VPN · không KYC
Lưu Trữ WireGuard Trên VPS Offshore
Tự vận hành VPN WireGuard trên một instance ChainVPS offshore và sở hữu một đường hầm mã hóa nhanh, hiện đại, không chịu trách nhiệm với ai ngoài chính bạn.
Đó là gì
WireGuard là một giao thức VPN nhẹ, hiệu năng cao được tích hợp sẵn trong nhân Linux, thiết lập các đường hầm mã hóa điểm-điểm (point-to-point) bằng mật mã học hiện đại (Curve25519, ChaCha20, Poly1305). Tự host giao thức này trên một VPS biến máy chủ đó thành một nút thoát (exit node) VPN cá nhân mà bạn hoàn toàn kiểm soát, định tuyến lưu lượng của bạn qua IP của máy chủ thay vì qua một nhà cung cấp thương mại dùng chung.
Tại sao nên lưu trữ offshore
Một VPN tự host chỉ riêng tư đúng bằng mức độ riêng tư của máy chủ chạy nó, vì vậy một host no-KYC, thanh toán bằng crypto, đặt tại một khu vực pháp lý thân thiện với quyền riêng tư sẽ loại bỏ dấu vết danh tính mà các VPN thương mại và các cloud phổ biến vẫn lưu trữ. Băng thông không giới hạn cùng các vị trí thuộc nhóm privacy-tier của ChainVPS (NL/CH/RO/IS/MD/LU) cho phép đường hầm gánh lưu lượng thực sự mà không gặp bất ngờ về đo lường hay để lại dấu vết giấy tờ liên kết IP thoát với bạn.
Triển khai
Một cấu hình mẫu hoạt động thực tế
Sao chép nội dung này vào một instance ChainVPS mới. Thay thế các placeholder, sau đó khởi chạy.
# wg-easy: WireGuard + web admin UI. Docker + compose plugin required.
# 1) Generate a bcrypt admin password hash first:
# docker run --rm ghcr.io/wg-easy/wg-easy:14 wgpw 'ChooseAStrongPassword'
# -> copy the PASSWORD_HASH value into the file below.
# NOTE: in docker-compose, every '$' in the hash MUST be doubled to '$$'.
# 2) Replace WG_HOST with your server's public IP (or a DNS name pointing to it).
# 3) docker compose up -d then open http://SERVER_IP:51821
services:
wg-easy:
image: ghcr.io/wg-easy/wg-easy:14
container_name: wg-easy
restart: unless-stopped
environment:
- WG_HOST=YOUR.SERVER.PUBLIC.IP
- PASSWORD_HASH=$$2a$$12$$REPLACE_WITH_YOUR_BCRYPT_HASH
- WG_PORT=51820
- WG_DEFAULT_DNS=1.1.1.1
- WG_DEFAULT_ADDRESS=10.8.0.x
- WG_ALLOWED_IPS=0.0.0.0/0, ::/0
volumes:
- ./wg-data:/etc/wireguard
ports:
- "51820:51820/udp" # WireGuard tunnel
- "51821:51821/tcp" # Web admin UI
cap_add:
- NET_ADMIN
- SYS_MODULE
sysctls:
- net.ipv4.ip_forward=1
- net.ipv4.conf.all.src_valid_mark=1Tường lửa
Các cổng cần mở
| Cổng | Giao thức | Mục đích |
|---|---|---|
| 51820 | UDP | Đường hầm WireGuard (mặt phẳng dữ liệu) - phải mở ra internet |
| 51821 | TCP | Giao diện quản trị web wg-easy - giữ sau tường lửa, truy cập qua đường hầm SSH hoặc reverse proxy có xác thực |
Chọn đúng cấu hình
Gói nào bạn cần
VPS Nano / Small (1 vCPU, 1-2 GB RAM)
1-3 thiết bị cá nhân, lướt web thông thường và geo-shifting. WireGuard nhanh ở cấp nhân hệ điều hành; CPU hiếm khi là giới hạn ở mức này.
VPS Pro (2-4 vCPU, 4-8 GB RAM)
Một hộ gia đình hoặc nhóm nhỏ, 10-25 peer, streaming/tải xuống ổn định. Ở mức này băng thông không giới hạn quan trọng hơn số lõi CPU.
Dedicated (or top VPS with dedicated cores)
50+ peer, thông lượng bão hòa gigabit hoặc một gateway site-to-site. CPU riêng (dedicated) tránh được hiện tượng jitter do 'hàng xóm ồn ào' (noisy-neighbor) trên đường mã hóa.
Vị trí tốt nhất: Hãy chọn một vị trí thuộc nhóm privacy-tier của ChainVPS làm điểm thoát VPN: Thụy Sĩ (CH), Iceland (IS) và Hà Lan (NL) có chế độ bảo vệ dữ liệu mạnh cùng kết nối trung chuyển (transit) châu Âu tốt, trong khi Romania (RO), Moldova (MD) và Luxembourg (LU) bổ sung thêm các khu vực pháp lý nằm ngoài áp lực chia sẻ giám sát thông thường. Hãy chọn vị trí gần nhất về mặt vật lý với nơi bạn thực sự duyệt web để giảm thiểu độ trễ đường hầm, vì mỗi gói tin đều phải đi khứ hồi qua điểm thoát.
Khóa chặt bảo mật
Checklist tăng cường bảo mật
- Không bao giờ để giao diện web wg-easy (51821) lộ ra internet - hãy bind nó vào localhost và truy cập qua 'ssh -L 51821:localhost:51821 user@server', hoặc đặt nó sau một reverse proxy có TLS và xác thực HTTP. Chỉ 51820/udp mới nên có thể truy cập công khai.
- Đặt một tường lửa thực sự trước máy chủ: 'ufw default deny incoming', chỉ cho phép cổng SSH của bạn và 51820/udp, để phần forwarding của Docker xử lý phần còn lại. Xác nhận net.ipv4.ip_forward=1 vẫn được giữ nguyên sau khi khởi động lại.
- Ghim image vào một tag cụ thể (ví dụ :14) thay vì :latest để một thay đổi từ upstream không thể âm thầm làm thay đổi hành vi, và chỉ rebuild một cách có chủ đích sau khi xem lại release notes. Lưu thư mục ./wg-data với các file cấu hình quyền 0600 - vì nó chứa private key của từng peer.
- Hãy tăng cường bảo mật SSH trước tiên: chỉ xác thực bằng key, tắt đăng nhập bằng mật khẩu và đăng nhập root, đồng thời đổi hoặc bảo vệ cổng SSH. Tính riêng tư của VPN bị giới hạn bởi bất kỳ ai có thể đăng nhập vào máy chủ.
- Đặt WG_DEFAULT_DNS thành một resolver mà bạn tin tưởng (hoặc tự chạy resolver riêng trên máy chủ) để client không bị rò rỉ DNS ra ngoài đường hầm, và kiểm tra bằng một bài test rò rỉ IP/DNS sau khi kết nối. Xoay vòng hoặc thu hồi cấu hình peer từ giao diện quản trị khi một thiết bị bị mất.
Câu hỏi
Hosting WireGuard — FAQ
VPN WireGuard tự host có riêng tư hơn một VPN thương mại không?
Nó đánh đổi một IP thoát dùng chung để lấy quyền kiểm soát độc quyền. Một VPN thương mại trộn bạn lẫn với hàng nghìn người dùng khác, nhưng bạn buộc phải tin vào tuyên bố no-logs của họ; một điểm cuối tự host trên VPS no-KYC nghĩa là không bên thứ ba nào nắm giữ danh tính tài khoản hay nhật ký của bạn, dù IP thoát khi đó chỉ thuộc về riêng bạn. Kết hợp điều này với thanh toán bằng crypto và một vị trí privacy-tier sẽ loại bỏ hoàn toàn dấu vết danh tính.
Tôi có cần giao diện web không, hay có thể chạy WireGuard thuần túy?
Image wg-easy ở trên là con đường nhanh nhất vì nó tự tạo cấu hình peer và mã QR cho bạn. Nếu bạn muốn hoàn toàn không có bề mặt web nào, hãy cài trực tiếp gói 'wireguard' trên Ubuntu 24.04 và tự quản lý /etc/wireguard/wg0.conf - cùng một kernel module, chỉ khác là bạn quản lý key và peer thủ công.
Băng thông không giới hạn có thực sự đáp ứng được nhu cầu sử dụng VPN nặng không?
Có - các gói VPS của ChainVPS đi kèm băng thông không giới hạn, đúng thứ mà một VPN cần vì mỗi byte bạn duyệt web, streaming hay tải xuống đều đi qua đường hầm hai lần. Bạn không cần lo về phí phát sinh tính theo từng gigabyte.
Tại sao UDP 51820 là cổng duy nhất tôi nên mở công khai?
Mặt phẳng dữ liệu của WireGuard chạy hoàn toàn qua đúng một cổng UDP đó. Cổng quản trị web (51821/tcp) chỉ dùng cho quản lý và nên được giữ sau tường lửa, truy cập qua đường hầm SSH, vì vậy bề mặt tấn công công khai chỉ là một listener UDP duy nhất, âm thầm loại bỏ các gói tin chưa xác thực.
Tôi có thể dùng cái này cho nhiều thiết bị và thành viên gia đình không?
Có. Mỗi thiết bị nhận một cấu hình peer riêng từ giao diện quản trị, và một gói ở tầm VPS Pro có thể dễ dàng đáp ứng một hộ gia đình với 10-25 peer. Chỉ nâng cấp lên gói Dedicated khi bạn cần bão hòa một đường truyền gigabit hoặc chạy một gateway site-to-site.
Bảo vệ DDoS có quan trọng đối với một điểm cuối VPN không?
Có ích - cổng UDP công khai của một VPN có thể thu hút các đợt lũ lưu lượng (volumetric flood), và ChainVPS tích hợp sẵn khả năng giảm thiểu DDoS để một đợt lưu lượng rác đột biến không làm sập đường hầm của bạn. Điều này sẽ không ngăn được kẻ tấn công đã có sẵn key peer hợp lệ, vì vậy hãy kiểm soát chặt chẽ các key đó.
Xem thêm để tự lưu trữ
Các gói cài đặt one-click khác
Khởi tạo ngay WireGuard
trong 60 giây tới.
Băng thông không giới hạn · Đã bao gồm DDoS · 21 loại tiền điện tử · Không KYC.