准备阶段：权限与配置备份
配置WireGuard公钥前，需确认操作环境。Linux服务器通常需root或sudo权限，Windows客户端需管理员权限运行PowerShell或配置应用。首要步骤是备份现有配置，例如复制/etc/wireguard/configs下的文件至安全目录。这能在修改错误时快速恢复，飞鱼VPN避免网络中断导致无法远程修复。
生成与交换密钥对
密钥生成依赖wireguard-tools工具集，适用于Linux、macOS及主要移动系统。执行wg genkey命令生成私钥，飞鱼VPN随即运行wg pubkey将私钥转换为公钥。公钥是暴露给对端的安全标识，私钥必须严格保密。若使用官方客户端或第三方应用，这些步骤通常由界面自动完成，用户只需保存生成的公钥文本以便交换。
配置文件中的字段细节
在[Peer]段落下，PublicKey字段填入对端提供的公钥。注意区分UDP监听端口与TCP服务，WireGuard仅使用UDP，配置ListenPort时填的是UDP端口号。AllowedIPs字段同时决定路由目的地和接收源校验，例如配置0.0.0.0/0会引导大部分流量进入隧道，但不会自动覆盖局域网管理网段。若需保留内网访问，必须单独添加局域网网段的AllowedIPs条目，否则该网段通信会失败。
验证连接状态
配置完成后，使用wg show命令查看对端状态，确认public key匹配且handshake成功。若使用持久化保活，注意字段名是PersistentKeepalive，值为秒数。检查路由表确认新增的VPN网段指向WireGuard接口。对于NAT环境，若长时间无流量，飞鱼官网下载需依赖客户端定期发送keepalive包维持映射，否则对端将无法主动发起连接。
严谨的密钥交换与配置备份是构建安全 WireGuard 隧道的基础。
