VPN · بدون KYC
میزبانی WireGuard روی VPS آفشور
WireGuard VPN اختصاصی خود را روی یک سرور آفشور ChainVPS اجرا کنید و از یک تونل رمزنگاریشدهٔ سریع و مدرن بهرهمند شوید که به هیچکس جز شما پاسخگو نیست.
این چیست
WireGuard یک پروتکل VPN سبک و پرکارایی است که در هستهٔ (kernel) لینوکس تعبیه شده و با استفاده از رمزنگاری مدرن (Curve25519، ChaCha20، Poly1305) تونلهای رمزنگاریشدهٔ نقطهبهنقطه ایجاد میکند. میزبانی شخصی آن روی یک VPS، آن سرور را به یک نود خروجی VPN شخصی تبدیل میکند که کاملاً تحت کنترل شماست و ترافیک شما را بهجای عبور از یک ارائهدهندهٔ تجاری مشترک، از طریق IP همان سرور مسیریابی میکند.
چرا میزبانی آفشور
میزان حریم خصوصیِ یک VPN خودمیزبان، دقیقاً بهاندازهٔ سروری است که روی آن اجرا میشود؛ به همین دلیل یک میزبان بدون KYC و قابلپرداخت با ارز دیجیتال در حوزهٔ قضاییِ دوستدار حریم خصوصی، ردّ هویتی را که VPNهای تجاری و کلودهای متداول در پرونده نگه میدارند از بین میبرد. پهنایباند نامحدود ChainVPS و موقعیتهای مکانی سطح حریم خصوصی (NL/CH/RO/IS/MD/LU) به تونل شما اجازه میدهند ترافیک واقعی را بدون غافلگیریهای اندازهگیری یا ردّ پای کاغذی که IP خروجی را به شما مرتبط کند، جابهجا کنید.
استقرار
یک پیکربندی مرجع کاربردی
این را روی یک instance تازه از ChainVPS کپی کنید. جایگزینها را با مقادیر واقعی جایگزین کنید، سپس آن را راهاندازی کنید.
# wg-easy: WireGuard + web admin UI. Docker + compose plugin required.
# 1) Generate a bcrypt admin password hash first:
# docker run --rm ghcr.io/wg-easy/wg-easy:14 wgpw 'ChooseAStrongPassword'
# -> copy the PASSWORD_HASH value into the file below.
# NOTE: in docker-compose, every '$' in the hash MUST be doubled to '$$'.
# 2) Replace WG_HOST with your server's public IP (or a DNS name pointing to it).
# 3) docker compose up -d then open http://SERVER_IP:51821
services:
wg-easy:
image: ghcr.io/wg-easy/wg-easy:14
container_name: wg-easy
restart: unless-stopped
environment:
- WG_HOST=YOUR.SERVER.PUBLIC.IP
- PASSWORD_HASH=$$2a$$12$$REPLACE_WITH_YOUR_BCRYPT_HASH
- WG_PORT=51820
- WG_DEFAULT_DNS=1.1.1.1
- WG_DEFAULT_ADDRESS=10.8.0.x
- WG_ALLOWED_IPS=0.0.0.0/0, ::/0
volumes:
- ./wg-data:/etc/wireguard
ports:
- "51820:51820/udp" # WireGuard tunnel
- "51821:51821/tcp" # Web admin UI
cap_add:
- NET_ADMIN
- SYS_MODULE
sysctls:
- net.ipv4.ip_forward=1
- net.ipv4.conf.all.src_valid_mark=1فایروال
پورتهایی که باید باز شوند
| پورت | پروتکل | هدف |
|---|---|---|
| 51820 | UDP | تونل WireGuard (سطح داده) - باید بهصورت عمومی به اینترنت باز باشد |
| 51821 | TCP | رابط مدیریت وب wg-easy - باید پشت فایروال بماند؛ از طریق تونل SSH یا یک reverse proxy دارای احراز هویت به آن دسترسی پیدا کنید |
تعیین اندازه مناسب
به کدام پلن نیاز دارید
VPS Nano / Small (1 vCPU, 1-2 GB RAM)
1-3 دستگاه شخصی، مرور عمومی وب و تغییر موقعیت جغرافیایی (geo-shifting). WireGuard در سطح هسته (kernel) سریع است؛ در این رده بهندرت CPU عامل محدودکننده است.
VPS Pro (2-4 vCPU, 4-8 GB RAM)
یک خانواده یا تیم کوچک، 10-25 همتا (peer)، استریم/دانلود پیوسته. در اینجا پهنایباند نامحدود اهمیت بیشتری نسبت به تعداد هستهها دارد.
Dedicated (یا VPSهای سطح بالا با هستههای اختصاصی)
50+ همتا (peer)، توان عملیاتی در حد اشباع گیگابیت یا یک گیتوی سایتبهسایت. CPU اختصاصی از لرزش (jitter) ناشی از «همسایههای پرسروصدا» (noisy neighbor) در مسیر رمزنگاری جلوگیری میکند.
بهترین مکانها: یکی از موقعیتهای مکانی سطح حریم خصوصی ChainVPS را برای خروجی VPN خود انتخاب کنید: سوئیس (CH)، ایسلند (IS) و هلند (NL) رژیمهای قدرتمند حفاظت از داده و ترانزیت اروپاییِ مناسبی ارائه میدهند، درحالیکه رومانی (RO)، مولداوی (MD) و لوکزامبورگ (LU) مجموعه را با حوزههای قضاییِ خارج از فشار متداول اشتراکگذاری نظارتی کامل میکنند. موقعیتی را انتخاب کنید که از نظر فیزیکی به جایی که واقعاً در آن مرور میکنید نزدیکتر باشد تا تأخیر (latency) تونل کمینه شود، زیرا هر بسته (packet) رفتوبرگشت خود را از طریق خروجی طی میکند.
آن را قفل کنید
چکلیست سختسازی امنیتی
- هرگز رابط وب wg-easy (51821) را در معرض اینترنت قرار ندهید - آن را به localhost محدود کنید و از طریق 'ssh -L 51821:localhost:51821 user@server' به آن دسترسی پیدا کنید، یا آن را پشت یک reverse proxy دارای TLS و احراز هویت HTTP قرار دهید. فقط 51820/udp باید بهصورت عمومی در دسترس باشد.
- جلوی سرور را با یک فایروال واقعی محافظت کنید: 'ufw default deny incoming'، فقط پورت SSH خود و 51820/udp را مجاز کنید و بقیهٔ کار را به forwarding داکر بسپارید. مطمئن شوید که net.ipv4.ip_forward=1 پس از راهاندازی مجدد (reboot) هم پابرجا میماند.
- ایمیج را به یک تگ مشخص (مثلاً :14) پین کنید، نه :latest، تا یک تغییر upstream نتواند بهصورت خاموش رفتار برنامه را تغییر دهد، و rebuild را عمداً و پس از مرور release notes انجام دهید. پوشهٔ ./wg-data را با پیکربندیهای 0600 نگه دارید - این پوشه کلیدهای خصوصی همهٔ همتاها (peer) را در خود دارد.
- قبل از هر چیز SSH را سختتر (harden) کنید: احراز هویت فقط با کلید، غیرفعالکردن ورود با رمز عبور و ورود روت (root)، و تغییر یا محافظت از پورت. حریم خصوصیِ VPN به هرکسی که بتواند به سرور وارد شود محدود میشود.
- WG_DEFAULT_DNS را روی یک resolver مورد اعتماد تنظیم کنید (یا resolver خودتان را روی همان سرور اجرا کنید) تا کلاینتها DNS را بیرون از تونل لو ندهند، و پس از اتصال با یک تست نشتی (leak) IP/DNS آن را تأیید کنید. هنگام گمشدن یک دستگاه، پیکربندی همتای (peer) مربوطه را از رابط کاربری چرخش (rotate) یا لغو (revoke) کنید.
پرسشها
هاستینگ WireGuard — سوالات متداول
آیا یک VPN خودمیزبانِ WireGuard از یک VPN تجاری خصوصیتر است؟
این کار یک IP خروجی مشترک را با کنترل انحصاری معاوضه میکند. یک VPN تجاری شما را در میان هزاران کاربر دیگر پنهان میکند، اما باید به ادعای no-logs آن اعتماد کنید؛ یک اندپوینت خودمیزبان روی یک VPS بدون KYC به این معناست که هیچ شخص ثالثی هویت حساب یا لاگهای شما را نگه نمیدارد، هرچند IP خروجی فقط متعلق به خود شماست. ترکیب آن با پرداخت ارز دیجیتال و یک موقعیت مکانی سطح حریم خصوصی، ردّ هویتی را کاملاً از بین میبرد.
آیا به رابط وب نیاز دارم یا میتوانم WireGuard خام را اجرا کنم؟
ایمیج wg-easy در بالا سریعترین مسیر است، چون پیکربندی همتاها (peer) و کدهای QR را برای شما تولید میکند. اگر ترجیح میدهید اصلاً هیچ سطح وبی نداشته باشید، بستهٔ 'wireguard' را مستقیماً روی Ubuntu 24.04 نصب کنید و /etc/wireguard/wg0.conf را بهصورت دستی مدیریت کنید - همان ماژول هسته (kernel)، فقط با مدیریت دستی کلیدها و همتاها.
آیا پهنایباند نامحدود واقعاً استفادهٔ سنگین از VPN را پوشش میدهد؟
بله - پلنهای VPS شرکت ChainVPS شامل پهنایباند نامحدود هستند، که دقیقاً همان چیزی است که یک VPN به آن نیاز دارد، زیرا هر بایتی که مرور، استریم یا دانلود میکنید دو بار از تونل عبور میکند. هیچ هزینهٔ اضافیِ هر-گیگابایتی وجود ندارد که نگرانش باشید.
چرا UDP 51820 تنها پورتی است که باید بهصورت عمومی باز کنم؟
سطح دادهٔ WireGuard بهطور کامل روی همان یک پورت UDP اجرا میشود. پورت مدیریت وب (51821/tcp) فقط برای مدیریت است و باید پشت فایروال بماند و از طریق تونل SSH در دسترس باشد، بنابراین سطح حملهٔ عمومی تنها یک شنوندهٔ (listener) UDP است که بستههای احراز-هویتنشده را بیسروصدا حذف میکند.
آیا میتوانم از این برای چند دستگاه و اعضای خانواده استفاده کنم؟
بله. هر دستگاه پیکربندی همتای (peer) اختصاصی خودش را از رابط کاربری دریافت میکند، و یک پلن در ردهٔ VPS Pro بهراحتی از پس یک خانوادهٔ 10-25 همتایی برمیآید. تنها زمانی به یک پلن Dedicated ارتقا دهید که نیاز به اشباع یک لینک گیگابیتی یا اجرای یک گیتوی سایتبهسایت داشته باشید.
آیا محافظت در برابر DDoS برای یک اندپوینت VPN اهمیت دارد؟
بله کمک میکند - پورت UDP عمومیِ یک VPN میتواند سیلهای حجمی (volumetric flood) را جذب کند، و ChainVPS شامل کاهش DDoS است تا یک موج ناگهانی از ترافیک بیارزش تونل شما را از کار نیندازد. این کار در برابر مهاجمی که از قبل کلیدهای معتبر همتا (peer) را در اختیار دارد کارساز نیست، بنابراین آن کلیدها را کاملاً تحت کنترل نگه دارید.
موارد بیشتر برای میزبانی شخصی
سایر استکهای تککلیکی
راهاندازی کنید WireGuard
در 60 ثانیه آینده.
پهنای باند نامحدود · محافظت DDoS شامل است · 21 ارز دیجیتال · بدون KYC.