allow ips 是给连接客户端向用的吧，比如我的 mac 连接了远程的 linux ，我希望访问到 linux 所在的局域网，那么 mac 上的 wireguard 配置 allow ips 就写 linux 所在局域网。

服务端向只能选择开启或者禁止全部转发，客户端向连接进来随便访问该服务端的内网或者外网。 但是内网也不是随便访问的，得在服务端内网配置 wireguard 的网段流量回到服务端所在内网 ip 。不然 wireguard 内网段在局域网里面是只有去程没有回程的。

最后，为什么不试试 tailscale 呢？ 在不自建的前提下轻轻松松完成“仅能够访问内网的某些网段”。后面可以配置 acl 规则进一步限制哪个客户端访问哪个网段、ip 、端口都能满足。