WireGuard无法路由客户端入站流量问题求助

我在自己的服务器上搭建了WireGuard VPN，把手机作为对等节点连接。服务器自身的路由功能完全正常，但从手机过来的所有流量似乎都被“无视”了——比如我用手机ping 1.1.1.1，能在服务器上用tcpdump抓到这些数据包，但它们好像根本没被转发出去：目标服务器收不到，我也得不到任何响应。

更奇怪的是，我还有另一台配置几乎一样的服务器（只是密钥和子网不同），那台的WireGuard就能正常转发客户端流量。

我已经排查过的内容 #

• 对等节点（手机）确实已经成功连接到服务器
• 客户端发送的数据服务器能收到，服务器发往客户端的数据也能正常到达
• 客户端可以通过WireGuard隧道ping通服务器的隧道IP
• 两台服务器执行ip route show table 1201的结果完全一致
• 两台服务器的ip route list输出也基本相同
• 在有问题的服务器上执行ip route get 1.1.1.1，结果显示流量应该会通过默认网关转发
• 服务器已经开启了IP转发，net.ipv4.ip_forward已设置为1

服务器配置 #

[Interface]
Address = 10.1.1.1/24
ListenPort = 51820
Table = 1201
PrivateKey = <key>

# Phone
[Peer]
PublicKey = <key>
PresharedKey = <key>
AllowedIPs = 10.1.1.3/32

问题简化总结 #

• 客户端（手机）→ 服务器：ping通
• 服务器 → 客户端：ping通
• 服务器 → 任意外部服务器：ping通
• 客户端 → 任意外部服务器：无法ping通

备注：内容来源于stack exchange，提问作者isi_ko