Comment configurer WireGuard sur un VPS ?

Quel forfait Gloamport fait tourner un serveur WireGuard ?

Ember suffit pour un serveur WireGuard : Gloamport le propose pour « Un VPN WireGuard pour quelques appareils ». Il dispose de 1 vCPU, de 1 GB de RAM et de 1 TB de trafic par mois, et WireGuard en consomme peu, des deux premiers.

Selon l'enquête de Gloamport sur 10 novembre 2026, le prix médian d'un VPS comparable de 1 vCPU et 1 Go à travers 32 hébergeurs était de $10.55 par mois. Nous ne prétendons pas être les moins chers à toutes les tailles ; l'idée est qu'un serveur VPN n'a pas besoin d'un gros forfait. Virtualisation KVM complète : votre propre noyau, vos propres règles de pare-feu et votre propre chiffrement de disque si vous le configurez. Pour le côté compte, voir Comment acheter un VPS avec du Monero (XMR) ?.

Comment générer les clés et rédiger la configuration du serveur ?

Générez les clés avec wg genkey et wg pubkey, avec umask 077 défini au préalable pour que le fichier de clé privée ne soit lisible que par root. Le démarrage rapide de WireGuard donne la même ligne de commande utilisée ci-dessous.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

Comment rédiger la configuration du client et démarrer le tunnel ?

Rédigez un second fichier sur le client avec sa propre clé privée, la clé publique du serveur et l'adresse du VPS, puis démarrez-le avec wg-quick up. La ligne AllowedIPs décide du trafic qui entre dans le tunnel : 10.8.0.0/24 n'envoie que le trafic du tunnel, 0.0.0.0/0, ::/0 envoie tout.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

Comment faire passer tout mon trafic par le VPS ?

Pour utiliser le VPS comme sortie de tout votre trafic, activez le transfert IPv4 et ajoutez une règle de masquage sur le serveur. La documentation du noyau définit net.ipv4.ip_forward comme l'interrupteur qui transmet les paquets entre interfaces, et sa valeur par défaut est 0. La cible MASQUERADE n'est valable que dans la table nat, dans la chaîne POSTROUTING.

Placez les deux dans la section [Interface] du fichier serveur avec PostUp et PostDown ; wg-quick s'exécute dans bash, et %i se développe en nom de l'interface. Trouvez d'abord le nom de l'interface publique avec ip route show default, puis remplacez eth0 ci-dessous.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Comment savoir que le tunnel WireGuard fonctionne ?

Lancez wg show sur le serveur : un pair avec une « latest handshake » récente et des compteurs de transfert non nuls est connecté. Si la poignée de main n'apparaît jamais, vérifiez que les deux clés publiques sont du bon côté, que l'adresse Endpoint est l'adresse IPv4 du VPS, et que l'UDP 51820 est ouvert.

Une fois en marche, un Ember sur 12 mois à $3.74 par mois couvre un VPN personnel pour quelques appareils, comme le décrit la description du forfait. Comparez cette voie avec une solution commerciale dans Un VPN auto-hébergé sur un VPS est-il meilleur qu'un service VPN ?. Si l'autre extrémité est un serveur domestique derrière un NAT de niveau opérateur, poursuivez avec Comment relier mon réseau domestique à un VPS avec WireGuard (derrière CGNAT) ?. Puis verrouillez le VPS avec Comment durcir SSH sur un nouveau VPS ?.