Личный WireGuard VPN на вашем собственном VPS

Эти два подхода решают разные задачи. Коммерческий VPN продаёт вам анонимность в толпе: вы растворяетесь в общем пуле, и это действительно полезно, если ваша модель угроз — один наблюдатель, следящий за одним IP. Личный VPN даёт контроль и чистый адрес. Вот честное сравнение.

Что вы получаете, поднимая VPN самостоятельно

• Выделенный выходной IP. IP-адресами коммерческих VPN пользуются тысячи людей; стоит одному нарушителю провиниться — и помечается весь диапазон. IP вашего VPS принадлежит только вам: он проходит репутационные проверки, не вызывает капчу Cloudflare на каждой странице и не попадает под геоблокировки стриминговых сервисов, которые банят известные VPN-диапазоны.
• Логи, которые вы действительно контролируете. «Политика отсутствия логов» у коммерческого VPN — это обещание, которое невозможно проверить. На вашем собственном VPS WireGuard по умолчанию ничего не пишет в лог: ни журнала подключений, ни записи journald на каждый пакет — ничего, пока вы сами этого не включите. Отсутствие логов можно проверить, потому что root — это вы.
• Юрисдикция, которую выбрали вы. Вы сами решаете, откуда выходит ваш трафик — из Исландии, Швейцарии, Румынии или Франции (см. следующий раздел), а не принимаете как данность то место, где провайдер по случайности поставил свои серверы.
• Никакой связи с личностью. В CryptoVpsHost достаточно email и пароля — без документов, телефона и подтверждения email, — а оплата принимается в криптовалюте. Конечная точка никогда не привязана ни к имени, ни к карте.

В чём коммерческий VPN всё же сильнее

• Растворение в толпе. Ваш личный выход — это один IP, которым пользуется один человек. Это устойчивый отпечаток. Если ваша цель — быть неотличимым от толпы, а не иметь чистый, контролируемый адрес, лучше подойдёт общий пул — или Tor.
• Смена страны в один клик. Коммерческие приложения мгновенно переключаются между 50 странами. При самостоятельном размещении вам придётся поднимать отдельный VPS под каждый нужный регион (каждый разворачивается примерно за 47 секунд, так что выходит дешевле, чем кажется).

Для большинства людей расчёт очевиден: $5/мес за приватный выход, который вы полностью контролируете, против $10/мес за общий, которому приходится доверять. Если же вам нужен выход на физическом сервере (bare-metal), то выделенный R1 для этой задачи — перебор.

Тариф: S1 более чем достаточно

WireGuard поразительно лёгок. Шифрование выполняется в ядре с помощью ChaCha20-Poly1305 — это быстро даже без AES-NI, и одно ядро прокачивает несколько гигабит в секунду. Узким местом почти никогда не бывает процессор — это ваш домашний или мобильный канал. Конкретно:

• S1 (2 vCPU / 4 ГБ DDR5 / 80 ГБ NVMe, от $5/мес) — правильный выбор для личного или семейного VPN. Справляется с десятками пиров и загружает безлимитный канал 10 Гбит/с задолго до того, как процессору станет жарко. Берите его.
• S2 (4 vCPU / 16 ГБ / 320 ГБ, от $15/мес) — только если на том же сервере вы собираетесь держать и другие сервисы (выход для домашней лаборатории, DNS на Pi-hole, небольшой ретранслятор).

S3 вам не нужен. Блок IPv6 /64, входящий в каждый тариф, означает, что каждый пир может получить собственный маршрутизируемый IPv6-адрес, если вам нужен полноценный dual-stack.

Юрисдикция: откуда выходит ваш трафик

Во всех четырёх регионах стоит одно и то же оборудование на AMD EPYC; различается закон, под которым находится ваш выходной IP. Для выхода VPN главное — хранение данных и то, как операционная компания реагирует на иностранное давление.

• Рейкьявик, Исландия (REK) — нет обязательного хранения данных, действует правовая база IMMI в защиту свободы прессы, используется возобновляемая геотермальная энергия. Выбор по умолчанию для выхода, где на первом месте приватность.
• Цюрих, Швейцария (ZRH) — надёжная конституционная защита приватности по закону о защите данных FADP, страна вне альянса 14 Eyes, а ст. 271 уголовного кодекса ограничивает содействие иностранным органам власти на швейцарской территории.
• Бухарест, Румыния (OTP) — хорошая связность с европейскими сетями, давняя устойчивость к чрезмерно широкому давлению с требованиями об удалении контента и самая низкая задержка при маршрутизации в Восточную Европу и на Балканы.
• Париж, Франция (PAR) — мощный пиринг в ЕС и второй по дешевизне регион (входной тариф за $5 такой же, как в Бухаресте); лучшая «сырая» пропускная способность до Западной Европы.

Независимо от региона, root-пароли хранятся в зашифрованном виде (AES-256), а оператор действует только по обязательному к исполнению судебному постановлению, вынесенному судом Сент-Китс и Невис, предварительно уведомив вас. Ежемесячный warrant canary («канарейка») публикуется на /canary. Подробное сравнение регионов — на страницах об офшорном хостинге.

Полная инструкция — в руководстве «Настройка WireGuard на VPS»; здесь — общая картина, чтобы вы понимали, на что идёте. После развёртывания VPS серверная часть состоит из трёх шагов.

# 1. Install WireGuard (Debian 12/13, Ubuntu 22.04/24.04)
apt update && apt install -y wireguard

# 2. Generate the server keypair
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub

# 3. Write /etc/wireguard/wg0.conf, enable IP forwarding, NAT, then:
systemctl enable --now wg-quick@wg0

Откройте порт, на котором сервер принимает соединения (по умолчанию UDP 51820), — это единственное входящее правило, которое вам нужно. На всех остальных портах WireGuard молчит и не отвечает на неаутентифицированные пакеты, поэтому у сервера нет внешне видимого сервиса, который можно было бы просканировать или опознать по отпечатку.

Настольные клиенты

• Linux — wg-quick up client.conf, либо импортируйте .conf в NetworkManager или в сетевой апплет вашей графической среды.
• Windows и macOS — официальное приложение WireGuard: импортируйте файл туннеля .conf и включите его. Для macOS приложение есть и в App Store.

Мобильные клиенты

• iOS и Android — установите официальное приложение WireGuard, нажмите «Добавить туннель» и отсканируйте QR-код, который сгенерирует сервер (qrencode -t ansiutf8 < phone.conf). Телефон подключается примерно за десять секунд, вводить ключи вручную не нужно.

Укажите AllowedIPs = 0.0.0.0/0, ::/0 в конфигурации пира, чтобы направить весь трафик через VPS (полный туннель), либо перечислите конкретные подсети, чтобы через выход шли только выбранные диапазоны (раздельное туннелирование, split tunnel). Для мобильного устройства, которое должно оставаться на связи постоянно, добавьте PersistentKeepalive = 25, чтобы туннель переживал тайм-ауты NAT в сотовых сетях. Когда будете готовы, закажите VPS S1 и пройдите руководство от начала до конца.