WireGuard の鍵生成にはどのような暗号化プリミティブが使用されますか？

WireGuard は鍵交換に Curve25519 (ECDH)、対称暗号化に ChaCha20、メッセージ認証に Poly1305、ハッシュ関数に BLAKE2s を採用しています。すべての鍵は 32 バイトの Base64 文字列としてエンコードされます。

WireGuard のピア設定で事前共有鍵（PSK）の利用が推奨されるのはなぜですか？

PSK は Curve25519 ディフィー・ヘルマン鍵交換に対称型 256 ビット暗号レイヤーを追加します。将来万が一量子コンピュータによって楕円曲線暗号が破られた場合でも、暗号通信の傍受・復号を阻止できます。

複数の WireGuard クライアントで同じ鍵ペアを共有できますか？

いいえ。WireGuard は公開鍵とトンネル IP アドレスを一対一で紐付ける Cryptokey Routing を行うため、同一の鍵ペアを複数端末で使い回すとルーティング競合や切断が発生します。

サーバー側とクライアント側で [Peer] の AllowedIPs の役割はどう異なりますか？

サーバー側の [Peer] では、そのクライアントに割り当てた単一の仮想 IP（例: 10.0.0.2/32）を指定します。一方クライアント側の [Peer] では、トンネルを経由させたい宛先範囲（全通信なら 0.0.0.0/0、スプリットトンネルなら特定サブネット）を指定します。

Linux の wg-quick 環境で生成したピア設定を安全に適用するには？

設定を /etc/wireguard/wg0.conf に追記するか、またはインターフェースを再起動せずに 'wg set wg0 peer allowed-ips /32' コマンドを実行して動的にピアを追加・更新します。

WireGuard & Curve25519 Cryptographic Suite

WireGuard 鍵ペア＆ピア設定生成ツール開発者ガイド

WireGuard の Curve25519 公開鍵・秘密鍵ペア、事前共有鍵 (PSK)、およびクライアント／サーバー用ピア設定ブロックをブラウザ内で安全に生成します。

100% Client-Side Privacy

Curve25519 ↔ wg0.conf & wg-client.conf

プリセット:

Interface Parameters & Cryptographic Handshake Options

UDP 51820•2 Peers

サーバー公開エンドポイント:Host:Port

トンネルサブネット:IPv4 / IPv6

DNS サーバー:

Port / MTU:

PersistentKeepalive (キープアライブ):NAT keep

事前共有鍵 (PSK) を有効化(Post-quantum protection)すべての通信をトンネル経由にする (0.0.0.0/0)

Configured Peers:

Work Laptop(10.8.0.2/32)

iPhone Roaming(10.8.0.3/32)

ピア定義と鍵入力2 Peers

# =========================================================
# WireGuard Interface & Peer Specification
# Edit values or paste any wg0.conf / private keys directly
# =========================================================

[Interface]
Endpoint = vpn.example.com:51820
Address = 10.8.0.1/24, fd86:ea04:1115::1/64
ListenPort = 51820
DNS = 1.1.1.1, 8.8.8.8
MTU = 1420
PrivateKey = mHxcACu4zImB0UuFszaEIVOb9pRnljdZScGs9p/dvHU=

# Peer 1: Work Laptop
[Peer]
Name = Work Laptop
Address = 10.8.0.2/32, fd86:ea04:1115::2/128
AllowedIPs = 0.0.0.0/0, ::/0
PrivateKey = qIOQti92akyvcSrNxKmDGmOTOqZpyCNpIiRCU1AqIFI=
PublicKey = V80h58T7VE6cbLW86qrFoiRxlDZQIMZhdc2grNQewyI=
PresharedKey = WYf+0IeaWwZX2zdozh+ujBc32PJ2NCPhB7vG1OmlluE=
PersistentKeepalive = 25

# Peer 2: iPhone Roaming
[Peer]
Name = iPhone Roaming
Address = 10.8.0.3/32, fd86:ea04:1115::3/128
AllowedIPs = 0.0.0.0/0, ::/0
PrivateKey = aIfQY3qEwSkAR1NW25xYQxeI1cOLjG/MhMKAnGguz3c=
PublicKey = sW/6WQQ/j0Zbusb4X6j29MNKlWDhLwgd9ZoAQ8eqEnc=
PresharedKey = 93TmEi2egkD+YddRP9ChGsU5C5U6c57vuQWpRg62rvE=
PersistentKeepalive = 25

33 lines1076 chars1076 B

Curve25519 Base64Sync Active

Peer:

# =========================================================
# WireGuard Client Configuration for: Work Laptop
# Save to /etc/wireguard/wg0-client.conf or import into app
# =========================================================

[Interface]
PrivateKey = qIOQti92akyvcSrNxKmDGmOTOqZpyCNpIiRCU1AqIFI=
Address = 10.8.0.2/32, fd86:ea04:1115::2/128
DNS = 1.1.1.1, 8.8.8.8
MTU = 1420

[Peer]
PublicKey = WkT9aMOtAuXEg5bG2/PvXSNJ90Fcf4UejCPG7Fmfs2U=
PresharedKey = WYf+0IeaWwZX2zdozh+ujBc32PJ2NCPhB7vG1OmlluE=
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

18 lines592 chars592 B

wg-client.confWireGuard v1

有効なピア

2 Client Peers

10.8.0.1/24, fd86:ea04:1115::1/64

Curve25519 鍵

3 RFC 7748 Keypairs

256-bit ECDH Clamped

WireGuard トンネル

PSK Hardened (256-bit)

Port 51820 • MTU 1420

Curve25519 鍵ペア生成

純粋な RFC 7748 X25519 楕円曲線ディフィー・ヘルマン鍵交換をブラウザ内で完結。サーバー送信ゼロ。

ゼロナレッジ・ブラウザ完結処理

すべての秘密鍵、事前共有鍵 (PSK)、エンドポイント情報はブラウザのメモリ内のみに保持されます。

マルチプラットフォーム対応

Linux wg-quick、macOS、Windows、Android/iOS QRコード、Docker Composeへの即時エクスポートに対応。

WireGuard 鍵ペア＆ピア設定生成ツール開発者ガイド

Curve25519 鍵ペア生成

ゼロナレッジ・ブラウザ完結処理

マルチプラットフォーム対応