Cách cài đặt VPN WireGuard trên VPS

VPN thương mại mang lại sự tiện lợi và một nhóm IP thoát lớn, nhưng bạn phải tin tưởng bên thứ ba không ghi nhật ký và giữ đúng những gì chính sách bảo mật của họ nói. Một endpoint WireGuard tự host đảo ngược điều đó: bạn sở hữu máy, bạn viết cấu hình và bạn quyết định có ghi nhật ký gì không. Không có địa chỉ thoát dùng chung với hàng nghìn người lạ, điều đó cũng có nghĩa là lịch sử lạm dụng của họ không ảnh hưởng đến bạn.

Sự đánh đổi là trung thực: nhà cung cấp VPS vẫn có thể thấy rằng một IP tồn tại và định tuyến lưu lượng, vì vậy tự host chuyển sự tin tưởng từ thương hiệu VPN sang nhà cung cấp host của bạn. Đó chính xác là lý do tại sao việc chạy nó trên một VPS offshore no-KYC tại khu vực pháp lý tôn trọng quyền riêng tư, được thanh toán mà không cần tiết lộ danh tính, là điều có giá trị. Đây cũng là lý do chúng tôi nói riêng tư, không phải ẩn danh: một tunnel tự host cải thiện tư thế của bạn, nhưng sự ẩn danh thực sự vẫn phụ thuộc vào thói quen thanh toán và bảo mật mạng của chính bạn. Để hiểu rộng hơn, hãy xem tổng quan của chúng tôi về VPS dùng cho VPN.

WireGuard cực kỳ nhẹ về tài nguyên. Một lõi CPU duy nhất và 1 GB RAM sẽ đủ cho hầu hết kết nối gia đình, và công việc mã hóa diễn ra trong nhân thay vì trong daemon userspace nặng nề. Cho một người hoặc vài thiết bị, gói Pup (1 vCPU, 1 GB RAM, 25 GB NVMe) là quá đủ, và như mọi gói, nó đi kèm băng thông không giới hạn để VPN không tiêu hết hạn mức đo lường.

Chỉ nâng cấp khi bạn thêm tải. Vài thành viên gia đình trên cùng một tunnel vẫn ổn với Pup hoặc Cub; nếu bạn muốn đồng host các dịch vụ khác, chạy vài container, hoặc phục vụ nhiều luồng nặng đồng thời, hãy chuyển lên Scout hoặc Runner để có thêm lõi và RAM. Vị trí quan trọng không kém kích thước đối với VPN: chọn theo độ trễ và khu vực pháp lý, điều chúng tôi đề cập ở phần sau. Bạn có thể thanh toán bằng Monero hoặc bất kỳ đồng coin nào được hỗ trợ, và máy chủ triển khai trong khoảng sáu mươi giây mà không mất phí cài đặt.

WireGuard được tích hợp trong nhân của Linux hiện đại, vì vậy việc cài đặt chỉ là công cụ userspace. Trên Debian hoặc Ubuntu LTS, làm mới chỉ mục gói và cài đặt gói với tư cách root:

apt update && apt install -y wireguard

Thao tác này cài wg và wg-quick, hai lệnh bạn sẽ dùng để quản lý tunnel. Trên AlmaLinux, Rocky hoặc Fedora lệnh tương đương là dnf install -y wireguard-tools. Xác minh nó đã có mặt với wg --version trước khi tiếp tục.

WireGuard xác thực các peer bằng cặp khóa Curve25519, không phải mật khẩu. Khóa chặt thư mục trước, sau đó tạo một cặp khóa cho máy chủ và một cặp cho mỗi thiết bị client. Chạy với tư cách root:

umask 077; cd /etc/wireguard

wg genkey | tee server_private.key | wg pubkey > server_public.key

wg genkey | tee client_private.key | wg pubkey > client_public.key

Bây giờ bạn có bốn file. Hai khóa công khai được trao đổi giữa các peer; hai khóa riêng tư không bao giờ rời khỏi máy mà chúng thuộc về. In chúng bằng cat server_private.key và tương tự khi bạn điền vào cấu hình ở bước tiếp theo. Tạo cặp khóa client mới cho mỗi thiết bị thay vì dùng lại một cặp cho cả điện thoại và laptop.

Tạo file cấu hình giao diện máy chủ tại /etc/wireguard/wg0.conf. File này định nghĩa subnet tunnel (10.0.0.0/24 ở đây), cổng lắng nghe và quy tắc NAT để lưu lượng client được masquerade ra giao diện công khai của máy chủ. Thay SERVER_PRIVATE_KEY và CLIENT_PUBLIC_KEY bằng các giá trị từ bước 2, và xác nhận tên NIC công khai của bạn với ip route get 1.1.1.1 (thường là eth0 hoặc ens3):

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32

Máy chủ là 10.0.0.1; client đầu tiên sẽ là 10.0.0.2. Mỗi thiết bị bổ sung có khối [Peer] riêng và địa chỉ tiếp theo trong dải.

Để máy chủ định tuyến lưu lượng client đến internet, nhân phải chuyển tiếp các gói tin. Bật tính năng này vĩnh viễn và áp dụng ngay:

echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf && sysctl -p

Sau đó mở cổng WireGuard. WireGuard lắng nghe trên UDP 51820 theo mặc định. Nếu bạn dùng UFW:

ufw allow 51820/udp && ufw allow OpenSSH

Luôn cho phép cổng SSH cùng lúc để không bị khóa ra ngoài khi bật firewall. Mỗi VPS VPSCrypto đi kèm IPv4 sạch riêng và IPv6 /64, vì vậy quy tắc UDP đơn lẻ này là tất cả những gì VPN của bạn cần về phơi bày inbound.

Khởi động giao diện bằng helper đọc cấu hình, sau đó bật unit systemd để nó tồn tại qua các lần reboot:

wg-quick up wg0

systemctl enable wg-quick@wg0

Xác nhận giao diện đang hoạt động và lắng nghe với wg show, lệnh này in thông tin giao diện, khóa công khai và cổng lắng nghe. Ở thời điểm này, phía máy chủ đã hoàn thành; điều duy nhất còn lại là trỏ một client vào nó. Nếu bạn thay đổi wg0.conf sau này, áp dụng sạch bằng wg-quick down wg0 && wg-quick up wg0.

Trên laptop hoặc điện thoại, cài đặt ứng dụng hoặc gói WireGuard chính thức và tạo tunnel từ cấu hình này. Dùng khóa riêng tư client từ bước 2 và khóa công khai của máy chủ. Endpoint của client đơn giản là IP công khai của máy chủ theo sau là cổng UDP WireGuard, ví dụ 203.0.113.10:51820:

[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Đặt AllowedIPs thành 0.0.0.0/0, ::/0 để định tuyến toàn bộ lưu lượng qua tunnel. Trên di động, tạo mã QR từ file này bằng qrencode -t ansiutf8 < client.conf trên máy chủ và quét trong ứng dụng. Kích hoạt tunnel, sau đó kiểm tra IP hiển thị của bạn — bây giờ nó phải là IP của máy chủ. Dòng PersistentKeepalive giữ kết nối hoạt động phía sau NAT.

Một tunnel hoạt động là điểm bắt đầu, không phải điểm kết thúc. Xoay khóa định kỳ bằng cách tạo lại cặp khóa client và hoán đổi khóa công khai trong khối [Peer] của máy chủ. Giữ một cặp khóa riêng cho mỗi thiết bị để bạn có thể thu hồi một cái mà không làm phiền các cái khác — để thu hồi, chỉ cần xóa khối peer đó và áp dụng lại cấu hình.

• Tắt ghi nhật ký bạn không cần. WireGuard bản thân rất yên lặng theo mặc định; xem lại nhật ký SSH và hệ thống và cắt giảm thời gian lưu giữ nếu dấu chân tối thiểu quan trọng với bạn.
• Khóa chặt SSH bằng xác thực chỉ bằng khóa và cân nhắc chuyển sang cổng khác ngoài cổng 22; giữ cổng đó được phép trong UFW trước khi bật firewall.
• Chọn khu vực pháp lý có chủ đích. Vị trí máy chủ bây giờ là tư thế riêng tư của VPN bạn. Thụy Sĩ theo FADP và Iceland với truyền thống tự do báo chí là những lựa chọn mạnh; Hà Lan và Pháp đánh đổi một phần điều đó để có độ trễ EU thấp hơn.

Đối với vận hành liên tục và xử lý thông tin đăng nhập, tài liệu của chúng tôi đề cập chi tiết về DNS ngược, IPv6 và tính năng bảng điều khiển.

Tự host thắng khi bạn muốn IP riêng, toàn quyền kiểm soát ghi nhật ký và tunnel mà không có nhà cung cấp nào tiếp thị đến hàng nghìn người dùng. Nó lý tưởng để truy cập dịch vụ của riêng bạn, lấy địa chỉ ổn định cho danh sách cho phép, hoặc đơn giản là không tin vào tuyên bố không ghi nhật ký của công ty VPN. Chi phí là bạn phải tự bảo trì, và một IP thoát tự host duy nhất không được thiết kế để hòa lẫn vào đám đông như pool IP dùng chung của VPN thương mại.

VPN thương mại thắng về sự tiện lợi, chuyển đổi quốc gia và khả năng phủ nhận hợp lý với IP dùng chung. Đối với hầu hết người dùng quan tâm đến quyền riêng tư muốn một endpoint đáng tin cậy mà họ thực sự sở hữu, một VPS nhỏ chạy WireGuard là câu trả lời tốt hơn — và thanh toán cho nó qua thanh toán crypto, no-KYC giữ cho thiết lập nhất quán từ đầu đến cuối. Nếu bạn vẫn đang cân nhắc cách tiếp cận, tổng quan VPS-for-VPN của chúng tôi so sánh cả hai sâu hơn.