Jak skonfigurować WireGuard na VPS?

Który plan Gloamport uruchamia serwer WireGuard?

Ember wystarcza na serwer WireGuard: Gloamport wymienia go jako „VPN WireGuard dla kilku urządzeń”. Ma 1 vCPU, 1 GB RAM i 1 TB ruchu miesięcznie, a WireGuard zużywa z tych dwóch pierwszych niewiele.

Według ankiety Gloamport dotyczącej 10 listopada 2026 mediana miesięcznej ceny porównywalnego VPS z 1 vCPU i 1 GB w 32 hosty wynosiła $10.55. Nie twierdzimy, że jesteśmy najtańsi przy każdym rozmiarze; chodzi o to, że serwer VPN nie potrzebuje dużego planu. Pełna wirtualizacja KVM: własne jądro, własne reguły zapory i własne szyfrowanie dysku, o ile zostanie skonfigurowane. Informacje o koncie są w Jak kupić VPS za Monero (XMR)?.

Jak wygenerować klucze i zapisać konfigurację serwera?

Wygenerować klucze poleceniami wg genkey i wg pubkey, z umask 077 ustawionym najpierw, aby plik klucza prywatnego był czytelny tylko dla roota. Szybki start WireGuard podaje tę samą jednolinijkową komendę, której użyto poniżej.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

Jak zapisać konfigurację klienta i uruchomić tunel?

Zapisać drugi plik na kliencie z jego własnym kluczem prywatnym, kluczem publicznym serwera i adresem VPS, a następnie uruchomić go poleceniem wg-quick up. Linia AllowedIPs decyduje, który ruch wchodzi do tunelu: 10.8.0.0/24 kieruje tylko ruch tunelu, a 0.0.0.0/0, ::/0 kieruje wszystko.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

Jak kierować cały ruch przez VPS?

Aby użyć VPS jako wyjścia dla całego ruchu, włączyć przekazywanie IPv4 i dodać regułę masquerade na serwerze. Dokumentacja jądra definiuje net.ipv4.ip_forward jako przełącznik przekazywania pakietów między interfejsami; jego domyślna wartość to 0. Cel MASQUERADE jest prawidłowy tylko w tabeli nat, w łańcuchu POSTROUTING.

Umieścić oba w sekcji [Interface] pliku serwera za pomocą PostUp i PostDown, które wg-quick wykonuje w bashu, a w którym %i rozwija się do nazwy interfejsu. Najpierw znaleźć nazwę publicznego interfejsu poleceniem ip route show default, a następnie zastąpić nią eth0 poniżej.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Jak sprawdzić, czy tunel WireGuard działa?

Uruchomić wg show na serwerze: peer z niedawnym „latest handshake” i niezerowymi licznikami transferu jest połączony. Jeśli uzgadnianie nigdy się nie pojawi, sprawdzić, czy oba klucze publiczne są po właściwych stronach, czy adres Endpoint to adres IPv4 VPS i czy UDP 51820 jest otwarty.

Gdy działa, 12-miesięczny Ember za $3.74 miesięcznie wystarcza na osobisty VPN dla kilku urządzeń, zgodnie z opisem planu. Porównać tę drogę z komercyjną w Czy samodzielnie hostowany VPN na VPS jest lepszy niż usługa VPN?. Jeśli drugim końcem jest serwer domowy za operatorskim NAT (CGNAT), przejść do Jak połączyć sieć domową z VPS przez WireGuard (za CGNAT)?. Następnie zabezpieczyć VPS według Jak zabezpieczyć SSH na nowym VPS?.