Hoe zet ik WireGuard op een VPS?

Welk Gloamport-plan draait een WireGuard-server?

Ember is genoeg voor een WireGuard-server: Gloamport noemt het voor "Een WireGuard-VPN voor een paar apparaten". Het heeft 1 vCPU, 1 GB RAM en 1 TB verkeer per maand, en WireGuard gebruikt weinig van de eerste twee.

Volgens het onderzoek van Gloamport naar 10 november 2026 was de mediane prijs van een vergelijkbare VPS met 1 vCPU en 1 GB in 32 hosts $10.55 per maand. Wij beweren niet de goedkoopste te zijn op elke maat; het punt is dat een VPN-server geen groot plan nodig heeft. Volledige KVM-virtualisatie: uw eigen kernel, uw eigen firewallregels en uw eigen schijfversleuteling als u die instelt. Voor de accountkant zie Hoe koop ik een VPS met Monero (XMR)?.

Hoe genereer ik de sleutels en schrijf ik de serverconfiguratie?

Genereer sleutels met wg genkey en wg pubkey, met umask 077 eerst ingesteld zodat het privésleutelbestand alleen door root leesbaar is. De WireGuard-quickstart geeft dezelfde eenregelige opdracht die hieronder wordt gebruikt.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

Hoe schrijf ik de clientconfiguratie en start ik de tunnel?

Schrijf op de client een tweede bestand met de eigen privésleutel, de publieke sleutel van de server en het VPS-adres, en start het daarna met wg-quick up. De regel AllowedIPs bepaalt welk verkeer de tunnel in gaat: 10.8.0.0/24 stuurt alleen tunnelverkeer, 0.0.0.0/0, ::/0 stuurt alles.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

Hoe stuur ik al mijn verkeer via de VPS?

Om de VPS als uitgang voor al uw verkeer te gebruiken, schakelt u IPv4-forwarding in en voegt u een masquerade-regel toe op de server. De kerneldocumentatie definieert net.ipv4.ip_forward als de schakelaar die pakketten tussen interfaces doorstuurt, en de standaard is 0. Het doel MASQUERADE is alleen geldig in de nat-tabel, in de POSTROUTING-keten.

Zet beide in de sectie [Interface] van het serverbestand met PostUp en PostDown, die wg-quick in bash uitvoert, en waar %i wordt uitgebreid tot de interfacenaam. Zoek eerst de naam van de publieke interface met ip route show default, en vervang daarna eth0 hieronder.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Hoe weet ik dat de WireGuard-tunnel werkt?

Voer wg show uit op de server: een peer met een recente "latest handshake" en niet-nul overdrachtstellers is verbonden. Verschijnt de handshake nooit, controleer dan of beide publieke sleutels aan de juiste kant staan, of het Endpoint-adres het IPv4-adres van de VPS is, en of UDP 51820 open staat.

Eenmaal werkend dekt een Ember voor 12 maanden tegen $3.74 per maand een persoonlijk VPN voor een paar apparaten, zoals de plantekst zegt. Vergelijk deze route met een commerciële in Is een zelf gehoste VPN op een VPS beter dan een VPN-dienst?. Als het andere uiteinde een thuisserver achter een carrier-grade NAT is, ga dan verder met Hoe verbind ik mijn thuisnetwerk met een VPS via WireGuard (achter CGNAT)?. Vergrendel daarna de VPS met Hoe verhard ik SSH op een nieuwe VPS?.