Хоствай сам собствена WireGuard VPN на VPS

Има конкретен сърбеж, който комерсиална VPN никога не почесва напълно: все още вярваш на обещанието за „без логове“ на някой друг. Self-hosting-ът на WireGuard обръща това — сървърът е твой, ключовете са твои, и единствената политика за без-логове, която има значение, е тази, която реално си конфигурирал. Освен това е генуинно бърз и отнема около десет минути. Ето цялото нещо.

Първо, единственото изискване, което хората пропускат

VPN се нуждае от dedicated IP — не NAT/споделен-IP план. Причината е проста: VPN слуша за входящи връзки на UDP порт и изпраща трафика ти обратно навън под собствения адрес на сървъра. Това се нуждае от собствен публичен IP и свободата да отваряш портове. Споделен-IP NAT машина (SSH на пренасочен порт, без произволно входящо) не може да го направи. Така че избери план с dedicated IP, преди да започнеш — всичко по-долу предполага такъв.

Не е нужно да е голям, обаче. WireGuard е лек: машина от 1 GB / 2 ядра тунелира няколко устройства без да се затрудни. Плащаш за IP-то и бандата, не за CPU.

Инсталация (лесният път)

На свежа Ubuntu/Debian dedicated-IP машина, най-бързият маршрут е добре известният wireguard-install helper скрипт, който се грижи за ключовете, интерфейса и първия клиент вместо теб:

sudo apt update && sudo apt install -y curl
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
sudo bash wireguard-install.sh

Той пита няколко въпроса (публичен IP — обикновено автоматично го открива, порт, DNS), после генерира клиентска конфигурация и я показва като QR код. Това е цялата сървърна страна.

Предпочиташ да го направиш на ръка? Ръчната версия е просто: apt install wireguard, генерирай keypair с wg genkey, напиши /etc/wireguard/wg0.conf с твоите [Interface] и [Peer] блок за устройство, включи IP forwarding (net.ipv4.ip_forward=1), и systemctl enable --now wg-quick@wg0. Скриптът просто прави това вместо теб без печатни грешки.

Свържи устройство

• Телефон: инсталирай WireGuard приложението, натисни +, сканирай QR кода, който скриптът отпечата. Готово.
• Лаптоп: инсталирай WireGuard, импортирай .conf файла, който скриптът запази. Превключи го.

За да добавиш друго устройство, пусни скрипта отново и избери „add a client“ — всяко получава собствена конфигурация и ключ.

Не пропускай: заключи машината

Тя е VPN, но все още е сървър с публичен IP, който бива сканиран. Отдели петте минути на checklist за сигурност първо — SSH ключове, без вход с парола, firewall, който разрешава само SSH и твоя WireGuard UDP порт. VPN на незаключена машина е противоречие.

Честните компромиси

Self-hosting-ът печели ясно на доверие и скорост: твоят сървър, твоите ключове, близкия до нативния throughput на WireGuard, без логове, освен ако не ги направиш. Къде не печели:

• Анонимност в тълпа. Целият ти трафик излиза от един фиксиран IP, който очевидно принадлежи на сървър. Това е отлично за поверителност от локалната ти мрежа или ISP и за стабилен личен изход — но е обратното на изчезването в споделен пул. Различна цел.
• Една локация. Получаваш региона, в който е сървърът ти, точка. Без прескачане на държави.
• Ти си админът. Ъпдейти, време на работа и управление на ключове вече са твоя работа — което е точно смисълът, но е работа.

Едно предупреждение, което си струва да се знае: в някои мрежи DPI открива и блокира WireGuard протокола направо. Ако това е ситуацията ти, WireGuard няма да се свърже, колкото и да го конфигурираш — а отговорът е протокол, който се маскира като нормален TLS трафик. Виж собствения си VLESS/Xray сървър за когато WireGuard бъде блокиран.

Ако това, което искаш, е бърз, частен тунел, който контролираш изцяло — за собствените ти устройства, собствения ти трафик, без доверие на трета страна — self-hosted WireGuard е трудно да се победи. Вземи план с dedicated IP (можеш да платиш в crypto, без KYC), пусни скрипта, сканирай QR-а, и тунелираш за около десет минути.

Виж също: VPS за VPN — пълната картина — кой план да избереш, какво да пуснеш и точно кога dedicated IP е задължителен.

Готов да го настроиш? Най-евтиният Nano-IP план ($8/месец) ти дава dedicated IP-то, което WireGuard се нуждае — това е всичко, което трябва.