Làm sao để thiết lập WireGuard trên VPS?

Gói Gloamport nào chạy máy chủ WireGuard?

Ember đủ cho một máy chủ WireGuard: Gloamport liệt kê nó cho "VPN WireGuard cho vài thiết bị". Gói có 1 vCPU, 1 GB RAM và 1 TB lưu lượng mỗi tháng, và WireGuard dùng ít hai thứ đầu.

Theo khảo sát của Gloamport về 10 tháng 11, 2026, giá trung vị của một VPS 1 vCPU, 1 GB tương đương trên 32 nhà cung cấp là $10.55 mỗi tháng. Chúng tôi không tự nhận là rẻ nhất ở mọi kích cỡ; điều quan trọng là một máy chủ VPN không cần một gói lớn. Ảo hóa KVM đầy đủ: kernel riêng, quy tắc tường lửa riêng và mã hóa đĩa riêng nếu bạn thiết lập. Về phía tài khoản, xem Làm sao để mua VPS bằng Monero (XMR)?.

Làm sao để tạo khóa và viết cấu hình máy chủ?

Tạo khóa bằng wg genkey và wg pubkey, với umask 077 được đặt trước để tệp khóa riêng tư chỉ root đọc được. WireGuard quickstart đưa ra cùng một dòng lệnh được dùng bên dưới.

apt update
apt install wireguard
umask 077
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
cat /etc/wireguard/server.pub

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of /etc/wireguard/server.key>

[Peer]
# laptop
PublicKey = <public key of the laptop>
AllowedIPs = 10.8.0.2/32

Làm sao để viết cấu hình client và khởi động đường hầm?

Viết một tệp thứ hai trên client với khóa riêng tư của nó, khóa công khai của máy chủ và địa chỉ VPS, rồi bật nó bằng wg-quick up. Dòng AllowedIPs quyết định lưu lượng nào đi vào đường hầm: 10.8.0.0/24 chỉ gửi lưu lượng đường hầm, 0.0.0.0/0, ::/0 gửi mọi thứ.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <private key of the laptop>

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

# on the VPS
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show

# on the laptop
wg-quick up wg0

Làm sao để định tuyến toàn bộ lưu lượng qua VPS?

Để dùng VPS làm lối ra cho toàn bộ lưu lượng, bật IPv4 forwarding và thêm một quy tắc masquerade trên máy chủ. Tài liệu kernel định nghĩa net.ipv4.ip_forward là công tắc chuyển tiếp gói giữa các giao diện, và mặc định của nó là 0. Đích MASQUERADE chỉ hợp lệ trong bảng nat, trong chuỗi POSTROUTING.

Đặt cả hai vào mục [Interface] của tệp máy chủ, với PostUp và PostDown, trong đó wg-quick chạy trong bash và %i mở rộng thành tên giao diện. Tìm tên giao diện công khai trước bằng ip route show default, rồi thay eth0 bên dưới.

PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Làm sao để biết đường hầm WireGuard hoạt động?

Chạy wg show trên máy chủ: một peer có "latest handshake" gần đây và bộ đếm truyền tải khác 0 nghĩa là đã kết nối. Nếu handshake không bao giờ xuất hiện, hãy kiểm tra cả hai khóa công khai đã nằm đúng phía, địa chỉ Endpoint là địa chỉ IPv4 của VPS, và cổng UDP 51820 đã mở.

Khi đã hoạt động, một Ember 12 tháng với $3.74 mỗi tháng đủ cho một VPN cá nhân cho vài thiết bị, đúng như mô tả gói. So sánh cách này với một dịch vụ thương mại trong VPN tự lưu trữ trên VPS có tốt hơn dịch vụ VPN không?. Nếu đầu bên kia là máy chủ nhà đặt sau CGNAT, hãy tiếp tục với Làm sao để kết nối mạng nhà với VPS bằng WireGuard (sau CGNAT)?. Sau đó khóa VPS bằng Làm sao để tăng cường bảo mật SSH trên VPS mới?.