WireGuard配置中的“公钥”字段并非独立的加密协议组件，而是X25519椭圆曲线 Diffie-Hellman 密钥交换中用于身份验证和会话建立的公开标识。每个端点在初始化时生成一对非对称密钥，Fly私钥本地保密，公钥则写入配置文件供对端使用。该字段直接决定了数据传输通道的安全性与端点身份，是WireGuard点对点模型的核心要素。
两台设备之间建立安全的点对点连接，公钥用于验证彼此身份。
字段在配置中的具体职责
在客户端或服务端配置文件中，PublicKey 字段用于指定对等端的公钥。WireGuard基于对等端模型，没有严格的主从之分，因此无论是服务器还是客户端，都可以配置该字段以信任特定的对端。若配置了ListenPort，则表示该端点主动监听连接；若未配置，则仅作为被动响应方。两端公钥必须匹配，否则无法建立隧道。注意，UDP与TCP使用相同数字端口号并不构成同一监听端点，它们属于不同协议栈的独立端口资源。
公钥的生成与关联机制
公钥并非手动计算得出，而是通过wg genkey等工具生成私钥后，由系统自动推导产生。WireGuard使用X25519算法，私钥为32字节随机数，公钥则由其经椭圆曲线运算生成。生成命令wg pubkey可直接将私钥转换为公钥。该过程是纯数学运算，不涉及网络交互。每个端点拥有唯一的私钥/公钥对，密钥对之间不存在层级或父子关系，而是对等交换。若需更换身份，需重新生成密钥对并更新所有对端配置。
只读验证方法与结果解释
验证公钥配置是否生效，应使用只读命令wg show [interface]查看当前接口的对等端列表。输出结果中显示的公钥即为当前生效的PublicKey值。若配置文件中设置了公钥但wg show未显示对应端点，可能原因包括：对端未成功发起握手、防火墙阻断UDP流量、或公钥不匹配。此命令不修改任何状态，安全无副作用。特别注意，AllowedIPs字段虽影响路由选择，但不会改变公钥验证结果；即使配置了0.0.0.0/0，也不会自动吞没所有局域网路由，其实际行为受系统路由表策略制约。
常见配置误区澄清
一种误解认为公钥“越大越安全”或需定期轮换，实际上X25519公钥固定为32字节，安全性取决于算法强度而非长度。另一误区是混淆PersistentKeepalive与公钥的关系：该参数仅维持NAT映射，与密钥验证无关，且字段名确为单数形式。公钥一旦写入配置，仅在隧道建立时用于认证，日常数据加密使用会话密钥，公钥本身不直接参与加密过程。因此，公钥泄露不会导致历史数据被解密，但会使对端身份可被伪造，需及时吊销并更新配置。
