# Jak skonfigurować WireGuard na VPS? > Skonfigurować serwer VPN WireGuard na VPS w 7 krokach na Debianie 13 lub Ubuntu 24.04. Ember, 1 vCPU i 1 GB RAM, uruchamia go od $3.74 miesięcznie. - URL: https://gloamport.com/pl/guides/how-to-set-up-wireguard-on-a-vps/ - Ostatnia aktualizacja: 2026-11-10 - Wydawca: Gloamport (https://gloamport.com) Pełny serwer WireGuard na VPS 1 GB, z dokładnymi poleceniami dla Debiana 13 i Ubuntu 24.04. **Krótka odpowiedź — Jak skonfigurować WireGuard na VPS?** Aby skonfigurować WireGuard na VPS, zainstalować pakiet wireguard na Debianie 13 lub Ubuntu 24.04, wygenerować parę kluczy poleceniem wg genkey, zapisać /etc/wireguard/wg0.conf z ListenPort i uruchomić wg-quick up wg0. Plan Gloamport Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, uruchamia to za $3.74 miesięcznie w 12-miesięcznym okresie. ## Czego potrzeba do konfiguracji WireGuard na VPS? | Element | Wartość użyta w tym poradniku | | --- | --- | | Plan | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Cena | $3.74 miesięcznie przy 12 miesiącach, $7.48 miesięcznie przy 1 miesiącu | | System | Debian 13 lub Ubuntu 24.04 | | Pakiet | `wireguard` (instaluje `wg` i `wg-quick`) | | Plik konfiguracyjny | `/etc/wireguard/wg0.conf` | | Port UDP | 51820 (port użyty w szybkim starcie WireGuard) | | Podsieć tunelu | 10.8.0.0/24 (prywatny zakres wybrany na potrzeby tego poradnika) | *Ceny sprawdzone 10 listopada 2026.* Polecenia pochodzą z szybkiego startu WireGuard, strony podręcznika wg-quick i dokumentacji jądra, sprawdzonych 2026-11-10. ## Który plan Gloamport uruchamia serwer WireGuard? Ember wystarcza na serwer WireGuard: Gloamport wymienia go jako „VPN WireGuard dla kilku urządzeń”. Ma 1 vCPU, 1 GB RAM i 1 TB ruchu miesięcznie, a WireGuard zużywa z tych dwóch pierwszych niewiele. Według ankiety Gloamport dotyczącej 10 listopada 2026 mediana miesięcznej ceny porównywalnego VPS z 1 vCPU i 1 GB w 32 hosty wynosiła $10.55. Nie twierdzimy, że jesteśmy najtańsi przy każdym rozmiarze; chodzi o to, że serwer VPN nie potrzebuje dużego planu. Pełna wirtualizacja KVM: własne jądro, własne reguły zapory i własne szyfrowanie dysku, o ile zostanie skonfigurowane. Informacje o koncie są w [Jak kupić VPS za Monero (XMR)?](https://gloamport.com/pl/buy-vps-with-monero/ "Jak kupić VPS za Monero (XMR)?"). ## Jak krok po kroku skonfigurować WireGuard na VPS? Siedem kroków od świeżego logowania jako root do działającego tunelu. 1. **Logowanie i instalacja WireGuard** — Otworzyć sesję SSH jako root na nowym VPS i wykonać apt update, a następnie apt install wireguard. Pakiet dostarcza wg i wg-quick. 2. **Wygenerowanie kluczy serwera** — Ustawić umask 077, a następnie utworzyć klucz prywatny i wyprowadzić z niego klucz publiczny. Klucz prywatny nigdy nie opuszcza serwera. 3. **Wygenerowanie kluczy klienta** — Zrobić to samo na laptopie lub telefonie. Każde urządzenie ma własną parę kluczy; wymienia się tylko klucze publiczne. 4. **Zapis wg0.conf na serwerze** — Nadać serwerowi adres w podsieci tunelu, ListenPort, jego klucz prywatny i po jednym [Peer] na urządzenie z kluczem publicznym tego urządzenia i pojedynczym adresem tunelu. 5. **Zapis konfiguracji klienta** — Wskazać Endpoint na adres IPv4 VPS i port, ustawić AllowedIPs i dodać PersistentKeepalive = 25, jeśli klient znajduje się za NAT. 6. **Uruchomienie interfejsu** — Uruchomić wg-quick up wg0 na obu końcach, a następnie systemctl enable --now wg-quick@wg0 na serwerze, aby wracał po restarcie. 7. **Sprawdzenie uzgadniania** — Uruchomić wg show. Linia „latest handshake” pod peerem oznacza, że klucze się zgadzają i port UDP jest osiągalny. ## Jak wygenerować klucze i zapisać konfigurację serwera? Wygenerować klucze poleceniami `wg genkey` i `wg pubkey`, z `umask 077` ustawionym najpierw, aby plik klucza prywatnego był czytelny tylko dla roota. Szybki start WireGuard podaje tę samą jednolinijkową komendę, której użyto poniżej. *Instalacja i wygenerowanie pary kluczy serwera* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Jak zapisać konfigurację klienta i uruchomić tunel? Zapisać drugi plik na kliencie z jego własnym kluczem prywatnym, kluczem publicznym serwera i adresem VPS, a następnie uruchomić go poleceniem `wg-quick up`. Linia `AllowedIPs` decyduje, który ruch wchodzi do tunelu: `10.8.0.0/24` kieruje tylko ruch tunelu, a `0.0.0.0/0, ::/0` kieruje wszystko. *wg0.conf na laptopie (pełny tunel)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Uruchomić i sprawdzić uzgadnianie* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## Jak kierować cały ruch przez VPS? Aby użyć VPS jako wyjścia dla całego ruchu, włączyć przekazywanie IPv4 i dodać regułę masquerade na serwerze. Dokumentacja jądra definiuje `net.ipv4.ip_forward` jako przełącznik przekazywania pakietów między interfejsami; jego domyślna wartość to 0. Cel MASQUERADE jest prawidłowy tylko w tabeli nat, w łańcuchu POSTROUTING. Umieścić oba w sekcji `[Interface]` pliku serwera za pomocą `PostUp` i `PostDown`, które `wg-quick` wykonuje w bashu, a w którym `%i` rozwija się do nazwy interfejsu. Najpierw znaleźć nazwę publicznego interfejsu poleceniem `ip route show default`, a następnie zastąpić nią `eth0` poniżej. *Dodatkowe linie w sekcji [Interface] serwera* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **Otworzyć port UDP i chronić klucze** Zezwolić na UDP 51820 w zaporze działającej na VPS, ponieważ WireGuard odpowiada tylko znanym peerom. Nigdy nie wklejać klucza prywatnego do czatu ani zgłoszenia: jeśli wycieknie, wygenerować nową parę i wymienić klucz publiczny po drugiej stronie. ## Jak sprawdzić, czy tunel WireGuard działa? Uruchomić `wg show` na serwerze: peer z niedawnym „latest handshake” i niezerowymi licznikami transferu jest połączony. Jeśli uzgadnianie nigdy się nie pojawi, sprawdzić, czy oba klucze publiczne są po właściwych stronach, czy adres Endpoint to adres IPv4 VPS i czy UDP 51820 jest otwarty. Gdy działa, 12-miesięczny Ember za $3.74 miesięcznie wystarcza na osobisty VPN dla kilku urządzeń, zgodnie z opisem planu. Porównać tę drogę z komercyjną w [Czy samodzielnie hostowany VPN na VPS jest lepszy niż usługa VPN?](https://gloamport.com/pl/self-hosted-vpn-vs-vpn-service/ "Czy VPN na VPS jest lepszy od usługi VPN?"). Jeśli drugim końcem jest serwer domowy za operatorskim NAT (CGNAT), przejść do [Jak połączyć sieć domową z VPS przez WireGuard (za CGNAT)?](https://gloamport.com/pl/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "Jak połączyć domową sieć z VPS przez WireGuard (za CGNAT)?"). Następnie zabezpieczyć VPS według [Jak zabezpieczyć SSH na nowym VPS?](https://gloamport.com/pl/guides/how-to-harden-ssh-on-a-vps/ "Jak zabezpieczyć SSH na nowym VPS?"). **Podsumowanie** - Zainstalować `wireguard` przez apt na Debianie 13 lub Ubuntu 24.04. - Wygenerować klucze poleceniami `umask 077` i `wg genkey | tee … | wg pubkey`. - Plik serwera potrzebuje Address, ListenPort, PrivateKey i jednego Peer na urządzenie. - Plik klienta potrzebuje klucza publicznego serwera, Endpoint i AllowedIPs. - `PersistentKeepalive = 25` utrzymuje mapowanie NAT otwarte. - Użycie pełnego tunelu wymaga `net.ipv4.ip_forward=1` i reguły MASQUERADE. - Ember kosztuje $3.74 miesięcznie przy 12 miesiącach. ## WireGuard na VPS: najczęstsze pytania ### Którego portu używa WireGuard? WireGuard używa portu UDP ustawionego przez ListenPort w konfiguracji. Przykład z szybkiego startu używa 51820 i ten poradnik robi tak samo. Otworzyć ten port w zaporze. ### Czy Ember wystarcza dla WireGuard? Gloamport wymienia Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) do VPN WireGuard dla kilku urządzeń. Limit ruchu wynoszący 1 TB miesięcznie to jedyna granica, na którą trzeba uważać. ### Co robi PersistentKeepalive? Wysyła pakiet co N sekund, aby urządzenie NAT utrzymywało mapowanie. Szybki start WireGuard nazywa 25 sekund rozsądnym interwałem, a 0 wyłącza tę funkcję. ### Jak uruchomić WireGuard przy starcie? Uruchomić `systemctl enable --now wg-quick@wg0`. Pakiet wireguard-tools w Debianie dostarcza jednostkę `wg-quick@.service`. ### Czy można dodać drugie urządzenie później? Tak. Wygenerować parę kluczy na nowym urządzeniu, dodać kolejny blok `[Peer]` z jego kluczem publicznym i nowym adresem tunelu, takim jak 10.8.0.3/32, a następnie przeładować poleceniem `wg syncconf wg0 <(wg-quick strip wg0)`. ## Źródła 1. [Szybki start WireGuard](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Strona podręcznika wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Lista plików pakietu wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [Sysctl IP: ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8): MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport to dostawca VPS, który sprzedaje serwery Linux KVM bez KYC. Zamówienie składa się na numer konta i opłaca kryptowalutą, przede wszystkim Monero; firmę prowadzi DomaineGoat LLC, spółka zarejestrowana w Panamie. Zamówienie wymaga wyboru planu, monety i, tylko jeśli ktoś tego chce, adresu e-mail: bez imienia i nazwiska, bez adresu pocztowego, bez telefonu i bez dokumentu tożsamości. Przy okresie 12 miesięcy każdy plan kosztuje co najmniej o 25% mniej niż wskazany porównywalny plan z badania 38 hostów VPS płatnych kryptowalutami bez KYC, odczytanego 10 listopada 2026.