WireGuard 设备增删管理要同时处理当前运行接口与下次启动使用的配置。新设备应有独立密钥和地址；撤销设备时要从两处移除其公钥，再验证访问被拒绝，不能只看命令是否执行成功。

关键要点：

建立设备与公钥对应表，保留独立管理通道。

现有路由子网内的 peer 变更可采用改文件后 reload 的流程。

重启和恢复备份都不得让已撤销身份重新生效。

WireGuard 设备增删管理适用于什么环境？

本文限定 Ubuntu 24.04 LTS、发行版 WireGuard 工具和原生 wg-quick@wg0 systemd 服务，按所列官方文档整理，未进行完整端到端实测。下文写的是你应验证的预期现象，不是作者的实际测试结果。管理责任可先对照自建网络维护框架。

示例假定服务器为 10.77.0.1/24，现有设备为 10.77.0.2，新地址 10.77.0.3 尚未分配。请换成自己的无冲突子网。本文处理设备生命周期，不重复安装服务器或使用面板；不了解密钥与 peer 的关系时，先看WireGuard 如何识别连接双方。［1］

你需要 sudo 权限、经过验证且不依赖此隧道的控制台或 SSH 通道、维护窗口和受保护备份位置。按配置生成器的管理流程暂停其对该接口的写入。如果面板或其他管理员拥有配置文件，应停止本流程并采用其管理方式；两个写入者可能互相覆盖撤销操作。

步骤 1：对齐运行与保存的 peer 清单

使用不会输出私钥的查询字段：

sudo systemctl is-active wg-quick@wg0
sudo wg show wg0 peers
sudo wg show wg0 allowed-ips
sudo wg show wg0 latest-handshakes
sudo wg show wg0 transfer

在私密本地编辑器中，对照公钥与 /etc/wireguard/wg0.conf 的 [Peer] 段，登记设备负责人、公钥、分配地址、批准日期和有效或撤销状态。公钥是标识符，但对应表仍揭示私有基础设施，不应公开。不要把 wg showconf、wg show ... dump、完整配置或二维码贴进支持工单。［4］

本文采用文件管理模式：SaveConfig 必须缺省或为 false。设为 true 时，关闭接口会用运行态覆盖文件，可能抹掉你的修改。如果已启用，先对齐所有有意保留的运行变更与文件，做好受保护副本，再在任何关闭操作前从文件移除该设置。不要对已编辑的文件盲目执行 wg-quick save。［3］

通过独立控制台建立名称唯一、仅 root 可读的备份，例如：

sudo install -d -m 700 /root/wg-peer-backups
sudo test ! -e /root/wg-peer-backups/wg0.before-peer-change.conf
sudo install -m 600 /etc/wireguard/wg0.conf /root/wg-peer-backups/wg0.before-peer-change.conf

逐条执行，任一步失败即停止；后续操作必须另取备份名称。撤销记录要独立于历史备份保存。备份可能准确还原旧文件，却同时恢复后来已经禁止的访问。

步骤 2：为新设备分配独立身份与地址

在新设备本地，或可信客户端的密钥生成功能中创建密钥对。Linux 客户端可使用全新的私密目录，不覆盖已有身份：

(
  set -eu
  umask 077
  mkdir wg-new-device
  cd wg-new-device
  wg genkey > private.key
  wg pubkey < private.key > public.key
)

整段一起执行，子 shell 会在首次失败时停止。目录已存在时另选未使用的名称，不要复用该目录或删除已有身份来让命令通过。密钥生成失败后，不要分发或配置本次尝试留下的文件。

通过经过认证的通道，只把 public.key 交给管理员，私钥留在设备上，不复用现有笔记本的密钥。分配 10.77.0.3/32 前，核对地址登记表和运行态 allowed-ips。重复或重叠的 peer 地址范围即使语法有效，也可能把流量送错设备。［1］［4］

用 sudoedit 在现有服务器文件中追加以下 peer；大写占位符要换成完整的新设备公钥。保留接口和其他 peer：

[Peer]
# new-device
PublicKey = NEW_DEVICE_PUBLIC_KEY
AllowedIPs = 10.77.0.3/32

客户端填写自己的私钥、Address = 10.77.0.3/32、现有服务器公钥和 Endpoint，并只配置所需目标范围。服务器端与客户端的 AllowedIPs 角色不同，不能原样互抄。仅访问服务器子网的分流客户端可采用 10.77.0.0/24；已有全隧道则保留原路由、DNS、IPv6 和断线策略，本文不扩大覆盖范围。［2］

步骤 3：应用并检查 WireGuard peer 持久化

保存审阅后的文件，保持 root 所有、权限 0600，再重载正在运行的服务：

sudo systemctl reload wg-quick@wg0
sudo wg show wg0 peers
sudo wg show wg0 allowed-ips

Ubuntu 文档说明，reload 可增删 peer 而不重建现有隧道。它只更新 WireGuard 参数，不更新接口地址、系统路由、防火墙或 DNS 钩子。示例新增的 /32 位于服务器已有直连 /24 内；新增路由子网必须另行审阅路由变更，并可能需要维护性重启，不能把 reload 当作全网络重配置。［2］

从新设备向 10.77.0.1 上获准使用的服务发送请求，确认握手时间更新且服务响应；再从未修改的设备重复应用请求。握手只证明 peer 之间发生了加密通信，不能证明转发、域名解析、应用权限或所有协议均正常。

新设备始终不握手时，先按清单核对身份，再使用密钥配对排障方法。现有设备失效时，停止继续新增，检查此次改变的地址范围；只从保存文件删除错误的新条目，reload 运行中的服务后重测现有设备，不替换整组 peer。

步骤 4：WireGuard 撤销设备时要改哪两处？

根据对应表确认公钥，不根据设备最近漫游使用的公网地址判断身份。确认泄漏后，先立即从运行接口移除，再做较慢的调查：

sudo wg set wg0 peer REVOKED_DEVICE_PUBLIC_KEY remove

先替换占位符。随后从保存文件删除对应的整个 [Peer] 段，保存并 reload，确认 wg show wg0 peers 已不含该公钥。撤销记录写明公钥、日期、原因及受影响备份。只删除运行态会在下次启动时复活；只删除文件则在应用前仍保留当前访问。［4］

若可安全控制持有旧配置的授权测试设备，让它重新连接并请求仅隧道内可达的服务，预期不得得到新握手或受保护响应。同时用合法设备作正向对照。不能安全使用被撤销设备时，应明确该客户端负向测试未执行；服务器清单不含公钥只是配置证据，不能当作相同的测试结果。

异常流量需单独调查：在一段观察时间内对照 peer 归属、握手时间和传输计数变化。接口重建可能重置计数，它们不能识别具体自然人或应用。撤销已确认泄漏身份并验证拒绝后，再核对云厂商用量与账单；移除 peer 不会停止主机租用、快照、存储等资源计费。

步骤 5：重启和恢复后要验证什么？

先确认未受影响设备及独立控制台正常，再安排获授权的重启。启动后重新核对运行清单与客户端检查；接口不启动时应走启动生命周期排障，不要直接恢复不安全的旧文件。

检查方法	预期现象	失败处理
新设备发送获准流量	公钥存在、握手更新、服务响应	核对密钥、地址和应用路径
未改设备重复请求	既有访问继续有效	检查范围重叠并撤销窄范围新增
旧配置尝试新连接	公钥仍缺席，无新握手或受保护响应	停止验收，从所有写入者移除该身份
获授权重启后重测	新 peer 保留，撤销 peer 不复活	检查文件归属、生成器和启动错误
隔离恢复备份，启动前应用撤销记录	不恢复已撤销 peer	暴露实例前先修正恢复文件

单次请求失败不足以证明撤销成功：网络断开可能使所有设备都失败，所以正向对照要在同一检查窗口完成。记录时间、接口、公钥标识、动作和证据，不把秘密写进报告。

步骤 6：安全恢复误删设备

确属误删且仍可信的设备，只恢复其经过审阅的 peer 段和地址，reload 后重做正向检查。已泄漏密钥不能为方便恢复而重新启用，应生成新身份并废弃旧配置。必须整体回退时，恢复受保护文件，重新应用之后所有撤销记录，核对权限，再按状态 reload 或 start。

清理时不要覆盖唯一备份或删除撤销记录。按访问与保留策略保存备份；一次性测试身份用完后从运行态和文件同时移除，并验证删除。换主机还需要决定 Endpoint 与身份如何切换，把对齐后的清单带入单客户端迁移流程。

若长期任务只是维护日常上网设备，可先比较 VPS 与托管 VPN 的维护责任，再决定是否继续增加运维工作。改变方案不会撤销现有密钥，也不会自动取消旧服务器费用。

总结

把文件与运行接口当作两项独立验收目标。
每台设备使用独立身份和无冲突地址。
撤销决定必须跨重启、回退和备份恢复持续生效。

常见问题

改文件会立即撤销 peer 吗？

仅编辑文件不会改变运行接口。移除运行 peer 或重载审阅后的配置，再分别验证拒绝访问与持久化。

新增子网后 reload 足够吗？

reload 修改 peer 参数，但不会创建系统路由。新增子网应另行审阅路由，并安排必要的网络变更。

所有设备能共用同一私钥吗？

每台设备应使用独立密钥对，才能明确归属并定向撤销。共享身份会让选择性移除失去可靠性。

旧握手时间能证明撤销吗？

旧时间也可能意味着设备空闲或离线。应检查公钥缺席，并结合授权负向连接测试及正向对照。

能恢复泄漏前的备份吗？

可使用其中可信配置，但必须先删除后来撤销的身份。旧备份并不知道之后做出的访问控制决定。

换公钥会停止服务器计费吗？

更换 peer 密钥只改变授权，不改变云资源。完成访问保护后，仍需分别核对计算、存储、快照和流量费用。

管理连接断开怎么办？

通过预先验证的独立控制台检查并恢复此次窄范围变更。不要继续依赖唯一且已经故障的隧道远程修改。

来源:

WireGuard — Quick Start — https://www.wireguard.com/quickstart/
Ubuntu — Common tasks in WireGuard VPN — https://ubuntu.com/server/docs/how-to/wireguard-vpn/common-tasks/
Ubuntu Noble — wg-quick(8) — https://manpages.ubuntu.com/manpages/noble/man8/wg-quick.8.html
Ubuntu Noble — wg(8) — https://manpages.ubuntu.com/manpages/noble/man8/wg.8.html

Sources checked 2026 年 10 月 11 日。

延伸阅读:

WireGuard 设备增删管理：热更新、持久化与密钥撤销