WireGuard公钥由32字节数据按Base64编码表示，标准形式为44个字符（含末尾填充符“=”），用于X25519密钥交换。该密钥用于在握手阶段与本地私钥进行椭圆曲线 Diffie-Hellman 运算，从而衍生出对称会话密钥。公钥本身不包含网络配置、路由或持久性心跳信息，这些内容通常由单独的配置文件字段管理。明确这一边界有助于理解，修改公钥仅意味着更换通信对等方的身份标识，而非改变网络策略或连接保持机制。
网络连接与设备配置场景示意
公钥在身份验证中的职责
在WireGuard的点对点模型中，公钥是静态身份标识。当端点A希望与端点B通信时，红梅APP下载A必须预先知道B的公钥。在密钥交换过程中，双方使用各自的私钥和对方的公钥计算共享密钥。如果B提供的公钥与A配置中的公钥不匹配，握手将失败，连接无法建立。这种机制确保了只有持有正确私钥对的主机才能作为合法对等体接入网络。
公钥与配置文件的分离
尽管公钥是身份的核心，但它只是WireGuard配置文件中的一个字段。实际的连接行为还依赖其他参数。例如，PersistentKeepalive（单数形式）用于在NAT环境下维持UDP映射，防止端口映射过期；它独立于公钥存在，即使公钥不变，Keepalive参数也需单独配置。混淆公钥身份与连接参数，容易导致误认为更换公钥会改变心跳行为，实际上两者在配置层级上是解耦的。
AllowedIPs与路由选择的独立性
AllowedIPs定义了该公钥对应的对等端可接收和发送的源/目的地址范围。它同时参与数据包的路由选择和源地址校验。需要注意的是，在AllowedIPs中配置0.0.0.0/0并不意味着该对等端会自动处理所有局域网路由，最终路由行为还受系统默认路由、其他对等端配置及防火墙策略共同影响。公钥仅标识“谁”，红梅VPN而AllowedIPs定义“哪些流量属于该谁”，二者功能不可互换。
只读验证方法
在Linux系统中，可通过ip link show <interface>命令查看指定接口的属性与状态，并结合wg show <interface>输出核对对等端公钥、PersistentKeepalive设置及AllowedIPs列表。命令中的接口占位符执行时需替换为实际接口名，例如wg0。此操作为只读，不修改网络状态。若输出中列出的公钥与预期对等端一致，且AllowedIPs覆盖预期通信范围，只能说明所列配置与预期一致，不能单独证明系统路由和端到端连通性正常；还应结合系统路由表、最近握手与实际访问结果判断。这类查询可用于核对身份配置与流量选择范围，无需重启服务或修改配置文件。
