Власний WireGuard VPN на VPS — піднімаємо самі

Є свербіж, який комерційний VPN так і не вгамовує: ви все одно довіряєте чиємусь чужому обіцянню «без логів». Свій WireGuard перевертає це — сервер ваш, ключі ваші, і єдина політика «без логів», що важить, — та, яку ви реально налаштували. До того ж це по-справжньому швидко й займає хвилин десять. Ось усе цілком.

Спершу — вимога, яку всі пропускають

VPN потрібен виділений IP — не NAT. Причина проста: VPN слухає вхідні на UDP-порту й відправляє ваш трафік назад під власною адресою сервера. Для цього потрібен свій публічний IP і свобода відкривати порти. NAT-сервер (SSH/RDP через персональний порт, без довільних вхідних) так не вміє. Тож беріть тариф із виділеним IP до старту — усе нижче передбачає його.

Великим він бути не зобов'язаний. WireGuard легкий: 1 ГБ / 2 ядра тунелюють кілька пристроїв без напруги. Ви платите за IP і трафік, не за CPU.

Встановлення (легкий шлях)

На свіжому Ubuntu/Debian з виділеним IP найшвидше — відомий скрипт-помічник wireguard-install, який сам робить ключі, інтерфейс і першого клієнта:

sudo apt update && sudo apt install -y curl
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
sudo bash wireguard-install.sh

Він поставить пару питань (публічний IP — зазвичай сам визначає, порт, DNS), потім згенерує конфіг клієнта й покаже його QR-кодом. Це вся серверна частина.

Хочете руками? Ручний варіант — це apt install wireguard, ключі через wg genkey, /etc/wireguard/wg0.conf з [Interface] і блоком [Peer] на пристрій, увімкнути форвардинг (net.ipv4.ip_forward=1) і systemctl enable --now wg-quick@wg0. Скрипт просто робить це без одруківок.

Підключити пристрій

• Телефон: поставте застосунок WireGuard, натисніть +, відскануйте QR, який вивів скрипт. Готово.
• Ноутбук: поставте WireGuard, імпортуйте .conf, який зберіг скрипт. Увімкніть.

Додати ще пристрій — перезапустіть скрипт і оберіть «додати клієнта»: кожному свій конфіг і ключ.

Не пропускайте: закрийте сервер

Це VPN, але все ще сервер із публічним IP, який сканують. Спершу витратьте п'ять хвилин на чек-ліст безпеки — SSH-ключі, вимкнений пароль, фаєрвол, що дозволяє лише SSH і ваш UDP-порт WireGuard. VPN на незакритому сервері — суперечність.

Чесні розміни

Свій VPN явно виграє в довірі та швидкості: ваш сервер, ваші ключі, майже нативна пропускна WireGuard, немає логів, доки ви їх не ввімкнете. Де не виграє:

• Анонімність у натовпі. Увесь трафік виходить з одного фіксованого IP, явно серверного. Чудово для приватності від вашої локальної мережі чи провайдера і для стабільного особистого виходу — але це протилежність розчиненню в спільному пулі. Інша мета.
• Одна локація. Отримуєте регіон, де стоїть сервер, і все. Без стрибків по країнах.
• Ви — адмін. Оновлення, аптайм і ключі тепер ваша турбота — у цьому й сенс, але це робота.

Одна засторога, яку варто знати: у деяких мережах DPI детектить і блокує протокол WireGuard наглухо. Якщо це ваш випадок — WireGuard не підключиться, хоч як налаштовуй, і відповідь тут — протокол, що маскується під звичайний TLS-трафік. Див. свій сервер VLESS/Xray для випадку, коли WireGuard блокують.

Якщо потрібен швидкий приватний тунель під повним вашим контролем — для своїх пристроїв, свого трафіку, без довіри третім — свій WireGuard важко перебити. Візьміть тариф із виділеним IP (можна крипто-оплатою, без KYC), запустіть скрипт, відскануйте QR — і тунель готовий хвилин за десять.

Див. також: VPS для VPN — повний розбір — який тариф обрати, що запускати і коли саме потрібен виділений IP.

Готові підняти? Найдешевший Nano-IP ($8/міс) дає виділений IP, який потрібен WireGuard — цього досить.

VPS для Headscale: власний сервер керування Tailscale →