在 VPS 上自建您自己的 WireGuard VPN

商業 VPN 總有一處撓不到的癢：您仍然在信別人的無記錄承諾。自建 WireGuard 把它反過來——伺服器是您的、金鑰是您的，唯一要緊的無記錄政策就是您真正配好的那個。它還真的很快，大約十分鐘。整套如下。

首先，人們漏掉的那一個要求

VPN 需要一個獨立IP——不是 NAT 方案。原因很簡單：VPN 在一個 UDP 埠上監聽對內連線，並以伺服器自己的位址把您的流量送出去。那需要您自己的公用 IP 和開埠的自由。一台 NAT 機器（透過專屬埠 SSH/RDP、沒有任意對內）做不到。所以在開始前選一個獨立IP方案——下面的一切都假設您有一個。

不過它不用很大。WireGuard 很輕：一台 1 GB / 2 核的機器給好幾台裝置開通道都毫不費力。您付的是 IP 和頻寬，不是 CPU。

安裝（簡單路子）

在一台全新的 Ubuntu/Debian 獨立IP 機器上，最快的路子是那個眾所周知的 wireguard-install 輔助指令碼，它替您處理金鑰、介面和第一個用戶端：

sudo apt update && sudo apt install -y curl
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
sudo bash wireguard-install.sh

它會問幾個問題（公用 IP——通常自動偵測、埠、DNS），然後產生一個用戶端設定並以QR 碼顯示。這就是整個服務端。

更想手動做？手動版本就是：apt install wireguard、用 wg genkey 產生一對金鑰、寫 /etc/wireguard/wg0.conf（帶您的 [Interface] 和每台裝置一個 [Peer] 塊）、啟用 IP 轉發（net.ipv4.ip_forward=1），然後 systemctl enable --now wg-quick@wg0。指令碼只是替您把這些沒打錯字地做了。

連線一台裝置

• 手機： 裝 WireGuard app，點 +，掃指令碼列印的QR 碼。完成。
• 筆電： 裝 WireGuard，匯入指令碼儲存的 .conf 檔案。開啟開關。

要加另一台裝置，重跑指令碼、選「新增一個用戶端」——每台都拿到自己的設定和金鑰。

別跳過：鎖當機器

它是個 VPN，但仍是一台帶公用 IP、正被掃描的伺服器。先花五分鐘做安全清單——SSH 金鑰、停用密碼登入、一個只放行 SSH 和您 WireGuard UDP 埠的防火牆。一個 VPN 跑在未加固的機器上是自相矛盾。

誠實的取捨

自建在信任和速度上明顯贏：您的伺服器、您的金鑰、WireGuard 近乎原生的吞吐、除非您自己造否則沒有記錄。它不贏的地方：

• 人群中的匿名。 您所有的流量從一個明顯屬於伺服器的固定 IP 出去。那對相對您的本機網路或 ISP的隱私、以及一個穩定的個人出口很棒——但它是消失進共享池的反面。目標不同。
• 一個地點。 您拿到您伺服器所在的地區，就這樣。不能國家間跳。
• 您是管理員。 更新、正常執行時間和金鑰管理現在是您的活——這正是重點，但它確實是個活。

一個值得知道的注意點： 在某些網路裡，DPI 會直接識別並封鎖 WireGuard 協議。如果那是您的情況，無論您怎麼配 WireGuard 都連不上——答案是一個把自己偽裝成正常 TLS 流量的協議。WireGuard 被封時看您自己的 VLESS/Xray 伺服器。

如果您想要的是一條您完全掌控的、快速私密的通道——給您自己的裝置、您自己的流量、不用信第三方——自建 WireGuard 很難被打敗。拿一個獨立IP方案（您可以用加密貨幣付款，免 KYC），跑指令碼、掃QR 碼，您大約十分鐘就在開通道了。

另見： 面向 VPN 的 VPS——完整圖景——選哪個方案、跑什麼、以及獨立IP 到底何時必需。

準備好搭建了？ 最便宜的 Nano-IP 方案（$8/月） 給您 WireGuard 所需的獨立IP——只需這些。

用於 Headscale 的 VPS：自託管 Tailscale 控制伺服器 →