wg showconf 怎么导出正在运行的 WireGuard 配置

如果 WireGuard 接口已经在运行，最直接的导出命令是 wg showconf wg0。它读取内核或 userspace 实现中当前接口的 WireGuard 专属配置，并按配置文件格式输出；把输出重定向到文件即可形成一份运行态配置片段。需要注意的是，这份内容不是完整的网络恢复备份：Address、路由、DNS 和 wg-quick 的钩子并不由 showconf 负责。

官方地址：https://www.wireguard.com/quickstart/

结论：查看运行态配置用 wg showconf 接口名；要保存时使用受限权限的临时文件并原子替换；不要把导出结果直接当成包含网络地址、路由和 DNS 的完整备份。

showconf 读取的是哪里

wg-quick 配置文件是启动输入，接口启动后，WireGuard 设备还会有当前的监听端口、私钥、peer 公钥、预共享密钥、AllowedIPs、Endpoint 和持久保活等专属状态。wg showconf 面向后者：参数必须是一个正在存在的 WireGuard 接口，例如 wg0，输出格式可以继续交给 wg setconf 使用。

因此，show 与 showconf 的用途不同。前者更适合查看握手时间、收发流量等运行信息，后者更适合导出配置字段。两者都不会替你补上普通 Linux 网络层的地址和路由。

用一条命令导出运行态配置

先确认接口名称，再把指定接口交给 showconf。下面的命令只导出 WireGuard 专属配置，不读取其它接口，也不会把多个接口混在同一份结果里。

# 先列出当前存在的 WireGuard 接口，避免把普通网卡名传给 wg
sudo wg show interfaces

# 读取 wg0 的运行态配置，输出为可被 wg setconf 理解的格式
sudo wg showconf wg0

典型输出会包含 [Interface] 段，以及一个或多个 [Peer] 段。接口段通常对应私钥和监听端口，peer 段对应公钥、AllowedIPs、Endpoint 和 PersistentKeepalive 等字段。真实密钥不会在文章示例中展开；在生产环境里应把终端输出和导出文件都视为敏感材料。

如果只想把结果写到标准输出供后续程序处理，可以继续使用管道；如果要落盘，建议使用下一节的受限权限写法，而不是先写到公共目录再修改权限。

保存时处理好密钥与原子替换

运行态配置可能包含私钥和 peer 的预共享密钥。保存时要同时解决两个问题：创建文件时就使用较小的权限窗口，以及写入中断时不覆盖原来的可用文件。一个简单的 shell 写法如下：

# 让新建文件默认只对当前用户可读写，避免先创建宽权限文件
umask 077

# 先写临时文件，成功后再替换目标文件，避免留下半份配置
sudo sh -c 'wg showconf wg0 > /etc/wireguard/wg0.runtime.conf.tmp && \
  chmod 600 /etc/wireguard/wg0.runtime.conf.tmp && \
  mv /etc/wireguard/wg0.runtime.conf.tmp /etc/wireguard/wg0.runtime.conf'

这里的 mv 只负责文件名替换，不代表网络接口已经被重新配置。若命令中途失败，应检查临时文件是否残留，再决定是否清理；不要把失败的临时文件当作可恢复备份。

为什么导出文件不能直接等同于完整备份

wg showconf 的输出适合描述 WireGuard 设备本身，但 wg-quick 配置还可能包含 Address、DNS、Table、PreUp、PostUp、PreDown 和 PostDown。这些字段由 wg-quick 负责处理，并不属于 wg 的核心配置文件格式。

如果目标只是把同一份 WireGuard 专属配置加载到一个已经创建的接口，可以考虑：

# 只把 WireGuard 专属字段加载到已存在的 wg0，不处理 IP 地址和路由
sudo wg setconf wg0 /etc/wireguard/wg0.runtime.conf

如果目标是完整恢复一条隧道，则还要单独保存并审阅地址、路由、DNS 和钩子脚本。不要因为 showconf 输出看起来像一个完整的 .conf 文件，就跳过这一步。尤其要防止把包含私钥的运行态导出文件提交到代码仓库、日志系统或不受控的共享目录。

常见误区与快速判断

• 接口不存在：wg showconf wg0 只接受当前存在的 WireGuard 接口，先用 wg show interfaces 确认名称。
• 想看握手和流量：改用 wg show wg0；showconf 重点是配置字段，不是运行统计。
• 想恢复完整网络：同时保留 wg-quick 层的地址、路由、DNS 和钩子，并单独审查脚本内容。
• 想做密钥备份：设置 umask 077、文件权限 600 和受控存储，导出文件不要出现在普通日志里。

相关问题

wg showconf 会输出当前握手时间吗？
不会。握手时间、接收和发送字节等运行统计属于 wg show 的展示范围，不是配置文件字段。

showconf 的结果能直接给 wg-quick up 使用吗？
不能默认这样理解。它缺少可能由 wg-quick 处理的地址、DNS、路由和钩子；完整恢复前应补齐并审阅这些内容。

为什么导出时要用临时文件？
因为导出过程被中断时，直接覆盖目标文件可能留下半份配置。临时文件成功写完后再替换，可以缩小这个风险。