Come imposto WireGuard su un VPS?

Quale piano Gloamport gestisce un server WireGuard?

Ember basta per un server WireGuard: Gloamport lo elenca per "Una VPN WireGuard per alcuni dispositivi". Ha 1 vCPU, 1 GB di RAM e 1 TB di traffico al mese, e WireGuard usa poco dei primi due.

Secondo l'indagine di Gloamport su 10 novembre 2026, il prezzo mensile mediano di un VPS comparabile da 1 vCPU e 1 GB tra 32 host era $10.55. Non sosteniamo di essere i più economici a ogni taglia; il punto è che un server VPN non richiede un piano grande. Virtualizzazione KVM completa: il suo kernel, le sue regole del firewall e la sua cifratura del disco, se la configura. Per il lato dell'account, veda Come acquisto un VPS con Monero (XMR)?.

Come genero le chiavi e scrivo la configurazione del server?

Generi le chiavi con wg genkey e wg pubkey, con umask 077 impostato prima così il file della chiave privata è leggibile solo da root. Il quickstart di WireGuard dà lo stesso comando in una riga usato sotto.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

Come scrivo la configurazione del client e avvio il tunnel?

Scriva un secondo file sul client con la sua chiave privata, la chiave pubblica del server e l'indirizzo del VPS, poi lo avvii con wg-quick up. La riga AllowedIPs decide quale traffico entra nel tunnel: 10.8.0.0/24 invia solo il traffico del tunnel, 0.0.0.0/0, ::/0 invia tutto.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

Come instrado tutto il mio traffico attraverso il VPS?

Per usare il VPS come uscita per tutto il traffico, attivi l'inoltro IPv4 e aggiunga una regola di masquerade sul server. La documentazione del kernel definisce net.ipv4.ip_forward come l'interruttore che inoltra i pacchetti tra interfacce, e il suo default è 0. Il target MASQUERADE è valido solo nella tabella nat, nella catena POSTROUTING.

Li metta entrambi nella sezione [Interface] del file del server con PostUp e PostDown, che wg-quick esegue in bash, dove %i si espande nel nome dell'interfaccia. Trovi prima il nome dell'interfaccia pubblica con ip route show default, poi sostituisca eth0 qui sotto.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Come so che il tunnel WireGuard funziona?

Esegua wg show sul server: un peer con un "latest handshake" recente e contatori di trasferimento diversi da zero è connesso. Se l'handshake non compare mai, verifichi che entrambe le chiavi pubbliche siano dal lato giusto, che l'indirizzo Endpoint sia l'IPv4 del VPS e che la porta UDP 51820 sia aperta.

Una volta funzionante, un Ember a 12 mesi a $3.74 al mese copre una VPN personale per alcuni dispositivi, come dice la descrizione del piano. Confronti questa strada con una commerciale in Un VPN self-hosted su un VPS è meglio di un servizio VPN?. Se l'altra estremità è un server domestico dietro un CGNAT di operatore, prosegua con Come collego la rete di casa a un VPS con WireGuard (dietro CGNAT)?. Poi blindi il VPS con Come rafforzo SSH su un nuovo VPS?.