# Hoe zet ik WireGuard op een VPS? > Zet in 7 stappen een WireGuard-VPN op een VPS op Debian 13 of Ubuntu 24.04. Ember, 1 vCPU en 1 GB RAM, draait het vanaf $3.74 per maand. - URL: https://gloamport.com/nl/guides/how-to-set-up-wireguard-on-a-vps/ - Laatst bijgewerkt: 2026-11-10 - Uitgever: Gloamport (https://gloamport.com) Een volledige WireGuard-server op een 1 GB VPS, met de exacte commando's voor Debian 13 en Ubuntu 24.04. **Snel antwoord — Hoe zet ik WireGuard op een VPS?** Om WireGuard op een VPS in te stellen, installeert u het pakket wireguard op Debian 13 of Ubuntu 24.04, maakt u een sleutelpaar met wg genkey, schrijft u /etc/wireguard/wg0.conf met een ListenPort, en start u het met wg-quick up wg0. Een Gloamport Ember-plan, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, draait het voor $3.74 per maand bij een termijn van 12 maanden. ## Wat heb ik nodig om WireGuard op een VPS in te stellen? | Item | Waarde die in deze gids wordt gebruikt | | --- | --- | | Plan | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Prijs | $3.74 per maand bij 12 maanden, $7.48 per maand bij 1 maand | | Systeem | Debian 13 of Ubuntu 24.04 | | Pakket | `wireguard` (installeert `wg` en `wg-quick`) | | Configuratiebestand | `/etc/wireguard/wg0.conf` | | UDP-poort | 51820 (de poort die in de WireGuard-quickstart wordt gebruikt) | | Tunnelsubnet | 10.8.0.0/24 (een privébereik dat voor deze gids is gekozen) | *Prijzen gecontroleerd op 10 november 2026.* De commando's komen uit de WireGuard-quickstart, de man-pagina van wg-quick en de kerneldocumentatie, gecontroleerd op 2026-11-10. ## Welk Gloamport-plan draait een WireGuard-server? Ember is genoeg voor een WireGuard-server: Gloamport noemt het voor "Een WireGuard-VPN voor een paar apparaten". Het heeft 1 vCPU, 1 GB RAM en 1 TB verkeer per maand, en WireGuard gebruikt weinig van de eerste twee. Volgens het onderzoek van Gloamport naar 10 november 2026 was de mediane prijs van een vergelijkbare VPS met 1 vCPU en 1 GB in 32 hosts $10.55 per maand. Wij beweren niet de goedkoopste te zijn op elke maat; het punt is dat een VPN-server geen groot plan nodig heeft. Volledige KVM-virtualisatie: uw eigen kernel, uw eigen firewallregels en uw eigen schijfversleuteling als u die instelt. Voor de accountkant zie [Hoe koop ik een VPS met Monero (XMR)?](https://gloamport.com/nl/buy-vps-with-monero/ "Hoe koop ik een VPS met Monero (XMR)?"). ## Hoe zet ik WireGuard op een VPS op, stap voor stap? Zeven stappen van een nieuwe root-login tot een werkende tunnel. 1. **Inloggen en WireGuard installeren** — Open een root-SSH-sessie op de nieuwe VPS en voer apt update uit, en daarna apt install wireguard. Het pakket levert wg en wg-quick. 2. **Genereer de serversleutels** — Stel umask 077 in, maak daarna een privésleutel en leid de publieke sleutel ervan af. De privésleutel verlaat de server nooit. 3. **Genereer de clientsleutels** — Doe hetzelfde op uw laptop of telefoon. Elk apparaat heeft een eigen sleutelpaar; u wisselt alleen publieke sleutels uit. 4. **Schrijf wg0.conf op de server** — Geef de server een adres binnen het tunnelsubnet, een ListenPort, zijn privésleutel, en één [Peer] per apparaat met de publieke sleutel van dat apparaat en één tunneladres. 5. **Schrijf de clientconfiguratie** — Wijs Endpoint naar het IPv4-adres en de poort van de VPS, stel AllowedIPs in, en voeg PersistentKeepalive = 25 toe als de client achter NAT zit. 6. **Start de interface** — Voer wg-quick up wg0 aan beide kanten uit, en daarna systemctl enable --now wg-quick@wg0 op de server, zodat hij na een herstart terugkomt. 7. **Controleer de handshake** — Voer wg show uit. Een regel "latest handshake" onder de peer betekent dat de sleutels overeenkomen en de UDP-poort bereikbaar is. ## Hoe genereer ik de sleutels en schrijf ik de serverconfiguratie? Genereer sleutels met `wg genkey` en `wg pubkey`, met `umask 077` eerst ingesteld zodat het privésleutelbestand alleen door root leesbaar is. De WireGuard-quickstart geeft dezelfde eenregelige opdracht die hieronder wordt gebruikt. *Installeer en genereer het serversleutelpaar* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Hoe schrijf ik de clientconfiguratie en start ik de tunnel? Schrijf op de client een tweede bestand met de eigen privésleutel, de publieke sleutel van de server en het VPS-adres, en start het daarna met `wg-quick up`. De regel `AllowedIPs` bepaalt welk verkeer de tunnel in gaat: `10.8.0.0/24` stuurt alleen tunnelverkeer, `0.0.0.0/0, ::/0` stuurt alles. *wg0.conf op de laptop (volledige tunnel)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Start hem en controleer de handshake* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## Hoe stuur ik al mijn verkeer via de VPS? Om de VPS als uitgang voor al uw verkeer te gebruiken, schakelt u IPv4-forwarding in en voegt u een masquerade-regel toe op de server. De kerneldocumentatie definieert `net.ipv4.ip_forward` als de schakelaar die pakketten tussen interfaces doorstuurt, en de standaard is 0. Het doel MASQUERADE is alleen geldig in de nat-tabel, in de POSTROUTING-keten. Zet beide in de sectie `[Interface]` van het serverbestand met `PostUp` en `PostDown`, die `wg-quick` in bash uitvoert, en waar `%i` wordt uitgebreid tot de interfacenaam. Zoek eerst de naam van de publieke interface met `ip route show default`, en vervang daarna `eth0` hieronder. *Extra regels voor de [Interface]-sectie van de server* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **Open de UDP-poort en bewaak de sleutels** Sta UDP 51820 toe in de firewall die u op de VPS draait, want WireGuard antwoordt alleen peers die het kent. Plak nooit een privésleutel in een chat of een ticket: als er een lekt, maak dan een nieuw paar en vervang de publieke sleutel aan de andere kant. ## Hoe weet ik dat de WireGuard-tunnel werkt? Voer `wg show` uit op de server: een peer met een recente "latest handshake" en niet-nul overdrachtstellers is verbonden. Verschijnt de handshake nooit, controleer dan of beide publieke sleutels aan de juiste kant staan, of het Endpoint-adres het IPv4-adres van de VPS is, en of UDP 51820 open staat. Eenmaal werkend dekt een Ember voor 12 maanden tegen $3.74 per maand een persoonlijk VPN voor een paar apparaten, zoals de plantekst zegt. Vergelijk deze route met een commerciële in [Is een zelf gehoste VPN op een VPS beter dan een VPN-dienst?](https://gloamport.com/nl/self-hosted-vpn-vs-vpn-service/ "Is een zelfgehoste VPN op een VPS beter dan een VPN-dienst?"). Als het andere uiteinde een thuisserver achter een carrier-grade NAT is, ga dan verder met [Hoe verbind ik mijn thuisnetwerk met een VPS via WireGuard (achter CGNAT)?](https://gloamport.com/nl/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "Hoe verbind ik mijn thuisnetwerk met een VPS via WireGuard (achter CGNAT)?"). Vergrendel daarna de VPS met [Hoe verhard ik SSH op een nieuwe VPS?](https://gloamport.com/nl/guides/how-to-harden-ssh-on-a-vps/ "Hoe verhard ik SSH op een nieuwe VPS?"). **Samengevat** - Installeer `wireguard` met apt op Debian 13 of Ubuntu 24.04. - Maak sleutels met `umask 077` en `wg genkey | tee … | wg pubkey`. - Het serverbestand heeft Address, ListenPort, PrivateKey en één Peer per apparaat nodig. - Het clientbestand heeft de publieke sleutel van de server, Endpoint en AllowedIPs nodig. - `PersistentKeepalive = 25` houdt een NAT-mapping open. - Volledig tunnelgebruik heeft `net.ipv4.ip_forward=1` en een MASQUERADE-regel nodig. - Ember kost $3.74 per maand bij 12 maanden. ## WireGuard op een VPS: veelgestelde vragen ### Welke poort gebruikt WireGuard? WireGuard gebruikt de UDP-poort die met ListenPort in de configuratie is ingesteld. Het quickstart-voorbeeld gebruikt 51820, en deze gids doet hetzelfde. Open die poort in uw firewall. ### Is Ember groot genoeg voor WireGuard? Gloamport noemt Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) voor een WireGuard-VPN voor een paar apparaten. De verkeerslimiet van 1 TB per maand is de grens om in de gaten te houden. ### Wat doet PersistentKeepalive? Het stuurt elke N seconden een pakket zodat een NAT-apparaat de mapping open houdt. De WireGuard-quickstart noemt 25 seconden een redelijk interval, en 0 schakelt het uit. ### Hoe start ik WireGuard bij het opstarten? Voer `systemctl enable --now wg-quick@wg0` uit. Het pakket wireguard-tools van Debian levert de `wg-quick@.service`-unit. ### Kan ik later een tweede apparaat toevoegen? Ja. Maak een sleutelpaar op het nieuwe apparaat, voeg nog een `[Peer]`-blok toe met zijn publieke sleutel en een nieuw tunneladres zoals 10.8.0.3/32, en laad daarna opnieuw met `wg syncconf wg0 <(wg-quick strip wg0)`. ## Bronnen 1. [WireGuard-quickstart](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Handboekpagina wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Bestandslijst van het pakket wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [IP-sysctl: ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8): MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport is een VPS-aanbieder die Linux KVM-servers verkoopt zonder KYC, besteld met een accountnummer en betaald in crypto, Monero eerst; het wordt beheerd door DomaineGoat LLC, een in Panama geregistreerd bedrijf. Een bestelling vraagt om een plan, een munt en, alleen als u dat wilt, een e-mailadres: geen naam, geen postadres, geen telefoonnummer en geen identiteitsdocument. Op de termijn van 12 maanden ligt elk plan minstens 25% onder een genoemd vergelijkbaar plan uit een onderzoek van 38 crypto-VPS-hosts zonder KYC, gelezen op 10 november 2026.