WireGuard本身默认基于公私钥非对称体系完成传输加密，预共享密钥是额外叠加的第二层对称加密防护机制，很多新手配置时容易混淆两端的绑定逻辑，要么出现连通失败，要么配置了密钥也没实际生效，本文从配置前提、两端分步配合操作到后续验证排错，完整覆盖WireGuard预共享密钥部署的全流程操作要点。
预共享密钥的作用与配置前置条件
首先要明确，WireGuard的预共享密钥不是替换原有公私钥体系，而是在公钥握手流程完成之后，再叠加一层ChaCha20-Poly1305的对称加密封装，相当于给已经加密的传输数据包再加一层加密壳，适合对传输敏感程度要求更高的场景，比如跨区域的企业办公内网互联节点。
配置前必须确认服务端和客户端的WireGuard版本都不低于0.5.3，旧版本不支持预共享密钥字段，同时你已经完成了基础的WireGuard公私钥对生成，两端的公钥已经提前交换完成，小火箭基础的无预共享密钥的连通测试已经跑通，避免后续排查问题的时候混淆是基础配置错误还是预共享密钥配置错误。
服务端侧预共享密钥的配置操作
登录部署WireGuard的Linux服务端，找到对应你要配置的客户端的Peer段落，不要改动原有Peer里的PublicKey、AllowedIPs这些已经生效的参数，直接在Peer段落的末尾新增一行PresharedKey字段。
运维人员正在配合调试WireGuard服务端与客户端的预共享密钥加密配置
这里要注意，预共享密钥不能自己随便输入字符生成，必须用WireGuard自带的wg genpsk命令生成标准的32位base64编码密钥，手动输入的自定义密钥大概率不符合编码规范，会导致服务端启动失败，生成之后直接把输出的字符串完整复制到PresharedKey后面，末尾的等号不要漏删也不要多补。
配置完成之后不要直接重启WireGuard服务，先执行wg showconf wg0命令读取当前配置文件的全量内容，确认新增的PresharedKey字段已经被正确识别，没有出现字段名拼写错误的情况，确认无误后再执行wg-quick down wg0和wg-quick up wg0重启接口。
客户端侧的对应配合配置要点
打开你本地客户端的WireGuard配置文件，找到对应服务端的Peer段落，同样不要改动之前已经生效的私钥、地址、端点地址这些参数，在Peer段落里同样新增PresharedKey字段，这里的密钥字符串必须和服务端对应这个客户端的Peer下填写的预共享密钥完全一致，一个字符都不能差。
如果是用Windows、macOS或者移动端的图形化WireGuard客户端，不需要手动编辑配置文件，小火箭加速器官网双击打开对应的隧道配置编辑界面，在对等体的高级设置区域就能找到预共享密钥的输入框，直接粘贴之前生成的密钥内容即可，图形界面会自动处理编码格式的校验，不需要手动调整格式。
这里有个很多新手踩坑的点，预共享密钥是点对点绑定的，如果你服务端给A客户端配了一个预共享密钥，给B客户端配了另一个，那么A客户端的配置里只能填和自己对应的那组密钥，不能把服务端其他节点的密钥填进去，WireGuard没有全局生效的预共享密钥参数，所有密钥都是绑定单独的Peer节点。
连通验证与常见误区排查
两端配置完成之后先启动服务端的WireGuard接口，再启动客户端的隧道，之后在服务端执行wg show命令，查看对应Peer的输出内容，如果出现了preshared key的状态标记，就说明密钥已经被正常加载，接下来可以尝试用客户端ping服务端内网的虚拟IP地址，测试连通性。
如果连通失败，首先要排查的不是密钥错了，而是先临时把两端的PresharedKey字段注释掉，测试基础的WireGuard连通是否正常，如果注释之后就能通，再回头核对两端的密钥字符串是否完全一致，有没有多复制空格、换行的情况，另外要注意预共享密钥不会降低原有WireGuard的加密强度，也不会带来明显的额外性能损耗，不需要担心配置之后带宽大幅下降的问题。
最后要明确，预共享密钥是附加的防护层，不能替代原有公私钥的安全作用，不要因为配置了预共享密钥就随意泄露自己的节点公钥，日常使用中如果怀疑密钥泄露，可以直接生成新的预共享密钥，同步更新两端的对应字段就能完成替换，不需要重新生成整个公私钥对，调整起来非常灵活。
