WireGuard公钥是加密通信的核心身份标识，丢失后无法直接复原，因此必须预先备份。公钥是静态的数学参数，与私钥配对生成，一旦丢失，对应的对等端连接将无法再建立新的会话，除非重新生成密钥对并更新所有关联配置。备份公钥并非备份整个配置文件，而是提取其中的关键身份字段。适用于任何部署WireGuard的系统，包括Linux、Windows或网络设备，操作本身不需要特殊权限，蓝鲸只需读取配置文件的权限即可。核心原则是：公钥应作为独立文件存储，与私钥物理隔离，且备份介质需保证长期可读。
将关键加密标识独立存储，与敏感信息物理隔离。
提取公钥文件
在大多数标准部署中，WireGuard的公钥通常以public_key或PublicIP等字段名存在于配置文件中，具体字段名取决于客户端或服务器端的实现规范。例如，在标准的WireGuard配置文件（如/etc/wireguard/wg0.conf）中，客户端配置块内会包含PublicKey字段。使用文本编辑器打开对应配置文件，定位到该字段，复制其值。该值为Base64编码字符串，长度固定为44字符。务必确认复制的是公钥而非私钥（PrivateKey），两者格式相似但用途完全不同。操作仅需读权限，不影响现有连接。
独立存储备份
将提取的公钥值写入独立的纯文本文件，例如命名为wg_public_key.txt。避免将公钥备份在包含完整WireGuard配置的目录中，因为完整配置包含私钥、IP地址等敏感信息，安全性更低且冗余。独立文件便于在不同设备间传输，也便于在需要时快速核对。存储位置应选择非易失性介质，如外部U盘、加密云存储或纸质打印件。不要依赖系统默认配置目录作为唯一备份点，因为系统重装或分区格式化会导致该目录丢失。此步骤不涉及网络操作，无连接中断风险。
验证备份完整性
备份完成后，应验证公钥的有效性。WireGuard公钥本身无独立校验算法，但可通过工具生成新密钥对并比对格式确认其合规性。例如，使用wg命令行工具执行wg pubkey <备份文件>，若工具返回“无效公钥”或哈希错误，则备份数据可能损坏。更可靠的方法是：在另一台设备上使用wg generatekey生成新私钥，再用wg pubkey从私钥推导公钥，检查其格式是否与备份的44字符Base64字符串一致。格式一致不代表内容正确，但能排除编码错误。此验证操作只读，不影响当前服务。
恢复场景说明
当配置丢失需重建连接时，公钥备份用于还原身份标识。在新一台客户端或重新部署的服务器上，创建新的WireGuard配置文件，将备份的公钥填入PublicKey字段。注意：公钥必须与对端（服务器端）已预存的公钥匹配，否则握手失败。恢复过程不恢复IP地址或路由规则，这些需另行配置。若私钥也丢失，仅备份公钥无法恢复原有会话，必须重新生成密钥对并通知所有对端更新其配置中的公钥。因此，公钥备份是配置恢复的必要条件，但非充分条件。恢复后需通过wg show查看对端信息，确认连接状态。
