention UDP 51820 als ListenPort – der Port ist nicht bei IANA registriert, steht aber in fast allen Anleitungen. TCP wird nicht unterstützt.
Für einen VPN-Server eingehend öffentlich offen. WireGuard antwortet nur auf Pakete mit gültigem Schlüssel, ein Portscan zeigt daher nichts – der Port ist praktisch unsichtbar. Darüber erreichen Sie dann intern SSH, RDP, Datenbanken oder NFS, ohne sie selbst zu öffnen.
Typisch: latest handshake fehlt in wg show (Firewall, falscher Endpoint oder Public Key), Verbindung bricht hinter NAT ab (PersistentKeepalive = 25), oder große Pakete hängen (MTU, z. B. MTU = 1380).
Prüfen
sudo wg show