确认私钥位置与文件权限
WireGuard的私钥是配置文件中[Interface]段的PrivateKey字段。在Linux或macOS上，白鲸该配置通常位于/etc/wireguard/或~/Library/Application Support/wireguard/目录。首先检查文件权限，确保只有root或属主可读。若权限过宽，使用chmod 600命令收紧。这是备份前的必要安全步骤，防止密钥在明文状态下被非授权用户访问。确认文件路径及权限正常后，再进行下一步。
离线备份密钥文件
将配置文件复制至加密存储介质，如加密ZIP包或LUKS加密分区。不建议直接备份到未加密的云盘或明文中转文件。备份过程中避免使用邮件传输或即时通讯工具发送文件，这些渠道易被拦截或留存。若系统支持，可使用gpg命令对配置文件进行加密后再拷贝。操作时确认源文件完整性，可对比MD5或SHA256校验和，确保备份内容与原始文件一致。备份文件应标注创建日期，便于后续管理。
验证备份可用性与恢复流程
在隔离环境中测试备份恢复。新建一个测试目录，解密并放置备份的配置文件，检查PrivateKey字段是否存在且格式正确（Base64编码字符串）。不要直接在生产设备上运行恢复测试，以免覆盖现有配置。验证通过后，记录备份文件位置与访问凭据。恢复原设置时，将备份文件解密并覆盖原配置路径，重启wireguard服务使其生效。此过程应仅在密钥丢失或设备损坏时执行，平时无需频繁操作。
在确认文件权限后，将WireGuard配置写入加密介质以完成离线备份。
密钥轮换与旧密钥处理
若怀疑私钥泄露，应立即生成新密钥对，更新服务器与客户端的PublicKey，并修改WireGuard配置中的PrivateKey。旧密钥应安全删除，包括覆盖临时文件。注意，仅更换服务端密钥不会自动使旧客户端失效，白鲸加速器需同步更新所有对等端配置。操作前确保有现网备份，以便配置错误时可快速回滚。密钥轮换是安全策略的一部分，但不应频繁执行，以免增加配置出错风险。
