WireGuard配置文件权限：误设umask导致泄露
说白了，这事儿不复杂，但你要是没搞清楚，它能让你整个网络架构一夜回到解放前。
你有没有发现，很多运维老哥总喜欢在生产环境里随手一敲命令就完事？比如：
wg genkey | tee private.key
然后，你以为这就完了？
别天真了。你可能已经把私钥暴露给所有用户了——因为默认 umask 是 022，可有些时候你却把它改成了 000，或者压根没注意这个值。
为什么 umask 会出问题？
简单讲，umask 是用来限制新创建文件默认权限的。Linux 的默认 umask 是 022，意味着新建文件的权限是 644（即 -rw-r--r--），也就是说只有 owner 可写。
但如果 umask 设置为 000，那新建文件就是 666，任何人都能读写。这在 WireGuard 配置里，就是把私钥给“送人”了。
我们来看一组实测数据：
| umask 值 | 文件权限（新建） | WireGuard 私钥安全性 |
|---|---|---|
| 022 | -rw-r–r– | 安全（仅 owner 可写） |
| 000 | -rw-rw-rw- | 极度危险（所有人可读写） |
| 077 | -rw——- | 最安全（仅 owner） |
⚠️ 注意：即使你手动 chmod 了文件，也得看 umask 是不是在创建时就决定了初始权限。
实战案例：一次被“umask”坑惨的事故
我们团队曾经在一个新部署的 WireGuard 网关上遇到过这种问题。
当时部署流程是这样的：
umask 000
wg genkey | tee private.key
wg pubkey < private.key > public.key
结果呢？private.key 权限变成了 666，所有人都能读取。
我们后来检查发现，是因为 CI/CD 流水线里有一段代码，为了“方便调试”，临时设置了 umask 000，结果没清理干净。
更可怕的是，这个脚本在多个节点重复运行，最终导致整个集群的私钥都被暴露在 /tmp 或者 /etc/wireguard/ 目录下，成了公开文件。
一句话总结：umask 不是“调试工具”，而是“安全屏障”。
避坑指南（必须记住）
✅ 指南一：永远不要在生产环境里随便设置 umask
你可能会说：“我只是临时改了一下，不会有问题。”
别扯淡。没人知道你哪次改了 umask，也没人记得你有没有恢复回来。
正确做法是，在脚本开头显式设置 umask，并在最后恢复原始值：
old_umask=$(umask)
umask 077
wg genkey | tee private.key
umask $old_umask
✅ 指南二：不要用 tee 和 > 组合处理敏感文件
虽然你用了 tee，但如果你没有控制好 umask，文件权限还是会被污染。
建议改为：
umask 077
wg genkey > private.key
chmod 600 private.key
这样，即使 umask 被意外修改，也能通过 chmod 保证安全。
✅ 指南三：不要信任默认行为，尤其是涉及配置文件
你可能觉得“默认 umask 是安全的”，但现实是，很多自动化脚本、CI 工具、Dockerfile、甚至 shell alias 都可能悄悄改变 umask。
所以，别信“默认”，自己动手检查一下：
umask
ls -l private.key
这才是真·运维。
对比测试：umask 设置对私钥安全的影响
我们做了一组实验，分别在不同 umask 下生成 WireGuard 配置并查看权限：
| 场景 | umask | 生成文件权限 | 是否可读 | 是否可写 |
|---|---|---|---|---|
| 默认 umask 022 | 022 | -rw-r–r– | 是 | 否 |
| 手动设置 000 | 000 | -rw-rw-rw- | 是 | 是 |
| 正确设置 077 | 077 | -rw——- | 否 | 否 |
🔍 从这个表可以看出，umask 控制的是“初始权限”，而不是“最终权限”。
FAQ（运维老炮儿都想知道的问题）
Q1：我能不能只用 chmod 就搞定？
A：能，但不能完全依赖。chmod 只能改已存在的文件，而 umask 是在创建时决定的。如果文件在创建时就权限大开，那你 chmod 也没法让别人“没看到”。
Q2：是不是每个 Linux 用户都该用 umask 077？
A：是的。尤其在处理私钥、密码、证书这类敏感文件时，统一设置 umask 077 是基础安全操作。
Q3：我怎么知道某个脚本会不会改 umask？
A：加一句 umask 输出，或者在 CI 中加上 set -x，看有没有调用 umask 命令。
Q4：umask 改了之后，会不会影响其他服务？
A：不会，除非你故意把 umask 设为 000，否则不会影响正常服务。但如果你的脚本跑在 root 用户下，那就要特别小心了。
Q5：我用 Docker 部署，umask 会影响容器吗？
A：会。容器内的 umask 是继承自宿主机的。你可以在启动容器时用 --user 显式指定 UID/GID，再配合 umask 设置来确保安全。
别再说什么“umask 不重要”了。一个小小的 umask，就能让你的私钥被全世界读取。
记住一句话：
“权限是安全的第一道防线，而 umask 是这道防线的开关。”
别让这个开关，成为你最脆弱的那一环。