WireGuard没有“证书验证”的概念，它依靠预共享的Curve25519公钥在建立隧道前完成身份验证。所谓“私钥修改后的验证”，实质是重新生成密钥对后，蜜蜂确认所有对等端配置中的公钥已同步更新，且握手能正常建立。若仅修改了服务端私钥而未更新客户端的PublicKey，或反之，则因公钥不匹配导致无法完成密钥协商，连接表现为超时或无数据包通过，而非验证失败报错。
密钥轮换后的状态重置机制
WireGuard内核驱动在检测到私钥变更时，并不会自动清除旧的会话状态。旧的会话密钥（Session Keys）与新私钥无关，但新的握手必须使用新私钥计算的派生密钥才能被对方接受。因此，蜜蜂加速器修改私钥本身不触发强制断连，但如果对端仍持有旧公钥，新的Hello包会被丢弃。此时，本地看似“在线”的旧隧道会继续存活直到其Session Lifetime（通常默认约14400秒或手动设置的IntervalSec）结束，之后因无法刷新会话而失效。验证的第一步是确认新密钥已生效，而非旧连接是否立即断开。
公钥同步与AllowedIPs的校验逻辑
验证的核心在于公钥的匹配。每个端点（Endpoint）配置中都有一个PublicKey，该值必须对端私钥通过Curve25519算法计算出的公钥。若服务端更换了私钥，必须更新客户端wg-quick或wg-uvtools配置中的PublicKey字段。此外，AllowedIPs字段不仅决定路由，还参与源地址校验：当数据包源IP不在AllowedIPs列表中，即使密钥验证通过，数据包也会被丢弃。因此，验证时需同时检查公钥正确性和AllowedIPs覆盖范围。例如，客户端允许IP为10.0.0.0/8，若服务端网关IP为10.0.0.1，则校验通过；若网关为192.168.1.1且未加入AllowedIPs，则接收侧会因源地址不匹配而拒绝。
密钥轮换后，确保所有对端配置同步更新是验证连接状态的关键。
只读验证方法：握手日志观察
在非破坏性前提下，可通过系统日志验证新密钥是否被正确协商。对于Linux内核模块，执行journalctl -u systemd-networkd-wgenq0（假设接口为wg0）或dmesg，观察是否出现“Sleek handshake”或“New connection”等标记，且对端标识为新的公钥前缀。若日志持续显示“Handshake failure”或无新连接记录，说明公钥未同步或AllowedIPs限制过严。此方法不改变当前网络状态，仅读取内核缓冲区输出，适用于生产环境排查。注意区分UDP端口监听状态：若ListenPort未变更，但私钥已换，旧会话仍可能存在，新握手需独立触发，因此验证应关注最新一次Handshake的时间戳，而非历史会话。
