Wireguard - Konfiguration "Allowed IPs" bei Clients

Hallo zusammen,
ich nutze seit ein paar Tagen Wireguard um mich von unterwegs von Laptop / Handy ins Heimnetz zu verbinden. Bisher nutzte ich Open VPN.
Nach einiger Konfiguration läuft das grundsätzlich, ABER - leider nicht so wie es in jeder Anleitung steht.

Ich habe übrigens kein anderes Forum gefunden, wo man (gerne auch auf englisch) sich ganz speziell zum Thema wireguard austauschen kann ... (Hat da jemand einen Tipp?)

Zum Verständnis: Ich gehe davon aus, dass wie bei OPENVPN natürlich neben dem eigentlichen privaten Netz zu hause (in meinem Falle 192.168.0.0) natürlich ein weiteres VPN-Transportnetz aufgebaut werden muss (ich habe mich für 10.99.99.0 entschieden). Korrekt?

Was habe ich gemacht:

- wireguard auf Debian 10 installiert (VM)
- Routing zwischen den Netzen netzwerken aktiviert ($ echo "net.ipv4.ip_forward = 1" > /etc/sysctl.d/wg.conf)
- public / private keys für server und clienten erstellt
- wg*.conf auf server erstellt mit public keys der Clienten und einer allowed-IP aus dem VPN-Netz 10.99.99.x/32 und dem Interface für den Server inkl. private key
- wg*.confs für Clienten erstellt inkl. private Keys des Clienten und Publik-Key des Server, Endpoint (DynDNS) inkl. wireguardport . --> zu den Allowed IPs in den Clienten komme ich unten. da steckt das Problem.
- Daheim auf der Fritzbox eine Portweiterleitung des WG-Ports auf den Wireguard Server
- Daheim auf der Fritzbox eine statische Route des Netzes 10.99.99.0 auf die IP des wireguard-server (192.168.0.x)

Alles korrekt bisher?

Nun zu den Allowed IPs bei den Clienten:

- trage ich hier 0.0.0.0/0 ein, funktioniert das ganze - es wird der KOMPLETTE Verkehr über den VPN-Server geleitet. Das will ich allerdings nicht immer.
- trage ich hier die VPN-IP des wireguardservers ein (wie in JEDER Anleitung steht), sehe ich zwar ein Handshake, allerdings werden keine weiteren Daten ausgetauscht. Es klappt einfach nix.
- trage ich hier das komplette "Heimnetz" ein (192.168.0.0/24) klappt wieder alles.

Ich würde gerne verstehen, wieso das ist.
Leider ist das ganze auf dem dem Android Handy nicht 100% stabil, nach paar Stunden scheint nichts mehr zu gehen, erst nach deaktivieren und aktivieren des Tunnels klappts wieder - das kann aber auch ein anderes Thema sein.

Hier mal meine Konfigs:

Server:

Client

Example peer configuration:
/etc/wireguard/wg0.conf
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY

[Peer]
PublicKey = SERVER_PUBLICKEY
@@+++AllowedIPs = 10.0.0.0/24, 10.123.45.0/24, 1234:4567:89ab::/48@@
Endpoint = SERVER_ENDPOINT:51871
PersistentKeepalive = 25

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o ens192 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o ens192 -j MASQUERADE

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT

root@vpn:/home/xxx# /sbin/iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination