Neckrez

Как настроить WireGuard VPN на своём VPS (Ubuntu, пошагово)

Свой WireGuard VPN на VPS за десять минут: установка, ключи, файрвол и QR-код для телефона. Оплата криптой, почасовая тарификация.

Зачем запускать WireGuard на своём VPS

Чтобы настроить WireGuard VPN на VPS, нужно установить один пакет, создать две пары ключей, написать короткий конфиг и открыть один UDP-порт. Это руководство проведёт вас от пустого сервера с Ubuntu до работающего VPN на телефоне и ноутбуке примерно за десять минут.

У VPN, который вы запускаете сами, один пользователь: вы. Вы выбираете страну, знаете, у кого есть root, и за тем же IP нет толпы незнакомцев. WireGuard компактный, быстрый и встроен в ядро Linux, поэтому сервера с 1 vCPU хватает на несколько личных устройств.

  • Свой IP - у сервера выделенный IPv4, которым не пользуется никто другой.
  • Своя локация - выбирайте любую страну из 51 локации в шести регионах.
  • Малые накладные расходы - WireGuard использует один UDP-порт и очень мало CPU.
  • Полный контроль - вы сами решаете, что логировать, и по умолчанию не нужно ничего.

Одна честная оговорка: свой VPN переносит ваш трафик на другой IP, но сервер всё равно принадлежит хостинг-провайдеру. Он не заменяет хорошие привычки и сам по себе не делает вас анонимным.

Как это сделать на Neckrez

  • Регистрация - email или Google/GitHub. Без KYC, без документов, телефона и карты.
  • Пополните баланс криптой - от $15. USDT в сетях BEP20, TON, Polygon или Solana стоит копейки комиссии; TRC20 обойдётся на несколько долларов дороже за пополнение.
  • Выберите тариф, локацию и ОС - для личного использования хватит Quark (1 vCPU, 1 ГБ, $10/мес). Выберите Ubuntu и страну, из которой хотите выходить в сеть.
  • Сервер готов примерно за минуту - с полным root и выделенным IPv4.
  • Почасовая оплата - сервер оплачивается, пока существует, даже остановленный. Удалите его, и списания прекратятся.

На странице деплоя есть и 1-click приложение WireGuard, если нужен готовый результат без шагов ниже. Ручной путь стоит пройти один раз: вы поймёте, что делает каждая строка, и сможете менять настройки. Страница, посвящённая этой задаче: VPS для VPN.

Установка WireGuard и генерация ключей

Подключитесь по SSH под root или пользователем с sudo. Установите WireGuard и qrencode, который выводит QR-код для сканирования телефоном.

sudo apt update
sudo apt install -y wireguard qrencode

Затем создайте пару ключей для сервера и одну для первого устройства. umask оставляет приватные ключи доступными только root. Последняя команда выводит имя сетевого интерфейса; запомните его, ведь конфиг ниже предполагает eth0.

sudo -i
cd /etc/wireguard
umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee phone.key | wg pubkey > phone.pub
ip -o -4 route show to default | awk '{print $5}'

Конфиг сервера и файрвол

Создайте /etc/wireguard/wg0.conf с содержимым ниже. Замените два плейсхолдера реальным содержимым server.key и phone.pub. Если ваш интерфейс не eth0, поменяйте его и в PostUp, и в PostDown.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of server.key>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <contents of phone.pub>
AllowedIPs = 10.8.0.2/32

Теперь включите пересылку IP, разрешите в файрволе SSH и порт WireGuard и запустите туннель. Разрешите SSH до включения ufw, иначе вы заблокируете себе доступ.

echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-wg.conf
sysctl --system
ufw allow OpenSSH
ufw allow 51820/udp
ufw enable
systemctl enable --now wg-quick@wg0
wg show

Если wg show показывает интерфейс wg0, серверная часть готова. Туннель поднимается после каждой перезагрузки, потому что включён в systemd.

Подключение телефона или ноутбука

Создайте /etc/wireguard/phone.conf с клиентским конфигом ниже. Укажите реальный IP сервера из панели Neckrez. AllowedIPs = 0.0.0.0/0 отправляет весь трафик через VPN; сузьте значение, если нужен доступ только к самому серверу.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <contents of phone.key>
DNS = 1.1.1.1

[Peer]
PublicKey = <contents of server.pub>
Endpoint = YOUR_SERVER_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Выведите конфиг QR-кодом в терминале и отсканируйте официальным приложением WireGuard. На ноутбуке вместо этого импортируйте файл в приложение WireGuard.

qrencode -t ansiutf8 < /etc/wireguard/phone.conf

Включите туннель и проверьте публичный IP в браузере. Теперь это адрес сервера. Для второго устройства повторите шаг с ключами, добавьте ещё один блок [Peer] с AllowedIPs = 10.8.0.3/32 и задайте устройству Address = 10.8.0.3/24.

Правило: одна пара ключей на устройство, без общих. Если телефон потерян, удалите его блок [Peer] и перезапустите туннель; остальные устройства продолжат работать.

Какая линейка серверов Neckrez подходит для личного VPN

Здесь подойдёт обычный VPS. WireGuard почти не нагружает CPU, поэтому самых маленьких тарифов хватает одному человеку или семье. Dedicated CPU, где ядра зарезервированы за вами, становится шагом вверх, только если через сервер весь день идёт тяжёлый трафик многих пользователей. Bare metal для этой задачи избыточен.

Две возможности пригодятся на практике. На всех тарифах есть бесплатная anti-DDoS защита. На серверах Vultr мгновенная смена IP даёт новый IPv4 без пересборки, если адрес попал в блокировку; она стоит один час тарифа и работает раз в 24 часа на сервер. Для другого региона разверните второй небольшой сервер и платите по часам. См. также анонимный VPS.

FAQ

Сколько стоит личный WireGuard VPN? Тариф Quark стоит $10/мес, списывается по часам с предоплаченного баланса. Минимальное пополнение - $15.

Можно ли подключить несколько устройств? Да. Добавьте по одному блоку [Peer] на устройство, со своим ключом и своим адресом 10.8.0.x.

Работает ли VPN, если баланс закончится? Нет. Когда баланс доходит до нуля, снимается снапшот диска, сервер удаляется, а снапшот хранится 7 дней. Пополните баланс и восстановите его в один клик.

Есть ли гарантия аптайма? Нет. У Neckrez нет uptime SLA и компенсаций за простой, поэтому относитесь к VPN как к инструменту, который можно пересоздать за десять минут.

Начать

Тарифы от $10 в месяц, почасовая тарификация. Развернуть сервер. Neckrez сдаёт в аренду VPS, Dedicated CPU и bare metal серверы, а также GPU-серверы, когда у провайдера есть мощности, - всё с одного криптобаланса с почасовой оплатой.