商业 VPN 是个黑箱。你只能相信他们宣传的“无日志”承诺；你要和成千上万的陌生人共用同一个出口 IP——于是这个 IP 常常撞上 Cloudflare 的人机验证、Netflix 的地区封锁和各类信誉黑名单——而你根本不知道元数据究竟存放在哪个司法管辖区。个人 VPN 把这些取舍通通颠倒了过来：你把 WireGuard 部署在一台独享的 VPS 上，唯一的密钥握在你手里，出口地址也完全归你所有。
成本微不足道。WireGuard 是一个只有 4,000 行代码的内核模块，用软件实现的 ChaCha20-Poly1305 加密，速度快过大多数家庭宽带能填满的带宽，所以一台每月 $5 的 S1 实例，应付一整个家庭的设备也毫不吃力。要做的事不过是一条 apt install、一份配置文件和一张二维码。本页会讲清楚：什么情况下自建更胜一筹、该选哪种配置和哪个地区、客户端如何连接——然后把你交给分步搭建指南。
自建 WireGuard 与商业 VPN 的对比
这两种方案解决的是不同的问题。商业 VPN 卖给你的是“藏身人群”式的匿名：你混进一个共享的地址池里，如果你的威胁模型是某个观察者只盯着单个 IP，这确实有用。个人 VPN 卖给你的则是掌控权和一个干净的地址。下面是一份坦率的对比。
自建能得到什么
- 专属的出口 IP。商业 VPN 的 IP 由成千上万的用户共用，只要有一个滥用者，整个地址段都会被标记。你的 VPS IP 只属于你——它能通过信誉检查，不会在每个页面都触发 Cloudflare 的人机验证，也不会被那些封禁已知 VPN 地址段的流媒体服务按地区屏蔽。
- 真正由你掌控的日志。商业 VPN 的“无日志政策”是一个你无从审计的承诺。在你自己的 VPS 上，WireGuard 默认什么都不记录——没有连接日志，没有逐个数据包写入的
journald条目，除非你主动开启，否则什么都没有。这种“什么都没有”是可以验证的，因为你自己就是 root。 - 由你选定的司法管辖区。你的出口流量从冰岛、瑞士、罗马尼亚还是法国出去，由你决定（见下一节），而不是被动接受服务商碰巧把服务器架在哪里。
- 不与身份挂钩。CryptoVpsHost 只需要邮箱加密码作为全部凭证——无需证件，无需手机号，也没有邮箱验证——并且只以加密货币计费。这个端点永远不会与某个姓名或银行卡绑定。
商业 VPN 依然更擅长的地方
- 混入人群。你的个人出口就是一个只有一个人使用的 IP，这是一个稳定的指纹。如果你的目标是与人群难以区分，而不是拥有一个干净、可控的地址，那么共享地址池——或者 Tor——才是更合适的工具。
- 一键切换国家。商业 VPN 应用可以在 50 个国家之间瞬间切换。自建的话，你需要哪个地区，就得开一台对应的 VPS（每台约 47 秒完成部署，所以成本比听起来要低）。
对大多数人来说，这笔账一目了然：每月 $5，换来一个完全由你掌控的私有出口；对比每月 $10，换来一个必须靠信任的共享出口。如果你想要的是托管式的裸金属出口，那么独立服务器 R1 对这个用途而言就是大材小用了。
如何选择配置与司法管辖区
配置：S1 足够用
WireGuard 轻量得惊人。加密在内核中使用 ChaCha20-Poly1305 完成，即便没有 AES-NI 也很快，单个核心就能推送数 Gbps 的流量。瓶颈几乎从来不在 CPU，而在你的家庭宽带或移动网络上行链路。具体来说：
- S1（2 vCPU / 4 GB DDR5 / 80 GB NVMe，每月 $5 起）——个人或家庭 VPN 的正解。能应付几十个对端（peer），远在 CPU 吃力之前，就已经把 10 Gbps 不限流量的链路跑满了。就选它。
- S2（4 vCPU / 16 GB / 320 GB，每月 $15 起）——仅当你还要在同一台机器上自建其他服务时才需要（比如 homelab 出口、Pi-hole DNS、小型中继）。
你不需要 S3。每个套餐都附带 /64 IPv6 地址段，所以如果你想要完整的双栈，每个对端都能分到自己的可路由 IPv6 地址。
司法管辖区：你的流量从哪里出去
四个地区使用的都是同样的 AMD EPYC 硬件，不同的是你的出口 IP 所处的法律环境。对 VPN 出口来说，关键问题是数据留存，以及运营实体如何应对外国的压力。
- 冰岛雷克雅未克（REK）——没有强制性数据留存要求，有 IMMI 新闻自由框架，使用可再生的地热能源。想要隐私优先的出口，这里是默认之选。
- 瑞士苏黎世（ZRH）——FADP（瑞士《联邦数据保护法》）之下强有力的宪法级隐私保护，处于十四眼联盟（14-Eyes）之外，而且瑞士《刑法》第 271 条限制在瑞士境内协助外国当局。
- 罗马尼亚布加勒斯特（OTP）——具备欧盟网络连通性，历来抵制过度宽泛的下架压力，到东欧和巴尔干方向的路由延迟最低。
- 法国巴黎（PAR）——欧盟互联互通出色，也是价格第二便宜的地区（入门套餐 $5，与布加勒斯特相同）；到西欧的原始吞吐量最好。
无论选哪个地区，root 密码都以 AES-256 加密后存放，运营方只会依据圣基茨和尼维斯法院出具、具有约束力的司法命令行事，并且会先通知你。我们每月在 /canary 发布一份金丝雀声明（warrant canary）。更深入的地区对比，请见离岸主机相关页面。
搭建服务端并连接你的设备
完整的操作步骤见《在 VPS 上搭建 WireGuard》指南；这里先勾勒一个大致轮廓，让你知道自己要面对的是什么。VPS 部署完成后，服务端只需三步。
# 1. Install WireGuard (Debian 12/13, Ubuntu 22.04/24.04)
apt update && apt install -y wireguard
# 2. Generate the server keypair
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
# 3. Write /etc/wireguard/wg0.conf, enable IP forwarding, NAT, then:
systemctl enable --now wg-quick@wg0放行监听端口（默认 UDP 51820）——这是你唯一需要的入站规则。WireGuard 在其他所有端口上保持静默，也不会响应未经认证的数据包，所以服务器上没有任何对外可见、可被扫描或识别指纹的服务。
桌面客户端
- Linux——执行
wg-quick up client.conf，或者把.conf文件导入 NetworkManager / 桌面环境自带的网络小组件。 - Windows 与 macOS——使用 WireGuard 官方应用：导入隧道的
.conf文件，然后打开开关即可。macOS 版本也可以在 App Store 中获取。
移动客户端
- iOS 与 Android——安装 WireGuard 官方应用，点击添加隧道，然后扫描服务器生成的二维码（
qrencode -t ansiutf8 < phone.conf）。大约十秒钟手机就连上了，不用手动输入密钥。
在对端配置里设置 AllowedIPs = 0.0.0.0/0, ::/0，即可让所有流量都经由 VPS 转发（全隧道）；也可以只列出特定子网，做成分流隧道，仅把选定的网段送出这个出口。如果手机需要常驻连接，再加上 PersistentKeepalive = 25，这样隧道就能扛过蜂窝网络上的 NAT 超时。准备好了，就下单一台 S1 VPS，把指南从头到尾走一遍。