Забавный факт: виндовый wireguard кладет болт на firewall.
Ну, кроме того, что он добавляет свои правила для AllowedIPs, он каким-то образом подключается к эндпоинту игнорируя WFP (вероятно, добавляя свое правило на эндпоинт).