VPN · tanpa KYC
Host WireGuard di VPS Offshore
Jalankan WireGuard VPN Anda sendiri di instance ChainVPS offshore dan dapatkan tunnel terenkripsi yang cepat dan modern, yang tidak tunduk pada siapa pun selain Anda.
Apa itu
WireGuard adalah protokol VPN yang ringan dan berkinerja tinggi, terintegrasi langsung ke kernel Linux, yang membangun tunnel point-to-point terenkripsi menggunakan kriptografi modern (Curve25519, ChaCha20, Poly1305). Meng-host-nya sendiri di VPS mengubah server tersebut menjadi exit node VPN pribadi yang sepenuhnya Anda kendalikan, mengalirkan trafik Anda melalui IP server itu sendiri, bukan lewat provider komersial yang dipakai bersama pengguna lain.
Mengapa hosting di offshore
VPN self-hosted hanya seprivat server tempatnya berjalan, sehingga host tanpa KYC berbayar kripto di yurisdiksi yang ramah privasi menghilangkan jejak identitas yang biasa disimpan oleh VPN komersial maupun cloud mainstream. Bandwidth unmetered ChainVPS dan lokasi privacy-tier (NL/CH/RO/IS/MD/LU) membuat tunnel Anda mengalirkan trafik sungguhan tanpa kejutan meteran maupun jejak kertas yang menghubungkan IP exit dengan identitas Anda.
Proses deploy
Contoh setup referensi yang berfungsi
Salin ini ke instance ChainVPS baru. Ganti placeholder-nya, lalu jalankan.
# wg-easy: WireGuard + web admin UI. Docker + compose plugin required.
# 1) Generate a bcrypt admin password hash first:
# docker run --rm ghcr.io/wg-easy/wg-easy:14 wgpw 'ChooseAStrongPassword'
# -> copy the PASSWORD_HASH value into the file below.
# NOTE: in docker-compose, every '$' in the hash MUST be doubled to '$$'.
# 2) Replace WG_HOST with your server's public IP (or a DNS name pointing to it).
# 3) docker compose up -d then open http://SERVER_IP:51821
services:
wg-easy:
image: ghcr.io/wg-easy/wg-easy:14
container_name: wg-easy
restart: unless-stopped
environment:
- WG_HOST=YOUR.SERVER.PUBLIC.IP
- PASSWORD_HASH=$$2a$$12$$REPLACE_WITH_YOUR_BCRYPT_HASH
- WG_PORT=51820
- WG_DEFAULT_DNS=1.1.1.1
- WG_DEFAULT_ADDRESS=10.8.0.x
- WG_ALLOWED_IPS=0.0.0.0/0, ::/0
volumes:
- ./wg-data:/etc/wireguard
ports:
- "51820:51820/udp" # WireGuard tunnel
- "51821:51821/tcp" # Web admin UI
cap_add:
- NET_ADMIN
- SYS_MODULE
sysctls:
- net.ipv4.ip_forward=1
- net.ipv4.conf.all.src_valid_mark=1Firewall
Port yang perlu dibuka
| Port | Protokol | Tujuan |
|---|---|---|
| 51820 | UDP | Tunnel WireGuard (data plane) - harus terbuka ke internet |
| 51821 | TCP | Web admin UI wg-easy - tetap difirewall, akses lewat SSH tunnel atau reverse proxy dengan autentikasi |
Penyesuaian ukuran yang tepat
Paket mana yang Anda butuhkan
VPS Nano / Small (1 vCPU, 1-2 GB RAM)
1-3 perangkat pribadi, browsing umum dan geo-shifting. WireGuard sudah secepat kernel; CPU jarang menjadi batasan di tier ini.
VPS Pro (2-4 vCPU, 4-8 GB RAM)
Rumah tangga atau tim kecil, 10-25 peer, streaming/download yang stabil. Bandwidth unmetered di sini lebih penting daripada jumlah core.
Dedicated (atau VPS kelas atas dengan core dedicated)
50+ peer, throughput yang menjenuhkan gigabit, atau gateway site-to-site. CPU dedicated menghindari jitter noisy-neighbor pada jalur enkripsi.
Lokasi terbaik: Pilih lokasi privacy-tier ChainVPS untuk exit VPN Anda: Swiss (CH), Islandia (IS), dan Belanda (NL) menawarkan rezim perlindungan data yang kuat serta transit Eropa yang baik, sementara Rumania (RO), Moldova (MD), dan Luksemburg (LU) melengkapi pilihan yurisdiksi di luar tekanan berbagi-pengawasan yang umum. Pilih lokasi yang secara fisik paling dekat dengan tempat Anda benar-benar browsing untuk meminimalkan latensi tunnel, karena setiap paket bolak-balik melalui exit tersebut.
Amankan sekarang
Daftar periksa hardening
- Jangan pernah mengekspos web UI wg-easy (51821) ke internet - ikat ke localhost dan akses lewat 'ssh -L 51821:localhost:51821 user@server', atau tempatkan di belakang reverse proxy dengan TLS dan autentikasi HTTP. Hanya 51820/udp yang boleh dapat diakses publik.
- Lindungi server dengan firewall sungguhan: 'ufw default deny incoming', izinkan hanya port SSH Anda dan 51820/udp, lalu biarkan forwarding Docker menangani sisanya. Pastikan net.ipv4.ip_forward=1 tetap bertahan setelah reboot.
- Kunci image pada tag tertentu (misalnya :14) bukan :latest agar perubahan upstream tidak diam-diam mengubah perilaku, dan lakukan rebuild secara sengaja setelah meninjau release notes. Simpan direktori ./wg-data dengan konfigurasi bermode 0600 - direktori ini menyimpan private key setiap peer.
- Perkeras SSH terlebih dahulu sebelum yang lain: autentikasi berbasis key saja, nonaktifkan login password dan root, serta ubah atau lindungi portnya. Privasi VPN ini hanya sekuat siapa pun yang bisa login ke host.
- Set WG_DEFAULT_DNS ke resolver yang Anda percaya (atau jalankan sendiri di server) agar client tidak membocorkan DNS di luar tunnel, lalu verifikasi dengan tes kebocoran IP/DNS setelah terhubung. Rotasi atau cabut konfigurasi peer dari UI saat sebuah perangkat hilang.
Pertanyaan
Hosting WireGuard — FAQ
Apakah WireGuard VPN self-hosted lebih privat dibanding VPN komersial?
Ini menukar IP exit bersama dengan kendali eksklusif. VPN komersial mencampur Anda dengan ribuan pengguna lain, tetapi Anda harus percaya pada klaim no-logs mereka; endpoint self-hosted di VPS tanpa KYC berarti tidak ada pihak ketiga yang menyimpan identitas akun atau log Anda, meski IP exit-nya jadi milik Anda sendiri. Memadukannya dengan pembayaran kripto dan lokasi privacy-tier menghilangkan jejak identitas sepenuhnya.
Apakah saya perlu web UI, atau bisa menjalankan WireGuard biasa saja?
Image wg-easy di atas adalah cara tercepat karena ia membuatkan konfigurasi peer dan kode QR untuk Anda secara otomatis. Jika Anda lebih memilih tanpa antarmuka web sama sekali, instal paket 'wireguard' langsung di Ubuntu 24.04 dan kelola /etc/wireguard/wg0.conf secara manual - modul kernel sama, hanya pengelolaan key dan peer dilakukan sendiri.
Apakah bandwidth unmetered benar-benar cukup untuk penggunaan VPN yang berat?
Ya - paket VPS ChainVPS menyertakan bandwidth unmetered, yang justru dibutuhkan VPN karena setiap byte yang Anda browsing, streaming, atau download melewati tunnel dua kali. Tidak ada biaya kelebihan per gigabyte yang perlu dikhawatirkan.
Mengapa UDP 51820 seharusnya menjadi satu-satunya port yang dibuka ke publik?
Data plane WireGuard berjalan sepenuhnya lewat satu port UDP tersebut. Port web admin (51821/tcp) hanya untuk manajemen dan sebaiknya tetap difirewall serta diakses lewat SSH tunnel, sehingga permukaan serangan publik hanya berupa satu listener UDP yang diam-diam membuang paket yang tidak terautentikasi.
Bisakah ini dipakai untuk banyak perangkat dan anggota keluarga?
Bisa. Setiap perangkat mendapat konfigurasi peer-nya sendiri dari UI, dan paket sekelas VPS Pro dengan nyaman menangani rumah tangga dengan 10-25 peer. Naik ke paket Dedicated hanya jika Anda perlu menjenuhkan koneksi gigabit atau menjalankan gateway site-to-site.
Apakah proteksi DDoS penting untuk endpoint VPN?
Membantu - port UDP publik sebuah VPN bisa menarik serangan volumetrik, dan ChainVPS menyertakan mitigasi DDoS sehingga lonjakan trafik sampah tidak membuat tunnel Anda offline. Ini tidak akan mengalahkan penyerang yang sudah memiliki key peer yang valid, jadi jagalah key tersebut tetap terkendali ketat.
Lebih banyak untuk di-self-host
Stack one-click lainnya
Jalankan WireGuard
dalam 60 detik ke depan.
Bandwidth unmetered · DDoS Termasuk · 21 mata uang kripto · Tanpa KYC.