# VPSでWireGuardを設定するには？ > Debian 13またはUbuntu 24.04で、7つの手順によりVPSにWireGuard VPNを設定します。1 vCPU・1 GB RAMのEmberは、月額$3.74から動かせます。 - URL: https://gloamport.com/ja/guides/how-to-set-up-wireguard-on-a-vps/ - 最終更新: 2026-11-10 - 発行者: Gloamport (https://gloamport.com) 1 GBのVPSで完全なWireGuardサーバーを作ります。Debian 13とUbuntu 24.04の正確なコマンド付きです。 **概要 — VPSでWireGuardを設定するには？** VPSでWireGuardを設定するには、Debian 13またはUbuntu 24.04にwireguardパッケージをインストールし、wg genkey で鍵ペアを作成し、ListenPort を指定して /etc/wireguard/wg0.conf を書き、wg-quick up wg0 で起動します。GloamportのEmberプラン（1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic）は、12か月契約で月額$3.74で動かせます。 ## WireGuardをVPSで動かすには何が必要ですか？ | 項目 | このガイドで使う値 | | --- | --- | | プラン | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | 料金 | 12か月契約で月額$3.74、1か月契約では$7.48 | | システム | Debian 13またはUbuntu 24.04 | | パッケージ | `wireguard`（`wg`と`wg-quick`をインストール） | | 設定ファイル | `/etc/wireguard/wg0.conf` | | UDPポート | 51820（WireGuardのクイックスタートで使われるポート） | | トンネルのサブネット | 10.8.0.0/24（このガイド用に選んだプライベートな範囲） | *価格確認日: 2026年11月10日.* コマンドは、WireGuardのクイックスタート、wg-quickのマニュアルページ、カーネルのドキュメントから取り、2026-11-10に確認しました。 ## どのGloamportプランでWireGuardサーバーを動かせますか？ Emberで十分です。Gloamportは「数台の端末向けのWireGuard VPN」向けに挙げています。vCPUは1、RAMは1 GB、月間トラフィックは1 TBで、WireGuardは最初の2つをわずかしか使いません。 Gloamportが2026年11月10日について行った調査によると、32社のホストにわたる同等の1 vCPU・1 GB VPSの月額中央値は$10.55でした。当社はどのサイズでも最安だと主張するものではありません。要点は、VPNサーバーに大きなプランは要らないということです。完全なKVM仮想化です。カーネル、ファイアウォールのルール、設定した場合のディスク暗号化はすべてご自身で管理できます。アカウント面については、[VPSをMoneroで購入するにはどうすればよいですか？](https://gloamport.com/ja/buy-vps-with-monero/ "MoneroでVPSを購入するにはどうすればよいですか（XMR）？")をご覧ください。 ## WireGuardをVPSで手順ごとに設定するには？ 新しいrootログインから、動作するトンネルまでの7つの手順です。 1. **ログインしてWireGuardをインストール** — 新しいVPSでrootのSSHセッションを開き、apt updateを実行してからapt install wireguardを実行します。このパッケージはwgとwg-quickを提供します。 2. **サーバーの鍵を生成** — umask 077を設定し、秘密鍵を作成して、そこから公開鍵を導出します。秘密鍵はサーバーから出ることはありません。 3. **クライアントの鍵を生成** — ノートパソコンや携帯電話で同じ手順を行います。各機器は独自の鍵ペアを持ち、交換するのは公開鍵だけです。 4. **サーバーでwg0.confを書く** — サーバーに、トンネルのサブネット内のアドレス、ListenPort、秘密鍵を与え、機器ごとに1つの[Peer]（その機器の公開鍵と単一のトンネルアドレス付き）を追加します。 5. **クライアントの設定を書く** — EndpointがVPSのIPv4アドレスとポートを指すようにし、AllowedIPsを設定し、クライアントがNATの背後にある場合はPersistentKeepalive = 25を追加します。 6. **インターフェースを起動** — 両端でwg-quick up wg0を実行し、サーバーでは再起動後も戻るようにsystemctl enable --now wg-quick@wg0を実行します。 7. **ハンドシェイクを確認** — wg showを実行します。ピアの下に「latest handshake」の行があれば、鍵が一致し、UDPポートに到達できている、という意味です。 ## 鍵はどのように生成すればよいのでしょうか。また、サーバーの設定ファイルはどのように書けばよいのでしょうか？ `wg genkey`と`wg pubkey`で鍵を生成し、`umask 077`を先に設定して、秘密鍵ファイルをrootだけが読めるようにします。WireGuardのクイックスタートにも、以下で使うのと同じワンライナーが載っています。 *サーバーのインストールと鍵ペアの生成* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## クライアントの設定を書いて、トンネルを開始するには？ クライアントに、独自の秘密鍵、サーバーの公開鍵、VPSのアドレスを持つ2つ目のファイルを書き、`wg-quick up`で起動します。`AllowedIPs`行が、どのトラフィックをトンネルに入れるかを決めます。`10.8.0.0/24`はトンネルのトラフィックだけを送り、`0.0.0.0/0, ::/0`はすべてを送ります。 *ノートパソコンのwg0.conf（フルトンネル）* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *起動してハンドシェイクを確認* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## すべてのトラフィックをVPS経由にするには？ すべてのトラフィックの出口としてVPSを使うには、IPv4フォワーディングを有効にし、サーバーでマスカレード規則を追加します。カーネルのドキュメントは、`net.ipv4.ip_forward`をインターフェース間でパケットを転送するスイッチとして定義しており、既定値は0です。MASQUERADEターゲットは、natテーブルのPOSTROUTINGチェーンでのみ有効です。 両方を、サーバーファイルの`[Interface]`セクションに`PostUp`と`PostDown`として入れます。`wg-quick`はbashで実行され、`%i`はインターフェース名に展開されます。まず`ip route show default`で公開インターフェース名を確認し、その後で下の`eth0`を置き換えてください。 *サーバー用の追加行（[Interface]セクション）* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **UDPポートを開き、鍵を守る** VPSで使うファイアウォールでUDP 51820を許可してください。WireGuardは既知のピアにだけ応答するためです。秘密鍵をチャットやチケットに貼り付けないでください。漏えいした場合は、新しい鍵ペアを作り、反対側の公開鍵を置き換えてください。 ## WireGuardトンネルが動いていることはどう確認しますか？ サーバーで`wg show`を実行します。最近の「latest handshake」と0以外の転送カウンターがあるピアは接続されています。ハンドシェイクが現れない場合は、両方の公開鍵が正しい側にあるか、Endpointのアドレスが VPSのIPv4アドレスか、UDP 51820が開いているかを確認してください。 動作したら、12か月契約のEmberは月額$3.74で、プランの説明どおり数台の機器の個人用VPNを賄えます。このルートを商用サービスと比べるには、[自前のVPNをVPSで動かすのは、VPNサービスより優れていますか？](https://gloamport.com/ja/self-hosted-vpn-vs-vpn-service/ "VPS上の自己ホスト型VPNは、VPNサービスより優れていますか？")をご覧ください。反対側がCGNATの背後にある自宅サーバーなら、[自宅のネットワークをWireGuardでVPSに接続するには？（CGNATの背後）](https://gloamport.com/ja/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "WireGuardでホームネットワークをVPSに接続するには（CGNATの背後）？")に進んでください。その後、[新しいVPSでSSHを強化するには？](https://gloamport.com/ja/guides/how-to-harden-ssh-on-a-vps/ "新しいVPSでSSHを強化するには？")でVPSを守ってください。 **まとめ** - Debian 13またはUbuntu 24.04で、aptにより`wireguard`をインストールします。 - `umask 077`と`wg genkey | tee … | wg pubkey`で鍵を生成します。 - サーバーのファイルには Address、ListenPort、PrivateKey、そして機器ごとに1つの Peer が必要です。 - クライアントのファイルには、サーバーの公開鍵、Endpoint、AllowedIPs が必要です。 - `PersistentKeepalive = 25`はNATのマッピングを開いたままにします。 - フルトンネルで使うには、`net.ipv4.ip_forward=1`とMASQUERADE規則が必要です。 - Emberは12か月契約で月額$3.74です。 ## VPSのWireGuard：よくある質問 ### WireGuardはどのポートを使いますか？ WireGuardは、設定の ListenPort で指定されたUDPポートを使います。クイックスタートの例は51820で、このガイドも同じです。そのポートをファイアウォールで開けてください。 ### EmberはWireGuardに十分ですか？ Gloamportは、数台の機器のWireGuard VPNとしてEmber（1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic）を挙げています。監視すべき上限は月間1 TBのトラフィックです。 ### PersistentKeepaliveは何をしますか？ NATデバイスがマッピングを開いたままにするために、N秒ごとにパケットを送ります。WireGuardのクイックスタートは25秒を適切な間隔とし、0にするとオフになります。 ### 起動時にWireGuardを開始するには？ `systemctl enable --now wg-quick@wg0`を実行します。Debianのwireguard-toolsパッケージには、`wg-quick@.service`ユニットが含まれています。 ### 後から2台目の機器を追加できますか？ はい。新しい機器で鍵ペアを作り、その公開鍵と10.8.0.3/32のような新しいトンネルアドレスを持つ別の`[Peer]`ブロックを追加してから、`wg syncconf wg0 <(wg-quick strip wg0)`で再読み込みします。 ## 出典 1. [WireGuardクイックスタート](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [wg-quick(8)のマニュアルページ](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [wireguard-toolsパッケージのファイル一覧（trixie）](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [IPのsysctl：ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8)：MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamportは、KYCなしのLinux KVMサーバーを販売するVPSプロバイダーです。アカウント番号で注文し、暗号資産で支払います（Moneroを優先）。運営元は、パナマで登録された法人DomaineGoat LLCです。注文では、プラン、コイン、そして希望する場合のみメールアドレスを求めます。氏名、住所、電話番号、身分証明書は求めません。12か月契約では、各プランの価格は、2026年11月10日に読み取ったKYCなしの暗号資産VPSホスト38社の調査から選んだ、名前の付いた比較対象プランより少なくとも25%安くなっています。