WireGuard密钥配置、公私钥管理与Peer身份设置指南

三类密钥，不要混用

公钥不能恢复私钥。私钥丢失而没有备份时，需要建立新身份并更新对端。具体生成与存储步骤见公私钥、Peer 身份及轮换教程。

一台独立设备，一条身份记录

为每台设备单独生成密钥对，登记设备名称、公钥标识、隧道地址和授权网段。多个在线设备共用身份可能导致 Endpoint 变化和连接抢占，也会削弱审计与撤销能力。

服务端在每个 Peer 中限制该设备可以使用的来源地址。客户端则按远端目标范围选择 Peer，见AllowedIPs 的双向作用。

保护配置文件，也保护备份

Linux 中生成新文件前设置适当 umask，确认文件所有者，并把配置文件访问权限限制为必要用户。把完整配置放入加密备份，避免与解密材料一起公开存储。

不要把配置上传到未知在线解析器。日志和截图同样需要脱敏，尤其避免分享带秘密字段的 showconf、dump 或二维码。

轮换是双端变更

先生成新身份，经可信渠道核验并更新相关对端，再确认握手及真实通信，最后撤销旧 Peer。如果启用了预共享密钥且它也泄露，需要双方同步替换。

操作前先确认服务端配置管理方式与当前 Peer 路由范围，防止持久化文件与运行态不一致。更新后按握手状态检查验证，不能只凭保存文件就宣布成功。