PSK 在 WireGuard 中的核心作用
WireGuard 的预共享密钥（Pre-Shared Key，简称 PSK）主要用于在标准密钥交换之外，额外增加一层静态对称加密。它并不替代基于公钥的非对称握手机制，而是作为共享的“秘密因子”参与密钥派生过程。当两端都配置了相同的 PSK 时，VPN加速器协议在建立数据通道前会利用这个额外因子进行强化认证。这种机制能有效防御针对原始密钥交换的主动中间人攻击，因为攻击者即使能窃听或干扰流量，若无该静态密钥，也无法伪造出合法的数据包。
配置字段与适用场景解析
在 WireGuard 配置文件中，PSK 对应的是 PresharedKey 字段，通常是一个 32 字节的安全随机数，以 Base64 或十六进制格式编码。该字段属于可选配置，并非建立连接的必要条件。它适用于对通信双方身份有额外信任需求、或希望简化某些极端环境下密钥刷新逻辑的场景。需要注意的是，PSK 是静态的，不会像握手密钥那样定期轮换，因此其安全性依赖于密钥本身不被泄露。若密钥已暴露，必须手动更新两端配置，协议本身不会自动检测失效的 PSK。
从职责划分看，PSK 仅参与数据面的加密强度提升，不直接参与对等端点的动态发现或路由选择。它不改变 WireGuard 基于 UDP 的传输特性，也不影响 AllowedIPs 所定义的流量匹配规则。因此，配置 PSK 不会让某个特定的 IP 段变得可达或不可达，那完全由路由和防火墙策略决定。
在远程办公环境中，预共享密钥为通信双方提供了一层静态且稳定的额外加密保护。
与常见配置字段的关联逻辑
理解 PSK 时，需将其与 PersistentKeepalive 区分开。后者是单数字段，指定期每多少秒向对端发送一个空包以保持 NAT 映射活跃，它属于连接维护策略，与加密强度无关。PSK 则纯粹作用于密钥派生层。两者可以共存，但解决的是不同层面的问题：一个是保持链路“活着”，一个是增强链路“安全”。此外，PSK 的存在不影响 ListenPort 的设置。在 WireGuard 的对等端模型中，客户端和服务器端都可以配置监听端口，而 PSK 仅作为双方的共享秘密，与端口号或协议类型（UDP）没有直接的逻辑绑定关系。
验证配置一致性的只读方法
若要确认两端 PSK 配置是否一致，最可靠的只读方法是比对配置文件中的 PresharedKey 值是否完全相同。由于该字段是静态字符串，任何字符差异都会导致密钥派生结果不一致，从而引发握手失败。在 Linux 系统上，可以通过读取配置文件中该字段的哈希值来快速判断两端是否配置了相同的密钥，而无需实际发起连接测试。这种方法无副作用，不会触发任何网络流量或修改系统状态。
需要注意的是，如果 PSK 配置错误或缺失，WireGuard 通常不会给出明确的“PSK 不匹配”错误日志，而是表现为握手静默失败或连接无法建立。因此，在排查连接问题时，若已排除网络可达性和 AllowedIPs 配置问题，SurfsharkVPN应优先检查两端 PresharedKey 字段的逐字节一致性。
