Wie richte ich WireGuard auf einem VPS ein?

Welcher Gloamport-Tarif betreibt einen WireGuard-Server?

Ember reicht für einen WireGuard-Server: Gloamport führt ihn für „Ein WireGuard-VPN für einige Geräte“. Er hat 1 vCPU, 1 GB RAM und 1 TB Traffic pro Monat, und WireGuard braucht von den ersten beiden wenig.

Laut Gloamports Umfrage unter 10. November 2026 lag der Medianpreis eines vergleichbaren VPS mit 1 vCPU und 1 GB über 32 Anbieter bei $10.55 pro Monat. Wir behaupten nicht, bei jeder Größe der Günstigste zu sein; der Punkt ist, dass ein VPN-Server keinen großen Tarif braucht. Volle KVM-Virtualisierung: Ihr eigener Kernel, Ihre eigenen Firewall-Regeln und Ihre eigene Festplattenverschlüsselung, falls Sie sie einrichten. Zur Kontoseite siehe Wie kaufe ich einen VPS mit Monero (XMR)?.

Wie erzeuge ich die Schlüssel und schreibe die Server-Konfiguration?

Erzeugen Sie Schlüssel mit wg genkey und wg pubkey, wobei umask 077 zuerst gesetzt wird, damit die private Schlüsseldatei nur für root lesbar ist. Der WireGuard-Schnellstart nutzt dasselbe Einzeiler-Beispiel, das unten verwendet wird.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

Wie schreibe ich die Client-Konfiguration und starte den Tunnel?

Schreiben Sie auf dem Client eine zweite Datei mit dessen eigenem privaten Schlüssel, dem öffentlichen Schlüssel des Servers und der VPS-Adresse, und bringen Sie sie dann mit wg-quick up hoch. Die Zeile AllowedIPs entscheidet, welcher Verkehr in den Tunnel geht: 10.8.0.0/24 sendet nur Tunnel-Verkehr, 0.0.0.0/0, ::/0 sendet alles.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

Wie leite ich meinen gesamten Verkehr über den VPS?

Um den VPS als Ausgang für Ihren gesamten Verkehr zu nutzen, aktivieren Sie IPv4-Weiterleitung und fügen auf dem Server eine Masquerade-Regel hinzu. Die Kernel-Dokumentation definiert net.ipv4.ip_forward als den Schalter, der Pakete zwischen Schnittstellen weiterleitet; sein Standard ist 0. Das Ziel MASQUERADE ist nur in der Tabelle nat in der Kette POSTROUTING gültig.

Setzen Sie beides in den Abschnitt [Interface] der Server-Datei, mit PostUp und PostDown, die wg-quick in bash ausführt und in denen %i zum Namen der Schnittstelle aufgelöst wird. Ermitteln Sie zuerst den Namen der öffentlichen Schnittstelle mit ip route show default und ersetzen Sie dann eth0 unten.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Wie erkenne ich, dass der WireGuard-Tunnel funktioniert?

Führen Sie wg show auf dem Server aus: Ein Peer mit einem aktuellen „latest handshake“ und Zählern ungleich null ist verbunden. Erscheint der Handshake nie, prüfen Sie, ob beide öffentlichen Schlüssel auf der richtigen Seite stehen, ob die Endpoint-Adresse die IPv4-Adresse des VPS ist und ob UDP 51820 offen ist.

Ist er einmal eingerichtet, deckt ein 12-Monats-Ember für $3.74 pro Monat einen persönlichen VPN für ein paar Geräte, wie die Tarifbeschreibung sagt. Vergleichen Sie diesen Weg mit einem kommerziellen in Ist ein selbst gehostetes VPN auf einem VPS besser als ein VPN-Dienst?. Wenn das andere Ende ein Heimserver hinter einem Carrier-Grade-NAT ist, fahren Sie mit Wie verbinde ich mein Heimnetzwerk über WireGuard mit einem VPS (hinter CGNAT)? fort. Danach sichern Sie den VPS mit Wie härte ich SSH auf einem neuen VPS ab?.