不少运维人员和普通用户在排查WireGuard连接异常问题时，经常会把预共享密钥相关的故障和公钥不匹配、端口不通的问题混在一起，反复核对配置却找不到核心矛盾，反而浪费大量排错时间。这份WireGuard预共享密钥排查时应记录的信息清单，覆盖从密钥属性到运行状态的全维度必要内容，能帮使用者快速缩小故障范围，避免无意义的逐字段试错。
运维人员正在逐一核对WireGuard预共享密钥相关的核心参数，快速定位连接异常问题
预共享密钥本身的基础属性记录
首先要记录生成当前预共享密钥的原始环境信息，确认密钥是通过官方wg genkey命令直接生成，还是用其他批量密钥工具生成，生成后有没有经过手动修改字符的操作。很多用户排查故障到最后才发现，自己之前为了方便记忆手动调整了密钥里的个别字符，却没同步修改对端配置，导致两端密钥天生不一致，这类信息如果没有提前留痕，很容易被忽略。
其次要记录密钥和节点配对的绑定关系，WireGuard的预共享密钥是附加在原有公钥加密体系之上的额外加密层，不是用来替换公钥的，每一组peer连接的预共享密钥都是独立的，不能多个连接共用同一套。记录时要明确标注哪组公钥对应的对等节点，当前使用的预共享密钥字符串是什么，避免不同节点的密钥被搞混，排查时拿错密钥比对半天都对不上。
两端节点的配置上下文信息
要记录WireGuard服务端和客户端各自配置文件中，预共享密钥对应字段的原始行内容，注意排除注释行的干扰。很多新手排查时才发现，自己之前把PresharedKey字段的内容不小心写进了注释行，或者写错了字段大小写，导致配置压根没有被程序加载，这类低级错误如果没有提前抄录原始配置，反复核对都找不到问题所在。
要记录两端节点的操作系统和WireGuard具体版本号，不同平台的WireGuard实现对预共享密钥的校验逻辑存在细微差异，比如部分嵌入式路由器的第三方固件，对预共享密钥的字符编码有特殊要求，部分早期版本的用户态WireGuard实现，不支持部分特殊字符的密钥，这类信息如果排查时没有记录，很容易误判为密钥字符串本身出错。
还要记录两端节点的本地网络栈规则状态，确认iptables、nftables或者其他防火墙规则，有没有针对WireGuard的UDP端口做特殊处理。很多时候预共享密钥本身是完全匹配的，但防火墙拦截了携带预共享密钥扩展标识的握手包，表现出来的故障特征和密钥不匹配高度相似，梯子没有提前记录防火墙规则的话，很容易把故障点误判成密钥配置错误。
握手过程的日志与状态快照信息
要记录执行wg show命令输出的实时运行状态快照，输出内容里会直接显示对应peer的预共享密钥是否处于已加载状态，以及最近一次握手的时间戳。如果状态输出里对应peer的预共享密钥字段为空，说明新修改的配置没有被WireGuard服务加载，完全不需要去逐字符核对密钥字符串本身，直接重新加载配置即可。
要记录开启debug模式后抓取的内核或用户态日志里的握手报错内容，WireGuard的日志里如果出现MAC校验失败类的报错，大概率指向预共享密钥不匹配，而不是公钥错误或者端口不通。把这段原始日志留存下来，可以直接把故障范围缩小到密钥本身，不需要再去排查网络连通性的其他环节。
这里还要注意一个常见误区，很多用户排查时发现密钥相关报错，就直接删除旧密钥重新生成新的密钥覆盖配置，完全不记录旧密钥对应的日志特征，就算最后修复了连接，香蕉也不知道之前的故障点到底是手动配置写错，还是本地配置文件被非授权篡改，后续再遇到同类问题还是没法快速定位。
密钥变更的全链路操作留痕
要记录每次调整预共享密钥的操作时序，WireGuard要求两端的预共享密钥必须同步更新才能正常完成握手，如果先修改了一端的密钥，另一端还没来得及修改的时间段里出现的连接报错，不能直接判定为新密钥本身存在兼容性问题。没有记录操作时序的话，很容易把临时的两端不同步故障，误判成固件的功能bug。
还要记录预共享密钥的备份存储位置的校验信息，确认密钥有没有同步到其他备份节点、配置管理平台，后续排查时如果发现本地配置被篡改，可以快速比对备份的原始值，确认是不是密钥被非授权修改，也能明确密钥的隐私边界，一旦出现预共享密钥泄露的情况，可以快速确认密钥的扩散范围，及时完成全链路的密钥轮换。
