# Як налаштувати WireGuard на VPS? > Налаштуйте VPN WireGuard на VPS за 7 кроків на Debian 13 або Ubuntu 24.04. Ember, 1 vCPU і 1 GB RAM, працює від $3.74 на місяць. - URL: https://gloamport.com/uk/guides/how-to-set-up-wireguard-on-a-vps/ - Останнє оновлення: 2026-11-10 - Видавець: Gloamport (https://gloamport.com) Повний сервер WireGuard на VPS 1 GB з точними командами для Debian 13 і Ubuntu 24.04. **Коротка відповідь — Як налаштувати WireGuard на VPS?** Щоб налаштувати WireGuard на VPS, встановіть пакет wireguard на Debian 13 або Ubuntu 24.04, створіть пару ключів командою wg genkey, напишіть /etc/wireguard/wg0.conf з ListenPort і запустіть його командою wg-quick up wg0. Тариф Gloamport Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, працює так за $3.74 на місяць при 12-місячному терміні. ## Що потрібно, щоб налаштувати WireGuard на VPS? | Елемент | Значення, що використовуються в цьому гайді | | --- | --- | | План | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Ціна | $3.74 на місяць при 12-місячному терміні, $7.48 на місяць при оплаті за 1 місяць | | Система | Debian 13 або Ubuntu 24.04 | | Пакет | `wireguard` (встановлює `wg` і `wg-quick`) | | Файл конфігурації | `/etc/wireguard/wg0.conf` | | Порт UDP | 51820 (порт зі швидкого старту WireGuard) | | Підмережа тунелю | 10.8.0.0/24 (приватний діапазон, обраний для цього гайду) | *Ціни перевірено 10 листопада 2026 р..* Команди взято зі швидкого старту WireGuard, сторінки посібника wg-quick і документації ядра, перевірено 2026-11-10. ## Який тариф Gloamport запускає сервер WireGuard? Ember підходить для сервера WireGuard: Gloamport пропонує його для «WireGuard VPN для кількох пристроїв». Тариф має 1 vCPU, 1 GB RAM і 1 TB трафіку на місяць, а WireGuard використовує мало перших двох. За опитуванням Gloamport серед 10 листопада 2026 р. медіанна ціна порівнянного VPS з 1 vCPU і 1 GB у 32 хости становила $10.55 на місяць. Ми не стверджуємо, що є найдешевшими на кожному розмірі; суть у тому, що VPN-серверу не потрібен великий тариф. Повна віртуалізація KVM: власне ядро, власні правила брандмауера і власне шифрування диска, якщо ви його налаштуєте. Щодо облікового запису дивіться [Як купити VPS за Monero (XMR)?](https://gloamport.com/uk/buy-vps-with-monero/ "Як купити VPS за Monero (XMR)?"). ## Як налаштувати WireGuard на VPS крок за кроком? Сім кроків від першого входу root до працюючого тунелю. 1. **Увійдіть і встановіть WireGuard** — Відкрийте сеанс SSH як root на новому VPS і виконайте apt update, потім apt install wireguard. Пакет надає wg і wg-quick. 2. **Згенеруйте ключі сервера** — Задайте umask 077, потім створіть приватний ключ і виведіть з нього публічний. Приватний ключ ніколи не залишає сервер. 3. **Згенеруйте ключі клієнта** — Зробіть те саме на ноутбуці або телефоні. Кожен пристрій має власну пару ключів; ви обмінюєтеся лише публічними ключами. 4. **Напишіть wg0.conf на сервері** — Дайте серверу адресу всередині підмережі тунелю, ListenPort, його приватний ключ і по одному [Peer] на пристрій з публічним ключем цього пристрою та однією адресою тунелю. 5. **Напишіть конфігурацію клієнта** — Вкажіть Endpoint на IPv4-адресу і порт VPS, задайте AllowedIPs і додайте PersistentKeepalive = 25, якщо клієнт за NAT. 6. **Запустіть інтерфейс** — Виконайте wg-quick up wg0 на обох кінцях, потім systemctl enable --now wg-quick@wg0 на сервері, щоб він піднімався після перезавантаження. 7. **Перевірте рукостискання** — Виконайте wg show. Рядок «latest handshake» під peer означає, що ключі збігаються і порт UDP доступний. ## Як згенерувати ключі і написати конфігурацію сервера? Згенеруйте ключі командами `wg genkey` і `wg pubkey`, спершу задавши `umask 077`, щоб файл приватного ключа читав лише root. Швидкий старт WireGuard дає той самий однорядковий вираз, що використано нижче. *Встановіть і згенеруйте пару ключів сервера* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Як написати конфігурацію клієнта і запустити тунель? Напишіть другий файл на клієнті з його власним приватним ключем, публічним ключем сервера і адресою VPS, потім запустіть його командою `wg-quick up`. Рядок `AllowedIPs` визначає, який трафік потрапляє в тунель: `10.8.0.0/24` пропускає лише трафік тунелю, `0.0.0.0/0, ::/0` — весь трафік. *wg0.conf на ноутбуці (повний тунель)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Запустіть і перевірте рукостискання* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## Як направити весь мій трафік через VPS? Щоб використовувати VPS як вихід для всього вашого трафіку, увімкніть переадресацію IPv4 і додайте правило masquerade на сервері. Документація ядра визначає `net.ipv4.ip_forward` як перемикач, що пересилає пакети між інтерфейсами, а його значення за замовчуванням — 0. Ціль MASQUERADE дійсна лише в таблиці nat, у ланцюгу POSTROUTING. Обидва рядки запишіть у розділ `[Interface]` файлу сервера разом із `PostUp` і `PostDown`; `wg-quick` виконується в bash, а `%i` розгортається в назву інтерфейсу. Спершу знайдіть назву публічного інтерфейсу командою `ip route show default`, потім замініть `eth0` нижче. *Додаткові рядки для розділу [Interface] сервера* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **Відкрийте порт UDP і захистіть ключі** Дозвольте UDP 51820 у брандмауері на VPS, бо WireGuard відповідає лише відомим йому peer. Ніколи не вставляйте приватний ключ у чат чи тикет: якщо він витече, створіть нову пару і замініть публічний ключ на другому кінці. ## Як дізнатися, що тунель WireGuard працює? Запустіть `wg show` на сервері: peer з недавнім «latest handshake» і ненульовими лічильниками передачі під'єднаний. Якщо рукостискання так і не з'являється, перевірте, що обидва публічні ключі стоять на правильних місцях, що адреса Endpoint — IPv4-адреса VPS і що порт UDP 51820 відкритий. Коли все запрацює, 12-місячний Ember за $3.74 на місяць покриває особистий VPN для кількох пристроїв, як і написано в описі тарифу. Порівняйте цей шлях із комерційним у [Чи краще самостійно розміщений VPN на VPS, ніж сервіс VPN?](https://gloamport.com/uk/self-hosted-vpn-vs-vpn-service/ "Чи краще VPN на власному VPS, ніж VPN-сервіс?"). Якщо інший кінець — домашній сервер за NAT операторського рівня (CGNAT), продовжуйте з [Як підключити домашню мережу до VPS через WireGuard (за CGNAT)?](https://gloamport.com/uk/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "Як під’єднати домашню мережу до VPS через WireGuard (за CGNAT)?"). Потім закрийте VPS за допомогою [Як захистити SSH на новому VPS?](https://gloamport.com/uk/guides/how-to-harden-ssh-on-a-vps/ "Як захистити SSH на новому VPS?"). **Підсумок** - Встановіть `wireguard` через apt на Debian 13 або Ubuntu 24.04. - Створіть ключі командами `umask 077` і `wg genkey | tee … | wg pubkey`. - Файлу сервера потрібні Address, ListenPort, PrivateKey і по одному Peer на пристрій. - Файлу клієнта потрібні публічний ключ сервера, Endpoint і AllowedIPs. - `PersistentKeepalive = 25` тримає відкритим відображення NAT. - Для повного тунелю потрібні `net.ipv4.ip_forward=1` і правило MASQUERADE. - Ember коштує $3.74 на місяць при 12-місячному терміні. ## WireGuard на VPS: поширені питання ### Який порт використовує WireGuard? WireGuard використовує порт UDP, заданий ListenPort у конфігурації. Приклад швидкого старту використовує 51820, і цей гайд робить так само. Відкрийте цей порт у брандмауері. ### Чи достатній Ember для WireGuard? Gloamport пропонує Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) для VPN WireGuard для кількох пристроїв. За лімітом трафіку 1 TB на місяць варто стежити. ### Що робить PersistentKeepalive? Він надсилає пакет кожні N секунд, щоб пристрій NAT тримав відображення відкритим. Швидкий старт WireGuard називає 25 секунд розумним інтервалом, а 0 вимикає його. ### Як запускати WireGuard під час завантаження? Виконайте `systemctl enable --now wg-quick@wg0`. Пакет wireguard-tools у Debian містить юніт `wg-quick@.service`. ### Чи можна додати другий пристрій пізніше? Так. Згенеруйте пару ключів на новому пристрої, додайте ще один блок `[Peer]` з його публічним ключем і новою адресою тунелю, наприклад 10.8.0.3/32, потім перезавантажте конфігурацію командою `wg syncconf wg0 <(wg-quick strip wg0)`. ## Джерела 1. [Швидкий старт WireGuard](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Сторінка керівництва wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Список файлів пакета wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [IP sysctl: ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8): MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport — провайдер VPS, що продає Linux-сервери KVM без KYC. Замовлення оформлюється за номером облікового запису з оплатою криптовалютою, насамперед Monero; сервіс керується компанією DomaineGoat LLC, зареєстрованою в Панамі. Для замовлення потрібні тариф, монета і, лише якщо ви цього хочете, адреса email: без імені, поштової адреси, телефону і документа, що посвідчує особу. На терміні 12 місяців кожен тариф коштує щонайменше на 25% менше за названий порівнянний тариф із дослідження 38 VPS-хостів без KYC, що приймають криптовалюту, зчитаного 10 листопада 2026 року.