VPN на ПК через свой сервер: полная пошаговая инструкция

Публичные VPN режут скорость, продают логи и внезапно перестают работать. Свой VPN на арендованном сервере — это ваш личный шифрованный канал, который никто не делит с тысячами чужих людей. Разберём весь путь: от чистого VPS до зелёной галочки «подключено» на вашем ПК.

Почему свой VPN лучше публичного

Бесплатные и дешёвые VPN-сервисы работают на одном IP для сотен пользователей: скорость плавающая, а сам IP часто уже в чёрных списках банков и магазинов. Свой сервер — это выделенный адрес, который используете только вы.

• Скорость — весь канал ваш, а не поделён между чужими торрентами.
• Приватность — логи ведёте вы сами, продавать их некому.
• Стабильность — сервер не «умрёт» вместе с очередным заблокированным сервисом.

Ключевой момент для России: иностранные хостеры часто не принимают карты РФ. MAATRIX даёт зарубежный сервер (UK/US/RU) с оплатой картой РФ, СБП, криптой или токеном MAAT — именно то, что нужно под личный VPN.

Шаг 1. Берём сервер и подключаемся

Для VPN хватает самого младшего тарифа: VPN почти не грузит CPU, важнее локация и стабильность канала. После оплаты вы получаете IP, логин root и пароль.

ssh root@YOUR_SERVER_IP
apt update && apt upgrade -y

Выбирайте локацию под задачу: UK/US/RU у MAATRIX дают доступ к сервисам, которые смотрят на регион, и стабильно пингуются из РФ.

Шаг 2. Ставим WireGuard за одну команду

WireGuard — самый простой и быстрый современный протокол. Ставится в пару строк.

apt install wireguard -y

Включаем маршрутизацию пакетов — без этого трафик клиентов не пойдёт в интернет:

echo 'net.ipv4.ip_forward=1' | tee -a /etc/sysctl.conf
sysctl -p

Шаг 3. Генерируем ключи

У сервера и у каждого клиента своя пара ключей: приватный хранится локально, публичный отдаётся собеседнику.

cd /etc/wireguard
umask 077
wg genkey | tee server_private.key | wg pubkey > server_public.key
wg genkey | tee client_private.key | wg pubkey > client_public.key

Посмотреть содержимое ключа: cat server_private.key. Эти строки мы вставим в конфиги.

Шаг 4. Конфиг сервера

Создаём /etc/wireguard/wg0.conf. Подставьте свой приватный ключ сервера и публичный ключ клиента. Узнать сетевой интерфейс: ip route | grep default (обычно eth0 или ens3).

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.8.0.2/32

Открываем порт в firewall и запускаем туннель:

ufw allow 51820/udp
systemctl enable --now wg-quick@wg0

Проверка: wg show должна показать интерфейс wg0.

Шаг 5. Конфиг клиента на ПК

Скачайте приложение WireGuard (wireguard.com) для Windows или macOS. Создайте пустой туннель и вставьте конфиг ниже. PrivateKey — это client_private.key, PublicKey — server_public.key, Endpoint — IP вашего сервера.

[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.8.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = YOUR_SERVER_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Нажимаете «Активировать». Через секунду туннель поднят.

Проверка и частые ошибки

Откройте 2ip.ru или whatismyipaddress.com — должен показаться IP сервера, а не ваш домашний. Если так — всё работает. Дополнительно проверьте утечку DNS на dnsleaktest.com: запросы должны уходить на прописанный в конфиге резолвер (1.1.1.1), а не на серверы вашего провайдера.

Статус туннеля на сервере смотрите командой wg show: строка latest handshake должна обновляться раз в пару минут, а transfer — расти. Если handshake пустой, клиент до сервера не достучался.

• Подключилось, но нет интернета — забыли ip_forward или MASQUERADE в PostUp. Проверьте имя интерфейса в конфиге.
• Вообще не подключается — закрыт UDP-порт 51820 (ufw / панель) или неверный Endpoint.
• Сайты открываются, а IP старый — в клиенте AllowedIPs должно быть 0.0.0.0/0, иначе трафик идёт мимо туннеля.
• Handshake проходит, но всё рвётся — вы за строгим NAT, добавьте PersistentKeepalive = 25 в клиент.

На AMD EPYC + NVMe у MAATRIX шифрование WireGuard не создаёт заметной нагрузки — упираться будете в скорость своего домашнего канала, а не в сервер. Для большинства задач хватает младшего тарифа: даже базовый план держит гигабитный туннель, а весь смысл в стабильном фиксированном IP и правильно выбранной локации.

Частые вопросы