VPN · KYC不要
WireGuard をオフショアVPSでホスト
オフショアのChainVPSインスタンス上で自分専用のWireGuard VPNを運用し、あなた以外の誰にも従わない、高速でモダンな暗号化トンネルを手に入れましょう。
概要
WireGuardはLinuxカーネルに組み込まれた軽量かつ高性能なVPNプロトコルで、最新の暗号技術(Curve25519、ChaCha20、Poly1305)を用いて暗号化されたポイントツーポイントのトンネルを確立します。VPS上でセルフホストすれば、そのサーバーは完全にあなたが管理する個人用VPN出口ノードとなり、共有型の商用プロバイダーではなく、そのサーバーのIPを経由してトラフィックをルーティングできます。
オフショアでホストする理由
セルフホスト型VPNのプライバシーレベルは、それが動くサーバー次第です。だからこそ、プライバシーに配慮した法域にあるノーKYCで暗号資産決済に対応したホストを使えば、商用VPNや大手クラウドが記録として保持する身元の痕跡を排除できます。ChainVPSの無制限帯域幅とプライバシー重視のロケーション(NL/CH/RO/IS/MD/LU)により、トンネルは従量課金の思わぬ請求も、出口IPとあなたを結びつける記録も残さずに実際のトラフィックを運びます。
デプロイ
実際に動作するリファレンス構成
これを新しいChainVPSインスタンスにコピーしてください。プレースホルダーを置き換えてから起動します。
# wg-easy: WireGuard + web admin UI. Docker + compose plugin required.
# 1) Generate a bcrypt admin password hash first:
# docker run --rm ghcr.io/wg-easy/wg-easy:14 wgpw 'ChooseAStrongPassword'
# -> copy the PASSWORD_HASH value into the file below.
# NOTE: in docker-compose, every '$' in the hash MUST be doubled to '$$'.
# 2) Replace WG_HOST with your server's public IP (or a DNS name pointing to it).
# 3) docker compose up -d then open http://SERVER_IP:51821
services:
wg-easy:
image: ghcr.io/wg-easy/wg-easy:14
container_name: wg-easy
restart: unless-stopped
environment:
- WG_HOST=YOUR.SERVER.PUBLIC.IP
- PASSWORD_HASH=$$2a$$12$$REPLACE_WITH_YOUR_BCRYPT_HASH
- WG_PORT=51820
- WG_DEFAULT_DNS=1.1.1.1
- WG_DEFAULT_ADDRESS=10.8.0.x
- WG_ALLOWED_IPS=0.0.0.0/0, ::/0
volumes:
- ./wg-data:/etc/wireguard
ports:
- "51820:51820/udp" # WireGuard tunnel
- "51821:51821/tcp" # Web admin UI
cap_add:
- NET_ADMIN
- SYS_MODULE
sysctls:
- net.ipv4.ip_forward=1
- net.ipv4.conf.all.src_valid_mark=1ファイアウォール
開放するポート
| ポート | プロトコル | 用途 |
|---|---|---|
| 51820 | UDP | WireGuardトンネル(データプレーン) - インターネットに公開しておく必要があります |
| 51821 | TCP | wg-easyのWeb管理UI - ファイアウォールで保護し、SSHトンネルまたは認証付きリバースプロキシ経由でアクセスしてください |
適正サイジング
必要なプラン
VPS Nano / Small (1 vCPU, 1-2 GB RAM)
個人用デバイス1〜3台、一般的なブラウジングやジオシフティング向け。WireGuardはカーネルレベルで高速に動作するため、このクラスではCPUがボトルネックになることはほとんどありません。
VPS Pro (2-4 vCPU, 4-8 GB RAM)
家庭や小規模チーム向けで、ピア数10〜25、安定したストリーミングやダウンロードに対応します。この規模ではコア数よりも無制限帯域幅の方が重要になります。
Dedicated (or top VPS with dedicated cores)
ピア数50以上、ギガビット帯域を使い切るスループット、またはサイト間ゲートウェイ用途向けです。専有CPUであれば、暗号化処理における「ノイジーネイバー」的なジッターを回避できます。
最適なロケーション: VPNの出口にはChainVPSのプライバシー重視ロケーションを選びましょう。スイス(CH)、アイスランド(IS)、オランダ(NL)は強力なデータ保護制度と優れた欧州トランジットを備え、ルーマニア(RO)、モルドバ(MD)、ルクセンブルク(LU)は一般的な監視情報共有の圧力の外にある法域として選択肢を広げます。すべてのパケットは出口を経由して往復するため、トンネルの遅延を最小限に抑えるには、実際にブラウジングする場所に物理的に最も近いロケーションを選んでください。
セキュリティを固める
セキュリティ強化チェックリスト
- wg-easyのWeb UI(51821)は絶対にインターネットへ公開しないでください。localhostにバインドし、'ssh -L 51821:localhost:51821 user@server' 経由でアクセスするか、TLSとHTTP認証を備えたリバースプロキシの背後に置きましょう。公開してよいのは51820/udpだけです。
- サーバーの前面には本格的なファイアウォールを設置してください。'ufw default deny incoming' を設定し、許可するのはSSHポートと51820/udpのみとし、残りはDockerのフォワーディングに任せます。net.ipv4.ip_forward=1が再起動後も維持されることを確認してください。
- イメージは:latestではなく特定のタグ(例:14)に固定し、上流の変更が知らぬ間に挙動を変えてしまわないようにしましょう。リリースノートを確認した上で、意図的に再ビルドしてください。./wg-dataディレクトリの設定ファイルは0600で保存してください。全ピアの秘密鍵が格納されています。
- 何よりもまずSSHを堅牢化してください。鍵認証のみを許可し、パスワード認証とrootログインを無効化し、ポート番号を変更または保護します。VPNのプライバシーは、そのホストにログインできる人物によって左右されます。
- WG_DEFAULT_DNSには信頼できるリゾルバを設定するか(あるいはサーバー上で自前のリゾルバを稼働させ)、クライアントがトンネルの外にDNSを漏らさないようにしましょう。接続後はIP/DNSリークテストで確認してください。デバイスを紛失した場合は、UIからピア設定をローテーションまたは失効させてください。
質問
ホスティング WireGuard — FAQ
セルフホスト型のWireGuard VPNは、商用VPNよりもプライバシー性が高いのですか?
共有の出口IPと引き換えに、完全な管理権限を得られます。商用VPNは何千人ものユーザーとあなたを紛れ込ませてくれますが、その「ノーログ」の主張を信用する必要があります。一方、ノーKYCのVPS上にセルフホストしたエンドポイントでは、あなたのアカウント情報やログを第三者が保持することはありませんが、出口IPはあなた専用のものになります。暗号資産決済とプライバシー重視のロケーションを組み合わせれば、身元の痕跡を完全に排除できます。
Web UIは必須ですか、それとも素のWireGuardだけで運用できますか?
上記のwg-easyイメージは、ピア設定やQRコードを自動生成してくれるため、最も手早い方法です。Webの表面を一切持ちたくない場合は、Ubuntu 24.04に'wireguard'パッケージを直接インストールし、/etc/wireguard/wg0.confを手動で管理してください。使用するカーネルモジュールは同じで、鍵とピアの管理を手作業で行うだけです。
無制限帯域幅は、本当にヘビーなVPN利用をカバーできるのですか?
はい。ChainVPSのVPSプランには無制限帯域幅が含まれており、これはVPNにとってまさに必要な条件です。ブラウジングやストリーミング、ダウンロードのすべてのバイトがトンネルを2回通過するためです。ギガバイト単位の超過料金を心配する必要はありません。
なぜ公開してよいポートはUDP 51820だけなのですか?
WireGuardのデータプレーンは、そのUDPポート1つだけで完結しています。Web管理ポート(51821/tcp)は管理専用であり、ファイアウォールで保護しSSHトンネル経由でアクセスすべきものです。そのため、公開される攻撃対象領域は、認証されていないパケットを黙って破棄する単一のUDPリスナーのみとなります。
複数のデバイスや家族での利用にも対応できますか?
はい。各デバイスはUIから個別のピア設定を取得でき、VPS Proクラスのプランであれば、家庭内のピア数10〜25台にも余裕を持って対応できます。ギガビット回線を使い切る必要がある場合や、サイト間ゲートウェイを運用する場合にのみ、Dedicatedプランへスケールしてください。
VPNエンドポイントにとって、DDoS対策は重要ですか?
役立ちます。VPNの公開UDPポートは大量トラフィックによるフラッド攻撃の標的になりやすいものですが、ChainVPSにはDDoS対策が含まれており、ジャンクトラフィックの急増でトンネルがダウンすることを防ぎます。ただし、すでに有効なピア鍵を持つ攻撃者を防ぐことはできないため、鍵の管理は厳重に行ってください。
セルフホストをもっと見る