VPN · без KYC
Хостинг WireGuard на офшорном VPS
Разверните собственный VPN на WireGuard на офшорном сервере ChainVPS и получите быстрый современный зашифрованный туннель, который подчиняется только вам.
Что это такое
WireGuard — это лёгкий высокопроизводительный VPN-протокол, встроенный в ядро Linux, который устанавливает зашифрованные туннели точка-точка с использованием современной криптографии (Curve25519, ChaCha20, Poly1305). Развернув его на собственном VPS, вы превращаете сервер в персональный VPN-узел выхода, который полностью контролируете, направляя свой трафик через IP-адрес сервера вместо адреса общего коммерческого провайдера.
Почему размещать это оффшорно
Приватность собственного VPN зависит от приватности сервера, на котором он работает, поэтому no-KYC хостинг с оплатой криптовалютой в юрисдикции, дружественной к приватности, устраняет след идентификации, который коммерческие VPN и мейнстримовые облака хранят в своих базах. Безлимитный трафик ChainVPS и локации privacy-уровня (NL/CH/RO/IS/MD/LU) позволяют туннелю пропускать реальный трафик без сюрпризов с тарификацией и без бумажного следа, связывающего исходящий IP с вами.
Развёртывание
Рабочая эталонная конфигурация
Скопируйте это на новый инстанс ChainVPS. Замените плейсхолдеры и запустите.
# wg-easy: WireGuard + web admin UI. Docker + compose plugin required.
# 1) Generate a bcrypt admin password hash first:
# docker run --rm ghcr.io/wg-easy/wg-easy:14 wgpw 'ChooseAStrongPassword'
# -> copy the PASSWORD_HASH value into the file below.
# NOTE: in docker-compose, every '$' in the hash MUST be doubled to '$$'.
# 2) Replace WG_HOST with your server's public IP (or a DNS name pointing to it).
# 3) docker compose up -d then open http://SERVER_IP:51821
services:
wg-easy:
image: ghcr.io/wg-easy/wg-easy:14
container_name: wg-easy
restart: unless-stopped
environment:
- WG_HOST=YOUR.SERVER.PUBLIC.IP
- PASSWORD_HASH=$$2a$$12$$REPLACE_WITH_YOUR_BCRYPT_HASH
- WG_PORT=51820
- WG_DEFAULT_DNS=1.1.1.1
- WG_DEFAULT_ADDRESS=10.8.0.x
- WG_ALLOWED_IPS=0.0.0.0/0, ::/0
volumes:
- ./wg-data:/etc/wireguard
ports:
- "51820:51820/udp" # WireGuard tunnel
- "51821:51821/tcp" # Web admin UI
cap_add:
- NET_ADMIN
- SYS_MODULE
sysctls:
- net.ipv4.ip_forward=1
- net.ipv4.conf.all.src_valid_mark=1Файрвол
Порты для открытия
| Порт | Протокол | Назначение |
|---|---|---|
| 51820 | UDP | Туннель WireGuard (плоскость данных) — должен быть открыт в интернет |
| 51821 | TCP | Веб-интерфейс администрирования wg-easy — держите за файрволом, подключайтесь через SSH-туннель или обратный прокси с авторизацией |
Подбор оптимального размера
Какой план вам нужен
VPS Nano / Small (1 vCPU, 1-2 GB RAM)
1-3 личных устройства, обычный браузинг и смена гео. WireGuard работает на уровне ядра и очень быстр; на этом уровне CPU редко становится узким местом.
VPS Pro (2-4 vCPU, 4-8 GB RAM)
Домохозяйство или небольшая команда, 10-25 пиров, постоянный стриминг/загрузки. Здесь безлимитный трафик важнее количества ядер.
Dedicated (или топовый VPS с выделенными ядрами)
50+ пиров, пропускная способность, насыщающая гигабитный канал, или шлюз site-to-site. Выделенный CPU исключает джиттер от «шумных соседей» на пути шифрования.
Лучшие локации: Выберите локацию ChainVPS privacy-уровня для точки выхода VPN: Швейцария (CH), Исландия (IS) и Нидерланды (NL) предлагают строгие режимы защиты данных и хороший европейский транзит, а Румыния (RO), Молдова (MD) и Люксембург (LU) дополняют список юрисдикций вне типичного давления по обмену данными слежки. Выбирайте локацию, физически ближайшую к месту, откуда вы реально выходите в сеть, чтобы минимизировать задержку туннеля, так как каждый пакет проходит через точку выхода туда и обратно.
Обеспечьте полную защиту
Чек-лист по усилению защиты
- Никогда не открывайте веб-интерфейс wg-easy (51821) в интернет — привяжите его к localhost и подключайтесь через 'ssh -L 51821:localhost:51821 user@server' либо разместите за обратным прокси с TLS и HTTP-авторизацией. Публично доступным должен быть только 51820/udp.
- Прикройте сервер настоящим файрволом: 'ufw default deny incoming', разрешите только свой SSH-порт и 51820/udp, а остальное оставьте на форвардинг Docker. Убедитесь, что net.ipv4.ip_forward=1 сохраняется после перезагрузки.
- Закрепите образ за конкретным тегом (например, :14), а не :latest, чтобы изменения в апстриме не могли незаметно изменить поведение, и пересобирайте образ осознанно, после изучения release notes. Храните каталог ./wg-data с конфигами 0600 — в нём лежат приватные ключи всех пиров.
- Прежде всего защитите SSH: авторизация только по ключу, отключите вход по паролю и под root, смените или защитите порт. Приватность VPN ограничена тем, кто может войти на хост.
- Укажите в WG_DEFAULT_DNS резолвер, которому вы доверяете (или запустите собственный на сервере), чтобы клиенты не «утекали» через DNS за пределы туннеля, и проверьте это тестом на IP/DNS-утечки после подключения. Ротируйте или отзывайте конфиги пиров через интерфейс, когда устройство утеряно.
Разверните на
Правильный продукт ChainVPS
Вопросы
Хостинг WireGuard — FAQ
Более приватен ли self-hosted VPN на WireGuard по сравнению с коммерческим VPN?
Он меняет общий IP выхода на эксклюзивный контроль. Коммерческий VPN смешивает вас с тысячами других пользователей, но вам приходится верить их заявлениям об отсутствии логов; собственная точка на no-KYC VPS означает, что ни одна третья сторона не хранит вашу идентификацию аккаунта или логи, хотя исходящий IP принадлежит только вам. В сочетании с оплатой криптовалютой и локацией privacy-уровня след идентификации устраняется полностью.
Обязателен ли веб-интерфейс, или можно использовать обычный WireGuard?
Образ wg-easy, указанный выше, — самый быстрый способ, поскольку он сам генерирует конфиги пиров и QR-коды. Если вы предпочитаете вообще без веб-интерфейса, установите пакет 'wireguard' напрямую на Ubuntu 24.04 и управляйте /etc/wireguard/wg0.conf вручную — тот же модуль ядра, просто ручное управление ключами и пирами.
Действительно ли безлимитный трафик покрывает интенсивное использование VPN?
Да — тарифы VPS от ChainVPS включают безлимитный трафик, а это именно то, что нужно VPN, поскольку каждый байт, который вы просматриваете, стримите или скачиваете, проходит через туннель дважды. Никаких дополнительных начислений за превышение по гигабайтам можно не опасаться.
Почему UDP 51820 — единственный порт, который стоит открывать публично?
Вся плоскость данных WireGuard работает через этот единственный UDP-порт. Порт веб-администрирования (51821/tcp) предназначен только для управления, должен оставаться за файрволом и быть доступен через SSH-туннель, поэтому публичная поверхность атаки — это один UDP-слушатель, который молча отбрасывает неавторизованные пакеты.
Можно ли использовать это для нескольких устройств и членов семьи?
Да. Каждое устройство получает свой отдельный конфиг пира через интерфейс, а тариф уровня VPS Pro спокойно справляется с домохозяйством из 10-25 пиров. Переходите на тариф Dedicated только тогда, когда нужно насытить гигабитный канал или запустить шлюз site-to-site.
Важна ли защита от DDoS для точки VPN?
Да, она помогает — публичный UDP-порт VPN может привлекать объёмные флуд-атаки, а ChainVPS включает защиту от DDoS, чтобы всплеск мусорного трафика не выбил ваш туннель в офлайн. Она не остановит атакующего, у которого уже есть действительные ключи пира, поэтому держите эти ключи под строгим контролем.
Больше для самостоятельного хостинга
Другие стеки в один клик
Разверните WireGuard
в течение следующих 60 секунд.
Безлимитный трафик · DDoS-защита включена · 21 криптовалюта · без KYC.