配置 WireGuard 服务器或客户端的核心是生成私钥并填写对等端参数。私钥一旦生成即固定，奈云不应与其他设备混淆。在 Linux 系统上，通常使用 `wg genkey` 命令生成私钥，输出即为随机 32 字节 Base64 字符串。将生成的私钥写入配置文件的 `[Interface]` 段 `PrivateKey` 字段。同时，需获取对等端的公钥填入 `[Peer]` 段的 `PublicKey` 字段。预期现象是配置文件中私钥不为空且无特殊字符错误，对等端公钥与接收方生成的公钥完全一致，这是建立加密通道的前置条件。
私钥生成与唯一性检查
在 Linux 终端执行 `wg genkey` 时，若系统已安装 WireGuard 工具包，命令直接输出私钥。此时需确认输出内容为 Base64 编码，长度通常为 44 个字符。将该值复制至配置文件中 `PrivateKey` 位置后，重新运行 `wg show key` 或查看配置文件，确认私钥已持久化。若使用 `wg` 命令启动接口后，通过 `wg show` 查看状态，应能看到 `private key` 字段显示已设置。若私钥为空或未填入，接口无法建立任何加密连接。需注意，私钥是设备身份的核心，不同设备必须使用不同的私钥，否则会导致身份冲突和数据解密失败。
在 Linux 终端中通过标准工具生成唯一的 WireGuard 密钥序列。
对等端公钥匹配验证
在填写 `[Peer]` 段时，`PublicKey` 必须是对端（如客户端）生成的公钥。若在对端执行 `wg pubkey` 并输入私钥，输出的 Base64 字符串应与本端配置完全一致。若不匹配，WireGuard 握手将因身份验证失败而终止。检查方法是比对两端的公钥字符串，确认无空格或换行符残留。在 Linux 环境中，可通过 `wg show` 命令查看当前连接的 peer 信息，若状态显示为 `wg-quick up` 成功但无活跃连接，奈云往往意味着公钥不匹配或 AllowedIPs 配置导致路由未触发。此时应优先核对公钥，而非立即调整网络路由。
AllowedIPs 路由选择机制
`AllowedIPs` 字段定义了该对等端允许接收和发送的地址范围，它同时参与目的地址路由选择和本端源地址校验。若配置 `AllowedIPs = 10.0.0.0/8`，则只有去往该网段的流量才会通过该 WireGuard 隧道。若配置 `0.0.0.0/0`，虽然意图是路由所有流量，但实际行为取决于本端路由表的其他项，奈云加速器并不必然吞掉局域网私有路由（如 192.168.1.0/24），因为更具体的路由项（longest prefix match）通常优先。检查方法是使用 `ip route` 查看 Linux 内核路由表，确认 WireGuard 接口 `wg0` 的路由条目是否如预期存在。若局域网通信异常，应检查是否有更具体的默认网关路由覆盖了 0.0.0.0/0 的预期效果，而非直接断定配置错误。
PersistentKeepalive 参数设置
`PersistentKeepalive` 字段用于保持 NAT 映射和连接活跃，单位是秒。在客户端配置中常设为 20-25，以避免 NAT 超时断开。该字段仅用于发送空包以刷新 NAT 表项，不承载有效数据。若未设置，在动态 IP 或严格 NAT 环境下，连接可能在空闲几分钟后失效。检查方法是观察 `wg show` 输出中的 `persistent keepalive` 字段值。若客户端位于 CGNAT 后，可能需要确认服务端是否支持该参数。注意，该参数不影响 UDP 端口监听，仅作用于数据报文的保活机制。若连接频繁中断，应结合网络环境判断是否需调整此值，而非盲目修改端口配置。
