Решения · VPN

VPS для WireGuard VPN

WireGuard это модуль ядра и несколько килобайт конфигурации; одноядерная машина упирается в аплинк раньше, чем в ЦП. Что личный VPN действительно потребляет, так это трафик: каждый байт входит и снова выходит. Поэтому наш выбор U1-1 за $6.90 без учёта трафика, а тариф с учётом трафика рано или поздно обернётся неожиданным счётом. wg-easy добавляет веб-интерфейс и QR-коды; C1-2-55 за $19.90 поставляется с уже запущенным wg-easy.

Развернуть U1-1 Развернуть C1-2-55 с установленным WireGuard (wg-easy)

Что нужно

Программы по документации, размеры с указанием источника

Программы и настройки безопасности взяты из официальной документации проекта. Если проект не публикует требований к оборудованию, у размеров указано, чьи это рекомендации.

По файлу compose и документации wg-easy

Docker, затем ghcr.io/wg-easy/wg-easy:15 с NET_ADMIN, SYS_MODULE и net.ipv4.ip_forward=1; WireGuard предоставляет ядро.
Порты: 51820/udp для VPN (единственный, который должен быть публичным) и 51821/tcp для веб-интерфейса, который публичным быть не должен.
Первый запуск можно провести без участия с INIT_ENABLED, INIT_USERNAME, INIT_PASSWORD, INIT_HOST, INIT_PORT, INIT_DNS; после этого клиенты создаются в интерфейсе.
Трафик удваивается: гигабайт, скачанный через VPN, это гигабайт на входе и гигабайт на выходе сервера.

Размеры (трафик, а не ядра)

Подбор размера по задаче
Нагрузка	vCPU	RAM
Один человек, телефоны и ноутбукиЦП не важен; берите тариф без учёта трафика или считайте терабайты.	1	1 GB
Семья или небольшая командаТо же самое. Десятки пиров ничего не стоят; стоит стриминг.	1	2 GB
Site-to-site или офисВсё равно трафик. Выбирайте город по задержке до офиса.	2	2 GB

Подходящие тарифы

Машин: 4, цены актуальные

Сначала самые дешёвые и без учёта трафика. Цены на сегодня, в месяц, взяты из каталога.

U1-1$6.90/мес.
1 vCPU · 1 GB · диск 15 GB · Unmetered
Unmetered, Стамбул, наш выбор. 1 vCPU, 1 GB и без учёта трафика: VPN, который не преподнесёт сюрпризов. Файл compose вставляете сами (три команды).
Развернуть
C1-1-25$9.90/мес.
1 vCPU · 1 GB · диск 25 GB · 1 TB
1 TB в месяц, в 36 городах. Та же машина там, где вам нужен выход; 1 TB трафика с запасом хватает для сёрфинга, но маловато для видео. Файл compose вставляете сами.
Развернуть
C1-2-55$19.90/мес.
1 vCPU · 2 GB · диск 55 GB · 2 TB
Поставляется с запущенным wg-easy. 1 vCPU / 2 GB / 2 TB у поставщика, где работает наш пресет: пароль администратора в файле, доступном только root, интерфейс на loopback, QR-коды готовы.
Развернуть с установкой
U1-2$8.90/мес.
1 vCPU · 2 GB · диск 25 GB · Unmetered
Unmetered, 2 GB, Стамбул. Вариант с вдвое большей памятью, для VPN, на котором также работает DNS-фильтр или второй сервис.
Развернуть

Подходящие тарифы с актуальными ценами
Тариф	vCPU	RAM	Диск	Трафик	Цена	Развернуть
U1-1Unmetered, Стамбул, наш выбор1 vCPU, 1 GB и без учёта трафика: VPN, который не преподнесёт сюрпризов. Файл compose вставляете сами (три команды).	1	1 GB	15 GB	Unmetered	$6.90/мес.	Развернуть
C1-1-251 TB в месяц, в 36 городахТа же машина там, где вам нужен выход; 1 TB трафика с запасом хватает для сёрфинга, но маловато для видео. Файл compose вставляете сами.	1	1 GB	25 GB	1 TB	$9.90/мес.	Развернуть
C1-2-55Поставляется с запущенным wg-easy1 vCPU / 2 GB / 2 TB у поставщика, где работает наш пресет: пароль администратора в файле, доступном только root, интерфейс на loopback, QR-коды готовы.	1	2 GB	55 GB	2 TB	$19.90/мес.	Развернуть с установкой
U1-2Unmetered, 2 GB, СтамбулВариант с вдвое большей памятью, для VPN, на котором также работает DNS-фильтр или второй сервис.	1	2 GB	25 GB	Unmetered	$8.90/мес.	Развернуть

«Развернуть с установкой» открывает конфигуратор, где в поле скрипта запуска уже полностью вставлен наш скрипт для WireGuard (wg-easy), ещё до покупки. Он выполняется один раз от root во время сборки сервера и только у поставщиков, чья платформа поддерживает скрипты запуска; в остальных строках установка состоит из тех же команд, которые вы вставляете сами.

Установка

Четыре шага по документации wg-easy

С пресетом первые три шага уже выполнены к моменту получения сервера, а пароль администратора ждёт вас в /root/WIREGUARD-NEXT-STEPS.txt.

Docker. curl -fsSL https://get.docker.com | sh
Файл compose. mkdir -p /etc/docker/containers/wg-easy, скачайте туда docker-compose.yml проекта и привяжите порт интерфейса к loopback: "127.0.0.1:51821:51821/tcp". Пресет также задаёт переменные INIT_*, чтобы мастер настройки не был открыт.
Запустите и откройте порт. docker compose up -d, затем ufw allow 51820/udp. Больше ничего публичным быть не должно.
Создайте клиента. С ноутбука ssh -N -L 51821:127.0.0.1:51821 root@your-server, откройте http://127.0.0.1:51821/, добавьте клиента, отсканируйте QR-код приложением WireGuard. Подключено.

Откровенно

Что купили бы мы сами

VPN это счёт за трафик, к которому приложен крошечный сервер. Берите тот, где трафик не учитывается.

Для личного VPN

U1-1 · $6.90/мес.

1 vCPU, 1 GB, без учёта трафика, $6.90 в месяц, в Стамбуле: все ваши телефоны и ноутбуки, включая видео, а счёт не меняется. Это самая дешёвая машина, которую мы продаём, и для этой задачи она подходит. Если точка выхода должна быть в другой стране, C1-1-25 за $9.90 доступен в 36 городах с 1 TB в месяц: этого хватит на веб-сёрфинг, но не на стриминг. Ни на одном из них наш пресет не работает; установка занимает три команды.

Развернуть U1-1 C1-1-25 в другом городе

Вопросы

Что спрашивают перед покупкой.

Какой VPS нужен для WireGuard?

Самый маленький. WireGuard работает в ядре и прокачивает сотни мегабит на одном ядре; расход памяти ничтожен. Важный ресурс это трафик, потому что каждый байт, который вы тянете через VPN, входит на сервер и снова выходит. Поэтому честный вопрос о размере касается не ядер и не RAM, а того, учитывается ли трафик на тарифе или сколько терабайт в него входит.

Почему на странице рекомендуется тариф без учёта трафика, а не тариф с учётом, который выглядит дешевле?

Потому что VPN это нагрузка, где арифметика трафика действительно кусается. Вечер HD-видео это 3–5 GB; через VPN это 6–10 GB трафика сервера. Тарифа с 1 TB хватает для сёрфинга, но маловато для семьи, которая смотрит стриминг. Машина без учёта трафика стоит $6.90, и вопрос не возникает.

Что делает пресет запуска?

Пресет устанавливает Docker собственным скриптом Docker, записывает файл compose wg-easy с веб-интерфейсом, привязанным только к 127.0.0.1, задаёт переменные автоматической настройки проекта со случайным 24-символьным паролем администратора и адресом этого сервера в качестве endpoint, запускает его и открывает в файрволе только 51820/udp. Пароль записывается в /root/WIREGUARD-NEXT-STEPS.txt, доступный для чтения только root. Мастер настройки никогда не доступен из интернета.

Открыт ли веб-интерфейс наружу?

С пресетом нет: интерфейс слушает loopback, а вы подключаетесь к нему через SSH-туннель. Собственный compose wg-easy публикует 51821 на всех интерфейсах и предполагает, что вы поставите перед ним HTTPS и пароль; привязка к loopback это более простой путь к тому же результату. Порт VPN 51820/udp публичен по необходимости (к нему подключаются клиенты), а WireGuard молчит для всех, у кого нет действительного ключа.

В каком городе должен быть сервер?

Близко к вам ради скорости или в стране, из интернета которой вы хотите выходить. Ощущается задержка: выберите город с наименьшим пингом от вас, а если цель в выходе в конкретной стране, это и решает. C1-1-25 имеет ту же конфигурацию в 36 городах.

Можно ли запустить на нём что-то ещё?

DNS-фильтр (Pi-hole, AdGuard Home) рядом с wg-easy это классическая пара, и она помещается в 1–2 GB. Всё, что тяжелее, заслуживает отдельной машины: смысл VPN-сервера в том, что он маленький, скучный и всегда работает.