ฉันจะตั้งค่า WireGuard บน VPS ได้อย่างไร?

แพ็กเกจ Gloamport ใดรันเซิร์ฟเวอร์ WireGuard?

Ember เพียงพอสำหรับเซิร์ฟเวอร์ WireGuard Gloamport ระบุว่าเหมาะกับ "VPN WireGuard สำหรับอุปกรณ์ไม่กี่เครื่อง" มี vCPU 1 RAM 1 GB และทราฟฟิก 1 TB ต่อเดือน และ WireGuard ใช้สองอย่างแรกน้อยมาก

ตามการสำรวจของ Gloamport เกี่ยวกับ 10 พฤศจิกายน 2569 ราคามัธยฐานของ VPS 1 vCPU 1 GB ที่ใกล้เคียงกันทั่วทั้ง 32 โฮสต์ อยู่ที่ $10.55 ต่อเดือน เราไม่ได้อ้างว่าถูกที่สุดในทุกขนาด ประเด็นคือเซิร์ฟเวอร์ VPN ไม่จำเป็นต้องใช้แพ็กเกจใหญ่ KVM เต็มรูปแบบ: เคอร์เนลของคุณเอง กฎไฟร์วอลล์ของคุณเอง และการเข้ารหัสดิสก์ของคุณเองหากคุณตั้งค่าไว้ สำหรับฝั่งบัญชี ดู ฉันจะซื้อ VPS ด้วย Monero (XMR) ได้อย่างไร?

ฉันจะสร้างคีย์และเขียนการตั้งค่าเซิร์ฟเวอร์ได้อย่างไร?

สร้างคีย์ด้วย wg genkey และ wg pubkey โดยตั้ง umask 077 ก่อน เพื่อให้ไฟล์คีย์ส่วนตัวอ่านได้เฉพาะ root คู่มือ WireGuard quickstart ให้คำสั่งบรรทัดเดียวแบบเดียวกับที่ใช้ด้านล่าง

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

ฉันจะเขียนการตั้งค่าไคลเอนต์และเริ่มอุโมงค์ได้อย่างไร?

เขียนไฟล์ที่สองบนไคลเอนต์ด้วยคีย์ส่วนตัวของมันเอง คีย์สาธารณะของเซิร์ฟเวอร์ และที่อยู่ VPS แล้วเปิดด้วย wg-quick up บรรทัด AllowedIPs กำหนดว่าทราฟฟิกใดเข้าอุโมงค์: 10.8.0.0/24 ส่งเฉพาะทราฟฟิกของอุโมงค์ ส่วน 0.0.0.0/0, ::/0 ส่งทุกอย่าง

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

ฉันจะส่งทราฟฟิกทั้งหมดผ่าน VPS ได้อย่างไร?

หากต้องการใช้ VPS เป็นทางออกสำหรับทราฟฟิกทั้งหมดของคุณ ให้เปิด IPv4 forwarding และเพิ่มกฎ masquerade บนเซิร์ฟเวอร์ เอกสารเคอร์เนลนิยาม net.ipv4.ip_forward ว่าเป็นสวิตช์ที่ส่งแพ็กเก็ตระหว่างอินเทอร์เฟซ และค่าเริ่มต้นคือ 0 เป้าหมาย MASQUERADE ใช้ได้เฉพาะในตาราง nat ในโซ่ POSTROUTING

ใส่ทั้งสองอย่างในส่วน [Interface] ของไฟล์เซิร์ฟเวอร์ด้วย PostUp และ PostDown ซึ่ง wg-quick ทำงานใน bash และ %i จะขยายเป็นชื่ออินเทอร์เฟซ ค้นหาชื่ออินเทอร์เฟซสาธารณะก่อนด้วย ip route show default แล้วแทนที่ eth0 ด้านล่าง

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

ฉันจะรู้ได้อย่างไรว่าอุโมงค์ WireGuard ทำงานได้?

รัน wg show บนเซิร์ฟเวอร์ peer ที่มี "latest handshake" ล่าสุดและตัวนับการรับส่งที่ไม่ใช่ศูนย์คือเชื่อมต่อแล้ว หากการจับมือไม่เคยปรากฏ ให้ตรวจว่าคีย์สาธารณะทั้งสองอยู่ฝั่งที่ถูกต้อง ที่อยู่ Endpoint คือ IPv4 ของ VPS และ UDP 51820 เปิดอยู่

เมื่อทำงานได้แล้ว Ember ที่ $3.74 ต่อเดือนในสัญญา 12 เดือนครอบคลุม VPN ส่วนตัวสำหรับอุปกรณ์ไม่กี่เครื่อง ตามที่คำอธิบายแพ็กเกจระบุ เปรียบเทียบเส้นทางนี้กับเส้นทางเชิงพาณิชย์ได้ใน VPN ที่โฮสต์เองบน VPS ดีกว่าบริการ VPN หรือไม่? หากปลายอีกด้านคือเซิร์ฟเวอร์บ้านที่อยู่หลัง carrier-grade NAT ให้ทำต่อด้วย ฉันจะเชื่อมเครือข่ายบ้านกับ VPS ด้วย WireGuard ได้อย่างไร (หลัง CGNAT)? จากนั้นล็อก VPS ด้วย วิธีทำให้ SSH แข็งแรงบน VPS ใหม่?