WireGuard公钥是非对称加密架构下VPN链路身份校验的核心载体，和传统VPN常用的预共享密钥不同，它不需要两端提前约定相同的校验字符串，而是通过公私钥的数学对应关系完成身份鉴权，大幅降低密钥泄露的风险。很多新手配置WireGuard时容易混淆公私钥的分发逻辑，导致隧道始终无法握手连通，本文以家用OpenWrt路由搭配云服务器的通用场景，给出完整的WireGuard公钥：配置示例说明，覆盖从生成、录入到验证的全流程操作。
家用路由搭配云服务器进行WireGuard公钥配置的实操场景
WireGuard公钥配置的前置准备与原理说明
WireGuard的加密体系中，每个独立节点都会生成一对专属的非对称密钥，其中私钥由节点本地留存，绝对不能向任何第三方泄露，公钥则是可以公开分发的身份凭证，任意拿到公钥的节点都可以通过加密校验确认对端的合法身份。整个鉴权过程不需要传输私钥内容，从机制上避免了密钥在传输环节泄露的可能。
本次实战的场景没有使用特殊定制的硬件或软件，服务端选用普通云服务商提供的轻量云主机，客户端是刷入官方OpenWrt固件的家用主路由，海鸥加速器全程使用WireGuard官方自带的密钥生成工具，不需要额外安装第三方加密组件，所有操作都可以通过系统自带的终端或Web管理后台完成。
服务端WireGuard公钥生成与配置录入步骤
登录云服务器的SSH管理终端，直接执行wg genkey | tee server_private.key | wg pubkey > server_public.key命令，系统会自动生成服务端的私钥文件和对应的公钥文件，海鸥加速器生成完成后执行chmod 600两个密钥文件的路径，限制其他系统用户读取密钥内容，避免本地侧的密钥泄露。
打开WireGuard的服务端配置文件，在[Interface]区域的PrivateKey参数中，海鸥粘贴刚才生成的服务端私钥内容，随后在代表客户端授权的[Peer]区域，找到PublicKey参数栏，这里需要预留位置后续填入客户端的公钥，注意服务端自己的公钥不需要填在自身的配置文件里，只需要同步给客户端即可。
配置完成后执行wg-quick up wg0启动WireGuard服务，随后输入wg show命令查看运行状态，此时可以看到服务端自身的公钥已经被系统正常加载，Peer区域的公钥栏目前还是空白，处于等待客户端接入的状态。
客户端OpenWrt侧的公钥配置与双向校验
登录OpenWrt的Web管理后台，进入接口列表找到新增的WireGuard接口，在配置页面点击生成密钥对按钮，系统会自动生成客户端专属的私钥和公钥，把生成的客户端公钥完整复制出来，粘贴到刚才云服务器服务端配置文件的Peer段PublicKey参数位置，保存后重启服务端的WireGuard服务。
回到OpenWrt的WireGuard客户端配置页面，找到对端对等体的配置项，把之前云服务器生成的服务端公钥准确粘贴到PublicKey参数栏，同时补充填写服务端的公网IP地址和WireGuard监听端口，确认防火墙已经放开两端的WireGuard端口访问权限。
保存客户端配置后启动WireGuard接口，等待几秒后再次登录云服务器执行wg show命令，此时页面会显示最新的握手时间、上下行流量统计条目，说明双向的WireGuard公钥校验已经全部通过，加密隧道成功建立。
公钥配置常见误区与故障定位方法
新手最容易遇到的配置错误是把自身的公钥填到本地配置的PrivateKey参数栏，或是把对端的私钥填入公钥参数位置，这种情况下WireGuard启动时会直接抛出密钥格式错误的提示，根本无法正常加载配置文件，只需要对照参数定义调整对应内容即可解决。
还有一类隐性故障是两端公钥字符看起来完全一致，但始终没有握手记录，这时候首先要排查公钥是否填反：服务端Peer段录入的必须是客户端的公钥，客户端对等体配置里录入的必须是服务端的公钥，任意一端填错都会导致身份校验完全失败，不会留下握手日志。
需要注意的是WireGuard公钥只是链路身份校验的核心凭证，它本身不代表网络绝对匿名，也不会直接提升公网访问速度，配置过程中只要严格遵守私钥本地留存、公钥公开分发的原则，就能搭建出符合预期的加密隧道。
