Zum Inhalt springen

Lösungen · VPN

Ein VPS für ein WireGuard VPN

WireGuard ist ein Kernelmodul und ein paar Kilobyte Konfiguration; eine Maschine mit einem Kern lastet ihren Uplink aus, bevor die CPU knapp wird. Was ein persönliches VPN wirklich verbraucht, ist Traffic, jedes Byte hinein und wieder hinaus. Deshalb ist U1-1 für $6.90 ohne Traffic-Zähler die Empfehlung, und deshalb ist ein Tarif mit Traffic-Zählung eine Rechnung, die nur darauf wartet, fällig zu werden. wg-easy setzt eine Web-UI und QR-Codes obendrauf; C1-2-55 für $19.90 wird mit laufendem wg-easy geliefert.

U1-1 bereitstellenC1-2-55 mit installiertem WireGuard (wg-easy) bereitstellen

Was es braucht

Software laut Dokumentation, Größen mit Quellenangabe

Software und Sicherheitskonfiguration stammen aus der Dokumentation des jeweiligen Projekts. Wo das Projekt keine Hardwareangabe veröffentlicht, ist bei den Größen angegeben, von wem sie stammen.

Aus der Compose-Datei und Dokumentation von wg-easy

  • Docker, dann ghcr.io/wg-easy/wg-easy:15 mit NET_ADMIN, SYS_MODULE und net.ipv4.ip_forward=1; WireGuard kommt vom Kernel.
  • Ports: 51820/udp für das VPN (der einzige, der öffentlich sein muss) und 51821/tcp für die Web-UI, die es nicht sein sollte.
  • Der erste Start kann mit INIT_ENABLED, INIT_USERNAME, INIT_PASSWORD, INIT_HOST, INIT_PORT, INIT_DNS unbeaufsichtigt erfolgen; danach legen Sie Clients in der UI an.
  • Der Traffic verdoppelt sich: Ein über das VPN heruntergeladenes Gigabyte ist ein Gigabyte hinein und ein Gigabyte aus dem Server hinaus.

Größen (Bandbreite, nicht Kerne)

Dimensionierung nach Einsatzzweck
WorkloadvCPURAM
Eine Person, Smartphones und LaptopsDie CPU ist egal; kaufen Sie Unmetered oder zählen Sie die Terabytes.11 GB
Ein Haushalt oder ein kleines TeamGenauso. Dutzende Peers kosten nichts; das Streaming schon.12 GB
Site-to-Site oder ein BüroWeiterhin Bandbreite. Wählen Sie die Stadt nach der Latenz zum Büro.22 GB

Die passenden Tarife

4 Server, live bepreist

Günstigste und Unmetered zuerst. Preise von heute, pro Monat, aus dem Katalog.

  • U1-1$6.90/Monat

    1 vCPU · 1 GB · 15 GB Speicherplatz · Unmetered

    Unmetered, Istanbul, die Empfehlung. 1 vCPU, 1 GB und kein Traffic-Zähler: ein VPN, das Sie nicht überraschen kann. Die Compose-Datei fügen Sie selbst ein (drei Befehle).

    Bereitstellen
  • C1-1-25$9.90/Monat

    1 vCPU · 1 GB · 25 GB Speicherplatz · 1 TB

    1 TB pro Monat, in 36 Städten. Dieselbe Maschine, wo immer Ihr Ausgang sein soll; 1 TB Traffic reicht reichlich zum Surfen und ist knapp für Video. Die Compose-Datei fügen Sie selbst ein.

    Bereitstellen
  • C1-2-55$19.90/Monat

    1 vCPU · 2 GB · 55 GB Speicherplatz · 2 TB

    Wird mit laufendem wg-easy geliefert. 1 vCPU / 2 GB / 2 TB bei einem Anbieter, der unser Preset ausführt: Admin-Passwort in einer nur für root lesbaren Datei, UI auf Loopback, QR-Codes bereit.

    Mit Installation bereitstellen
  • U1-2$8.90/Monat

    1 vCPU · 2 GB · 25 GB Speicherplatz · Unmetered

    Unmetered, 2 GB, Istanbul. Die Empfehlung mit doppeltem Arbeitsspeicher, für ein VPN, das zusätzlich einen DNS-Filter oder einen zweiten Dienst betreibt.

    Bereitstellen

„Installiert bereitstellen“ öffnet den Konfigurator mit unserem WireGuard (wg-easy)-Startskript bereits vollständig im Startskript-Feld, noch vor dem Kauf. Es läuft einmal als root, während der Server eingerichtet wird, und nur bei Anbietern, deren Plattform Startskripte ausführt; bei den übrigen Zeilen besteht die Installation aus denselben Befehlen, die Sie selbst einfügen.

Die Installation

Vier Schritte, aus der Dokumentation von wg-easy

Mit dem Preset sind die ersten drei erledigt, wenn der Server bereitsteht, und das Admin-Passwort wartet in /root/WIREGUARD-NEXT-STEPS.txt.

  1. Docker. curl -fsSL https://get.docker.com | sh
  2. Die Compose-Datei. mkdir -p /etc/docker/containers/wg-easy, laden Sie die docker-compose.yml des Projekts dorthin herunter und binden Sie den UI-Port an Loopback: "127.0.0.1:51821:51821/tcp". Das Preset setzt außerdem die INIT_*-Variablen, damit kein Einrichtungsassistent offenliegt.
  3. Starten und den Port öffnen. docker compose up -d, dann ufw allow 51820/udp. Sonst muss nichts öffentlich sein.
  4. Einen Client anlegen. Öffnen Sie von Ihrem Laptop aus ssh -N -L 51821:127.0.0.1:51821 root@your-server http://127.0.0.1:51821/, legen Sie einen Client an und scannen Sie den QR-Code mit der WireGuard-App. Verbunden.

Ehrlich gesagt

Was wir tatsächlich kaufen würden

Ein VPN ist eine Bandbreitenrechnung mit einem winzigen Server daran. Kaufen Sie den ohne Zähler.

Für ein persönliches VPN

U1-1 · $6.90/Monat

1 vCPU, 1 GB, kein Traffic-Zähler, $6.90 pro Monat, in Istanbul: alle Ihre Smartphones und Laptops, Video inklusive, und die Rechnung ändert sich nie. Es ist die günstigste Maschine, die wir verkaufen, und für diesen Zweck die richtige. Muss der Ausgang in einem anderen Land liegen, gibt es C1-1-25 für $9.90 in 36 Städten mit 1 TB pro Monat; das reicht zum Surfen, nicht zum Streamen. Keine der beiden führt unser Preset aus; die Installation sind drei Befehle.

U1-1 bereitstellenC1-1-25 in einer anderen Stadt

Fragen

Was Kunden vor dem Kauf fragen.

Welchen VPS brauche ich für WireGuard?
Die kleinste. WireGuard läuft im Kernel und überträgt Hunderte Megabit auf einem einzigen Kern; der Speicherbedarf ist vernachlässigbar. Die entscheidende Ressource ist Traffic, denn jedes Byte, das Sie durch das VPN ziehen, kommt auf den Server und verlässt ihn wieder. Die ehrliche Frage zur Größe lautet also nicht Kerne oder RAM, sondern ob der Tarif Unmetered ist oder wie viele Terabytes er enthält.
Warum empfiehlt die Seite einen Unmetered-Tarif statt eines scheinbar günstigeren mit Traffic-Zählung?
Weil ein VPN der Workload ist, bei dem die Traffic-Rechnung zuschlägt. Ein Abend HD-Video sind 3–5 GB; über ein VPN sind das 6–10 GB Server-Traffic. Ein Tarif mit 1 TB reicht zum Surfen und ist knapp für einen Haushalt, der streamt. Die Unmetered-Maschine kostet $6.90, und die Frage stellt sich nie.
Was macht das Startskript-Preset?
Es installiert Docker mit Dockers eigenem Skript, schreibt die Compose-Datei von wg-easy mit der Web-UI nur an 127.0.0.1 gebunden, setzt die Variablen des Projekts für die unbeaufsichtigte Einrichtung mit einem zufälligen 24-stelligen Admin-Passwort und der Adresse dieses Servers als Endpunkt, startet es und öffnet in der Firewall nur 51820/udp. Das Passwort wird in /root/WIREGUARD-NEXT-STEPS.txt geschrieben, nur für root lesbar. Kein Einrichtungsassistent ist jemals aus dem Internet erreichbar.
Ist die Web-UI offen erreichbar?
Mit dem Preset nicht: Sie lauscht auf Loopback, und Sie erreichen sie über einen SSH-Tunnel. Die Compose-Datei von wg-easy selbst veröffentlicht 51821 auf allen Schnittstellen und erwartet, dass Sie HTTPS und ein Passwort davorsetzen; die Bindung an Loopback ist der einfachere Weg zum selben Ziel. Der VPN-Port 51820/udp ist zwangsläufig öffentlich (damit verbinden sich die Clients), und WireGuard bleibt für jeden ohne gültigen Schlüssel stumm.
In welcher Stadt sollte der Server stehen?
Nah bei Ihnen für Geschwindigkeit, oder in dem Land, aus dessen Internet Sie erscheinen möchten. Spürbar ist die Latenz: Wählen Sie die Stadt mit dem niedrigsten Ping von Ihrem Standort, und wenn der Zweck ein Ausgang in einem bestimmten Land ist, entscheidet das. C1-1-25 gibt es in gleicher Ausstattung in 36 Städten.
Kann ich noch etwas anderes darauf betreiben?
Ein DNS-Filter (Pi-hole, AdGuard Home) neben wg-easy ist die klassische Kombination und passt auf 1–2 GB. Alles Schwerere verdient eine eigene Maschine; der Sinn des VPN-Servers ist, dass er klein, langweilig und immer erreichbar ist.

Weiterlesen

Verwandt