Betreiben Sie einen persönlichen WireGuard-Endpunkt mit minimaler Historie
Erstellen Sie ein kleines selbstgehostetes VPN, trennen Sie das Routing von der Administration und überprüfen Sie die rund um WireGuard erstellten Protokolle.
Auf einen Blick
Selbst-Hosting von WireGuard gibt dir Kontrolle über Peers, Schlüssel, Routing und VPN-Konfiguration. Es beseitigt weder den Hosting-Anbieter noch jede Systemaufzeichnung. Schütze Schlüsselmaterial, teste Firewall-Regeln und prüfe die Aufbewahrung von Betriebssystem und Anwendungen, bevor du den Endpunkt als No-Log bezeichnest.
Wissen, was Selbsthosting ändert
Ein persönliches VPN gibt Ihnen die Kontrolle über den Endpunkt, die Peer-Schlüssel und die Konfiguration. Sie können das Gastsystem inspizieren, statt sich nur auf die Aktivitätsrichtlinie eines kommerziellen Anbieters zu verlassen. Es gibt Ihnen außerdem eine stabile Adresse, deren Reputation nicht mit Tausenden unabhängiger VPN-Kunden geteilt wird.
Diese Adresse ist im Allgemeinen mit Ihrem eigenen Verkehr verbunden, daher bietet sie weniger Deckung in der Menge als ein gemeinsamer Exit. Der VPS-Betreiber und das vorgelagerte Netzwerk bleiben Teil des Vertrauensmodells. Selbsthosting ist nützlich für Kontrolle und private Konnektivität; es bietet nicht automatisch Anonymität oder Ende-zu-Ende-Verschlüsselung für jede Anwendung.
Bereiten Sie ein einfaches Linux-System und Client-Geräte vor
Verwende eine gepflegte Linux-Distribution, Root-Zugriff für anfängliche Netzwerkänderungen und einen öffentlichen Endpunkt, der von UDP erreichbar ist. WireGuard ist leichtgewichtig für bescheidenen persönlichen Gebrauch, während Traffic-Kontingent und Verbindungsgeschwindigkeit oft die Hauptbeschränkungen sind. Höherer Durchsatz oder mehrere Workloads können CPU und Speicheranforderungen ändern.
Plane eine Peer-Identität pro Gerät, damit ein verlorenes Telefon widerrufen werden kann, ohne jeden Schlüssel zu ersetzen. Entscheide, welche Adressen und Dienste den Tunnel durchlaufen sollen. Ein vollständiger Internet-Tunnel benötigt Weiterleitung und üblicherweise Adressübersetzung; ein privates Mesh zwischen Servern möglicherweise nicht.
Schlüssel lokal generieren und Peers explizit zuordnen
Generiere den privaten Schlüssel jedes Geräts auf diesem Gerät und teile nur den entsprechenden öffentlichen Schlüssel. Beschränke die Berechtigungen für Schlüsseldateien und vermeide es, vollständige Client-Konfigurationen über ungeschützte E-Mail oder geteilte Notizen weiterzugeben. Ein QR-Code, der eine Konfiguration enthält, enthält den privaten Schlüssel und sollte ebenfalls geschützt werden.
Die Serverschnittstelle hat normalerweise eine private Tunneladresse, einen UDP-Listen-Port und einen Peer-Eintrag pro Client. AllowedIPs kombiniert Routing und Peer-Adressautorisierung. Gib jedem Client seine eigene Tunneladresse, anstatt überlappende serverseitige Peer-Bereiche zu verwenden.
umask 077
wg genkey > privatekey
wg pubkey < privatekey > publickeyRouting und Firewall zusammenarbeiten lassen
Aktiviere die Weiterleitung, die für deine gewählten Adressfamilien erforderlich ist, und konfiguriere die Firewall so, dass Tunnelverkehr und der beabsichtigte Ausgang zugelassen werden. Für ein übliches IPv4-Internet-Gateway gehört dazu eine passende Masquerade-Regel auf der öffentlichen Schnittstelle. Passe die Regel an den tatsächlichen Schnittstellennamen und das Subnetz an.
Stelle nur den erforderlichen UDP-Listener und deinen geschützten Administrationspfad bereit. Ein erfolgreicher Handshake allein beweist nicht, dass das Routing funktioniert. Prüfe die Internet-Erreichbarkeit, DNS und Rückverkehr. Persistiere die Konfiguration über einen Neustart hinweg mithilfe des unterstützten WireGuard-Dienstmechanismus für die Distribution.
Clients ohne Leaks konfigurieren
Ein Client benötigt den öffentlichen Schlüssel des Servers, die Endpunktadresse und den Port, seine eigene Tunneladresse und die Routen, die in den Tunnel gesendet werden sollen. Für einen IPv4-Full-Tunnel ist die Route 0.0.0.0/0; IPv6 erfordert ebenfalls eine bewusste Konfiguration, oft ::/0 mit funktionierendem IPv6-Routing oder expliziter Blockierung, wo es nicht unterstützt wird.
Wähle, wie DNS-Abfragen behandelt werden, und teste von jedem Client aus. Wenn der Tunnel den gesamten Verkehr schützen soll, überprüfe, was passiert, wenn er sich trennt. Ein firewallbasierter Kill-Switch kann versehentlichen direkten Zugriff verhindern, muss aber für das Gerät angepasst und getestet werden, anstatt von einer einzelnen Routeneinstellung angenommen zu werden.
- Prüfe die öffentliche Adresse, die von einem vertrauenswürdigen Testendpunkt angezeigt wird.
- Teste die DNS-Auflösung und das IPv6-Verhalten.
- Bestätige, dass die beabsichtigten Dienste durch den Tunnel funktionieren.
- Überprüfe das Ergebnis nach einem Neustart von Server und Client.
- Teste den Verbindungsverlust, wenn der Verkehr bei einem VPN-Ausfall gestoppt werden soll.
Verlauf im gesamten System minimieren
WireGuard legt den Live-Peer-Status offen, wie die letzten Handshakes und Übertragungszähler; es führt normalerweise selbst keinen persistenten Browserverlauf. Diese Unterscheidung ist wichtig: Eine Peer-Konfiguration und der aktuelle Endpunktstatus existieren weiterhin. Zusätzliche Skripte können diese Beobachtungen auf die Festplatte schreiben, wenn du sie hinzufügst.
Überprüfe die umgebenden Komponenten: Systemjournal, Firewall-Protokollierung, Traffic-Abrechnung, DNS-Resolver-Protokolle und Monitoring-Agenten. Verwende verhältnismäßige diagnostische Aufbewahrung, anstatt zu behaupten, die Maschine enthalte überhaupt keine Aufzeichnungen. Speicherverschlüsselung behebt einige Festplattenrisiken, während ein laufender VPS weiterhin auf seiner zugrunde liegenden Infrastruktur beruht.
- Vermeide unnötige Skripte, die Peer-Verbindungsaktivitäten archivieren.
- Deaktiviere den DNS-Abfrageverlauf, wenn er nicht benötigt wird.
- Halte Betriebsdiagnosen begrenzt und kurzlebig.
- Schütze die Peer-Konfiguration und private Schlüssel.
- Überprüfe Monitoring und Backup-Inhalte von Drittanbietern.
Den VPN-Datenpfad von der Verwaltung trennen
WireGuard trägt UDP und läuft nicht über den gewöhnlichen TCP-SOCKS-Transport von Tor. Halte den Datenpfad des VPN auf seiner normalen Netzwerkroute. SSH oder ein privates Verwaltungs-Dashboard können separat Tor verwenden, einschließlich eines clientautorisierte Onion-Dienstes.
Dies schützt die Verwaltungsverbindung davor, eine direkte Administrator-IP preiszugeben, während der VPN-Endpunkt weiterhin Netzwerkverkehr von seinen Clients empfängt. Privat zu bezahlen und geschützte Administration zu verwenden, ändert nichts an dieser Tatsache des Datenpfads. Halte die Schutzmaßnahmen und ihre Grenzen klar.
Schlüssel, Kapazität und Zugriff pflegen
Widerrufen Sie verlorene Geräte, indem Sie ihre Peer-Schlüssel entfernen und separate Ersatzgeräte ausgeben. Halten Sie die Host-Software aktuell, bewahren Sie eine geschützte Sicherung der Konfiguration auf und überwachen Sie die Kapazität, ohne unnötig Benutzeraktivitäten zu archivieren. Prüfen Sie den Transferverbrauch, bevor er das monatliche Kontingent gefährdet.
Der Endpunkt kann auch zu einer privaten Route zu einem Heimdienst oder einem anderen VPS werden. Fügen Sie Routen und Firewall-Berechtigungen bewusst hinzu, anstatt jeden Dienst auf dem Rechner offenzulegen. Beginnen Sie mit der kleinsten Netzwerkanordnung, die das Problem löst, und erweitern Sie sie mit derselben Schlüssel- und Protokollierungsdisziplin.