Перейти до вмісту
Статус сервісів
VPS і сервери · 6 хв

Власний VPN на WireGuard на VPS за 10 хвилин

Особистий VPN на власному сервері дає постійну IP-адресу для входу у вашу інфраструктуру й захищений канал у готельному чи кав’ярняному Wi-Fi. Сервер ні з ким не ділите. Найпростіше підняти його на WireGuard: по одному файлу налаштувань з кожного боку, решту зробить ядро.

Що знадобиться

  • VPS з Ubuntu 24.04 або Debian 12. WireGuard легкий: Pulse (2 vCPU, 2 ГБ, $10 на місяць) обслуговує кілька пристроїв і навіть не помічає навантаження.
  • Root-доступ по SSH.

1. Встановлення та ключі

apt update && apt install -y wireguard
cd /etc/wireguard && umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee phone.key | wg pubkey > phone.pub

Одна пара ключів для сервера й по одній на кожен пристрій. Для ноутбука, планшета й решти повторіть другий рядок з іншим ім’ям.

2. Налаштування сервера

Спершу дізнайтеся ім’я зовнішнього інтерфейсу. Зазвичай це eth0, але перевірте:

ip -o -4 route show to default

/etc/wireguard/wg0.conf (замініть eth0, якщо у вас інший, і вставте справжні ключі):

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <вміст server.key>
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# телефон
PublicKey = <вміст phone.pub>
AllowedIPs = 10.8.0.2/32

Увімкніть пересилання пакетів і запустіть тунель:

echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-wireguard.conf && sysctl --system
systemctl enable --now wg-quick@wg0

Якщо встановлено ufw, відкрийте порт: ufw allow 51820/udp.

3. Налаштування пристрою

[Interface]
PrivateKey = <вміст phone.key>
Address = 10.8.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = <вміст server.pub>
Endpoint = <IP сервера>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Імпортуйте ці налаштування в застосунок WireGuard. На телефон найзручніше через QR-код: збережіть налаштування на сервері в phone.conf, встановіть apt install qrencode, і команда qrencode -t ansiutf8 < phone.conf намалює код просто в терміналі. Після імпорту файл із ключем краще видалити.

wg show на сервері покаже, чи підключився пристрій: шукайте свіжий «latest handshake».

Що важливо знати заздалегідь

  • Усі ваші пристрої матимуть одну IPv4-адресу — адресу сервера. Для входу на власні сервери й в адмінки це саме те, що потрібно: додайте цю IP-адресу до білого списку й закрийте решту.
  • Трафік не обмежений, швидкість спільна. У тарифів VPS dedisrv немає місячної квоти трафіку. Порт — 1 Гбіт/с, а коли зайняті одразу кілька серверів на вузлі, канал ділиться між ними порівну.
  • VPN не робить законним те, що незаконне без нього. Наші умови забороняють використовувати сервери з протиправною метою, і трафік через ваш тунель — не виняток.
  • Швидкість залежить від відстані. Сервери в ЄС: що далі ви від Європи, то більша затримка в тунелі.

Потрібно, щоб через VPN ішла лише частина трафіку? Замініть 0.0.0.0/0 у налаштуваннях пристрою на конкретні мережі, наприклад 10.8.0.0/24 та IP-адреси ваших серверів.

Власний VPN на WireGuard на VPS за 10 хвилин · dedisrv