# Comment configurer WireGuard sur un VPS ? > Configurez un VPN WireGuard sur un VPS en 7 étapes sur Debian 13 ou Ubuntu 24.04. Ember, 1 vCPU et 1 Go de RAM, le fait tourner à partir de $3.74 par mois. - URL: https://gloamport.com/fr/guides/how-to-set-up-wireguard-on-a-vps/ - Dernière mise à jour: 2026-11-10 - Éditeur: Gloamport (https://gloamport.com) Un serveur WireGuard complet sur un VPS 1 GB, avec les commandes exactes pour Debian 13 et Ubuntu 24.04. **Réponse rapide — Comment configurer WireGuard sur un VPS ?** Pour configurer WireGuard sur un VPS, installez le paquet wireguard sur Debian 13 ou Ubuntu 24.04, générez une paire de clés avec wg genkey, écrivez /etc/wireguard/wg0.conf avec un ListenPort, et démarrez-le avec wg-quick up wg0. Un forfait Gloamport Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, le fait tourner pour $3.74 par mois sur une durée de 12 mois. ## De quoi avez-vous besoin pour configurer WireGuard sur un VPS ? | Élément | Valeur utilisée dans ce guide | | --- | --- | | Offre | Ember : 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Prix | $3.74 par mois sur 12 mois, $7.48 par mois sur 1 mois | | Système | Debian 13 ou Ubuntu 24.04 | | Paquet | `wireguard` (installe `wg` et `wg-quick`) | | Fichier de configuration | `/etc/wireguard/wg0.conf` | | Port UDP | 51820 (le port utilisé dans le démarrage rapide de WireGuard) | | Sous-réseau du tunnel | 10.8.0.0/24 (une plage privée choisie pour ce guide) | *Prix vérifiés le 10 novembre 2026.* Les commandes viennent du démarrage rapide de WireGuard, de la page de manuel wg-quick et de la documentation du noyau, vérifiées le 2026-11-10. ## Quel forfait Gloamport fait tourner un serveur WireGuard ? Ember suffit pour un serveur WireGuard : Gloamport le propose pour « Un VPN WireGuard pour quelques appareils ». Il dispose de 1 vCPU, de 1 GB de RAM et de 1 TB de trafic par mois, et WireGuard en consomme peu, des deux premiers. Selon l'enquête de Gloamport sur 10 novembre 2026, le prix médian d'un VPS comparable de 1 vCPU et 1 Go à travers 32 hébergeurs était de $10.55 par mois. Nous ne prétendons pas être les moins chers à toutes les tailles ; l'idée est qu'un serveur VPN n'a pas besoin d'un gros forfait. Virtualisation KVM complète : votre propre noyau, vos propres règles de pare-feu et votre propre chiffrement de disque si vous le configurez. Pour le côté compte, voir [Comment acheter un VPS avec du Monero (XMR) ?](https://gloamport.com/fr/buy-vps-with-monero/ "Comment acheter un VPS avec Monero (XMR) ?"). ## Comment configurer WireGuard sur un VPS, étape par étape ? Sept étapes, d'une première connexion root à un tunnel opérationnel. 1. **Connectez-vous et installez WireGuard** — Ouvrez une session SSH root sur le nouveau VPS et lancez apt update puis apt install wireguard. Le paquet fournit wg et wg-quick. 2. **Générez les clés du serveur** — Définissez umask 077, puis créez une clé privée et dérivez-en la clé publique. La clé privée ne quitte jamais le serveur. 3. **Générez les clés du client** — Faites de même sur votre ordinateur portable ou votre téléphone. Chaque appareil a sa propre paire de clés ; vous n'échangez que les clés publiques. 4. **Rédigez wg0.conf sur le serveur** — Donnez au serveur une adresse dans le sous-réseau du tunnel, un ListenPort, sa clé privée, et un [Peer] par appareil avec la clé publique de cet appareil et une seule adresse de tunnel. 5. **Rédigez la configuration du client** — Faites pointer Endpoint vers l'adresse IPv4 et le port du VPS, réglez AllowedIPs, et ajoutez PersistentKeepalive = 25 si le client se trouve derrière un NAT. 6. **Démarrez l'interface** — Lancez wg-quick up wg0 aux deux extrémités, puis systemctl enable --now wg-quick@wg0 sur le serveur pour qu'elle revienne après un redémarrage. 7. **Vérifiez la poignée de main** — Lancez wg show. Une ligne « latest handshake » sous le pair signifie que les clés correspondent et que le port UDP est joignable. ## Comment générer les clés et rédiger la configuration du serveur ? Générez les clés avec `wg genkey` et `wg pubkey`, avec `umask 077` défini au préalable pour que le fichier de clé privée ne soit lisible que par root. Le démarrage rapide de WireGuard donne la même ligne de commande utilisée ci-dessous. *Installez et générez la paire de clés du serveur* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Comment rédiger la configuration du client et démarrer le tunnel ? Rédigez un second fichier sur le client avec sa propre clé privée, la clé publique du serveur et l'adresse du VPS, puis démarrez-le avec `wg-quick up`. La ligne `AllowedIPs` décide du trafic qui entre dans le tunnel : `10.8.0.0/24` n'envoie que le trafic du tunnel, `0.0.0.0/0, ::/0` envoie tout. *wg0.conf sur le portable (tunnel complet)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Démarrez-le et vérifiez la poignée de main* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## Comment faire passer tout mon trafic par le VPS ? Pour utiliser le VPS comme sortie de tout votre trafic, activez le transfert IPv4 et ajoutez une règle de masquage sur le serveur. La documentation du noyau définit `net.ipv4.ip_forward` comme l'interrupteur qui transmet les paquets entre interfaces, et sa valeur par défaut est 0. La cible MASQUERADE n'est valable que dans la table nat, dans la chaîne POSTROUTING. Placez les deux dans la section `[Interface]` du fichier serveur avec `PostUp` et `PostDown` ; `wg-quick` s'exécute dans bash, et `%i` se développe en nom de l'interface. Trouvez d'abord le nom de l'interface publique avec `ip route show default`, puis remplacez `eth0` ci-dessous. *Lignes supplémentaires pour la section [Interface] du serveur* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **Ouvrez le port UDP et protégez les clés** Autorisez l'UDP 51820 dans le pare-feu que vous faites tourner sur le VPS, car WireGuard ne répond qu'aux pairs qu'il connaît. Ne collez jamais une clé privée dans un chat ou un ticket : si elle fuit, créez une nouvelle paire et remplacez la clé publique de l'autre côté. ## Comment savoir que le tunnel WireGuard fonctionne ? Lancez `wg show` sur le serveur : un pair avec une « latest handshake » récente et des compteurs de transfert non nuls est connecté. Si la poignée de main n'apparaît jamais, vérifiez que les deux clés publiques sont du bon côté, que l'adresse Endpoint est l'adresse IPv4 du VPS, et que l'UDP 51820 est ouvert. Une fois en marche, un Ember sur 12 mois à $3.74 par mois couvre un VPN personnel pour quelques appareils, comme le décrit la description du forfait. Comparez cette voie avec une solution commerciale dans [Un VPN auto-hébergé sur un VPS est-il meilleur qu'un service VPN ?](https://gloamport.com/fr/self-hosted-vpn-vs-vpn-service/ "Un VPN auto-hébergé sur un VPS est-il meilleur qu'un service VPN ?"). Si l'autre extrémité est un serveur domestique derrière un NAT de niveau opérateur, poursuivez avec [Comment relier mon réseau domestique à un VPS avec WireGuard (derrière CGNAT) ?](https://gloamport.com/fr/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "Comment relier mon réseau domestique à un VPS avec WireGuard (derrière CGNAT) ?"). Puis verrouillez le VPS avec [Comment durcir SSH sur un nouveau VPS ?](https://gloamport.com/fr/guides/how-to-harden-ssh-on-a-vps/ "Comment durcir SSH sur un nouveau VPS ?"). **En résumé** - Installez `wireguard` avec apt sur Debian 13 ou Ubuntu 24.04. - Créez les clés avec `umask 077` et `wg genkey | tee … | wg pubkey`. - Le fichier serveur a besoin d'Address, ListenPort, PrivateKey et d'un Peer par appareil. - Le fichier client a besoin de la clé publique du serveur, d'Endpoint et d'AllowedIPs. - `PersistentKeepalive = 25` maintient une correspondance NAT ouverte. - L'utilisation en tunnel complet nécessite `net.ipv4.ip_forward=1` et une règle MASQUERADE. - Ember coûte $3.74 par mois sur 12 mois. ## WireGuard sur un VPS : questions fréquentes ### Quel port utilise WireGuard ? WireGuard utilise le port UDP défini par ListenPort dans la configuration. L'exemple du démarrage rapide utilise 51820, et ce guide fait de même. Ouvrez ce port dans votre pare-feu. ### Ember est-il assez grand pour WireGuard ? Gloamport propose Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) pour un VPN WireGuard de quelques appareils. La limite de trafic de 1 TB par mois est le seuil à surveiller. ### À quoi sert PersistentKeepalive ? Il envoie un paquet toutes les N secondes pour qu'un appareil NAT garde la correspondance ouverte. Le démarrage rapide de WireGuard présente 25 secondes comme un intervalle raisonnable, et 0 le désactive. ### Comment démarrer WireGuard au boot ? Lancez `systemctl enable --now wg-quick@wg0`. Le paquet wireguard-tools de Debian fournit l'unité `wg-quick@.service`. ### Puis-je ajouter un second appareil plus tard ? Oui. Générez une paire de clés sur le nouvel appareil, ajoutez un autre bloc `[Peer]` avec sa clé publique et une nouvelle adresse de tunnel telle que 10.8.0.3/32, puis rechargez avec `wg syncconf wg0 <(wg-quick strip wg0)`. ## Sources 1. [Démarrage rapide de WireGuard](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Page de manuel wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Liste des fichiers du paquet wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [Sysctl IP : ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8) : MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport est un hébergeur de VPS qui vend des serveurs Linux KVM sans KYC, commandés avec un numéro de compte et payés en crypto-monnaie, Monero en premier ; il est exploité par DomaineGoat LLC, une société immatriculée au Panama. Une commande demande un plan, une crypto-monnaie et, seulement si vous le voulez, une adresse e-mail : ni nom, ni adresse postale, ni téléphone, ni pièce d'identité. Sur la durée de 12 mois, chaque plan est au moins 25 % moins cher qu'un plan comparable nommé, issu d'une étude de 38 hébergeurs VPS crypto sans KYC relevée le 10 novembre 2026.