Własny serwer VPN: konfiguracja WireGuard na VPS za Monero

Własny serwer VPN to serwer WireGuard na małym wynajętym VPS-ie: telefon i laptop łączą się z nim tunelem, a odwiedzane strony widzą adres serwera zamiast twojego domowego łącza. Cała konfiguracja WireGuard to garść poleceń, a serwer kosztuje mniej więcej od 3 € do 10 $ miesięcznie. Jeśli płacisz w Monero dostawcy, który pyta co najwyżej o e-mail, na fakturze nie ma żadnego nazwiska. Anonimowości ci to nie daje i właśnie od tego kompromisu zaczyna się ten poradnik.

Sprawdzono 1 października 2026 r.

VPS a VPN: co ukrywa jedno, a co drugie

VPS (virtual private server, wirtualny serwer prywatny) to wynajęta maszyna wirtualna; sam z siebie niczego nie ukrywa. VPN (virtual private network, wirtualna sieć prywatna) to szyfrowany tunel od twojego urządzenia do serwera: twoja sieć widzi zaszyfrowane pakiety wysyłane pod jeden adres, a strony widzą serwer zamiast ciebie.

Zainstaluj oprogramowanie VPN na VPS-ie i masz własny VPN; wykup subskrypcję Mullvada albo IVPN i korzystasz z ich serwerów razem z innymi. Kto co widzi:

Kto co widzi	Bez VPN	Własny VPN na VPS-ie	Współdzielony komercyjny VPN
Twój dostawca internetu albo Wi-Fi w kawiarni	Każdą odwiedzaną stronę	Szyfrowany ruch UDP do jednego serwera	Szyfrowany ruch do serwera VPN
Odwiedzane strony	Twój domowy IP	IP twojego serwera, używany tylko przez ciebie	IP współdzielony przez wielu klientów
Operator serwera	Żaden serwer nie pośredniczy	Twój dostawca hostingu widzi ilość ruchu i adresy IP, które się łączą	Firma VPN, zgodnie ze swoją polityką logów

Kiedy własny serwer VPN ma sens, a kiedy lepszy jest współdzielony VPN

Zanim postawisz własny VPN, ustal, przed kim się ukrywasz. Samodzielnie zbudowany VPN wygrywa, gdy zagrożeniem jest sieć, z której korzystasz: hotelowe Wi-Fi, dostawca internetu, który zapisuje historię twojego przeglądania, firmowy filtr. Daje też stały adres wyjściowy i nie musisz ufać żadnej firmie VPN.

Przegrywa, gdy zagrożenie czeka po drugiej stronie. Adres wyjściowy, z którego korzystasz tylko ty, działa jak odcisk palca: wystarczy jedno logowanie na konto z twoim nazwiskiem, a nazwisko przylgnie też do adresu. Twój dostawca hostingu wie poza tym, że za tym IP stoi jeden klient, a jeśli przechowuje dane o przepływach ruchu, wie też, jaki adres łączy się z nim każdego ranka: ten z twojego domu.

Współdzielony VPN ukrywa cię w tłumie: każdy adres wyjściowy wskazuje na firmę VPN, a nie na konkretnego człowieka. Te, które przyjmują Monero, znajdziesz w naszej wnęce VPN i proxy. Jeśli chodzi o anonimowość wobec samych stron, żadne z tych rozwiązań nie zastąpi przeglądarki Tor Browser.

Czego potrzebujesz: VPS-a na KVM, lokalizacji i płatności w Monero

KVM, nie kontenery. VPS na KVM ma własne jądro Linuksa, w którym WireGuard już jest; VPS kontenerowy (OpenVZ, LXC) współdzieli jądro dostawcy i może nie pozwolić ci załadować modułu WireGuard.

Mały wystarczy. Osobisty serwer VPN potrzebuje niewiele procesora i pamięci; zwróć raczej uwagę na limit transferu. Jeden terabajt miesięcznie to około 3 Mbit/s przez całą dobę.

Lokalizacja blisko ciebie, bo odległość zwiększa opóźnienia. Jurysdykcja decyduje o tym, kto może zażądać od dostawcy danych; omawia to nasz przewodnik po hostingu offshore.

Rejestracja, która nie niweczy płatności. Dzięki Monero twojego nazwiska nie ma na fakturze, ale numer telefonu czy weryfikacja dokumentu tożsamości z powrotem je tam wpisują. Całą procedurę zamawiania opisuje nasz poradnik o VPS bez KYC.

VPS-y pod WireGuard płatne w Monero, w kolejności alfabetycznej, według informacji ze stron samych dostawców:

Dostawca	Najmniejszy plan	Transfer	Przy rejestracji wymaga	Uwagi
1984 Hosting	8,72 € / mies. (1 CPU, 1 GB RAM)	1 TB	E-mail, telefon opcjonalnie	Islandia; gotowy obraz z WireGuardem
Cockbox	10 $ / mies. (0,5 vCPU, 1 GB RAM)	„Bez limitu” w Mołdawii	E-mail (niezweryfikowany) i hasło	Mołdawia, Rumunia; Bitcoin lub Monero
Kyun	Około 3,10 € / mies. (1 rdzeń, 1 GiB, 10 GB, jeden IPv4)	Nie podano	Hasło i zagadka proof-of-work	Tylko Monero; USA, Holandia, Rumunia
Servers Guru	4,99 € / mies. (1 vCPU, 2 GB RAM)	20 TB wychodzącego, przychodzący się nie wlicza	E-mail	Holandia, Finlandia, Singapur, Kanada
SporeStack	4 $ / mies. (Slow Servers, 768 MiB, IPv4)	0,375 TiB	Nic: doładowujesz token	Slow Servers stoją w Spokane (USA), a ich uruchomienie trwa do 48 godzin; serwery DigitalOcean i Vultr startują w kilka minut, od 7,50 $ za 30 dni

Mynymbox (od 4 € miesięcznie, tylko e-mail) zezwala na usługi VPN w swojej polityce dopuszczalnego użytkowania (AUP), ale w dniu sprawdzenia wszystkie jego plany VPS były wyprzedane. Więcej znajdziesz we wnęce VPS.

Konfiguracja WireGuard na VPS-ie

WireGuard jest częścią jądra Linuksa od wersji 5.6, wydanej w marcu 2020 roku (ogłoszenie), więc na Debianie 12 lub 13 albo na Ubuntu 24.04 lub nowszym nie trzeba niczego kompilować. Zaloguj się jako root swoim kluczem SSH i wybierz wariant.

Opcja A: czysty WireGuard z wg-quick

Kompletny serwer WireGuard, skonfigurowany ręcznie. Uruchom ip route show default i zanotuj słowo po dev (często eth0 albo ens3): wstawiaj je wszędzie tam, gdzie poniżej pojawia się eth0.

apt update && apt install -y wireguard iptables qrencode
cd /etc/wireguard
umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee phone.key | wg pubkey > phone.pub

Utwórz /etc/wireguard/wg0.conf:

[Interface]
Address = 10.66.66.1/24
ListenPort = 51820
PrivateKey = <contents of server.key>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <contents of phone.pub>
AllowedIPs = 10.66.66.2/32

Do tego plik klienta, phone.conf:

[Interface]
PrivateKey = <contents of phone.key>
Address = 10.66.66.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <server IP>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0, ::/0 kieruje cały ruch do tunelu; ponieważ ten serwer przekazuje tylko IPv4, IPv6 po prostu nie działa, zamiast wyciekać obok tunelu. Uruchom serwer i wyświetl konfigurację klienta jako kod QR dla aplikacji WireGuard:

systemctl enable --now wg-quick@wg0
qrencode -t ansiutf8 < phone.conf

Każde kolejne urządzenie to kolejna para kluczy i kolejny blok [Peer] (10.66.66.3/32 i tak dalej), a potem systemctl restart wg-quick@wg0. Gdy urządzenie ma już swoją konfigurację, usuń jego pliki .key i .conf z serwera.

Opcja B: wg-easy w Dockerze, z interfejsem webowym

wg-easy zamyka WireGuard w kontenerze z interfejsem webowym do dodawania klientów i wyświetlania kodów QR. Jego strona na GitHubie podaje licencję AGPL-3.0-only, wydanie 15.4.0 z sierpnia 2026 roku i commity z końca września 2026 roku. Zainstaluj Dockera i pobierz plik compose:

curl -sSL https://get.docker.com | sh
mkdir -p /etc/docker/containers/wg-easy
cd /etc/docker/containers/wg-easy
curl -o docker-compose.yml https://raw.githubusercontent.com/wg-easy/wg-easy/master/docker-compose.yml

Plik uruchamia ghcr.io/wg-easy/wg-easy:15 z WireGuardem na UDP 51820 i interfejsem webowym na TCP 51821, otwartym na internet. Projekt zaleca reverse proxy z HTTPS, jeśli interfejs ma być dostępny z zewnątrz; przy jednym użytkowniku prościej jest w ogóle nie wystawiać go do internetu. Zmień linię z jego portem na "127.0.0.1:51821:51821/tcp", a potem odkomentuj linię environment: i linię INSECURE pod nią, ustawioną na true. Zwykłe HTTP jest tu do przyjęcia tylko dlatego, że nic z zewnątrz nie dociera do interfejsu, a właśnie taki warunek stawia poradnik projektu o pracy bez reverse proxy. Uruchom docker compose up -d, potem zestaw tunel SSH ze swojego komputera i otwórz w przeglądarce http://localhost:51821:

ssh -L 51821:127.0.0.1:51821 root@<server IP>

Nie licz na to, że port ukryje za ciebie ufw: dokumentacja Dockera ostrzega, że opublikowane porty omijają reguły ufw.

Przekazywanie IP, firewall i DNS

Opcja A wymaga włączenia przekazywania pakietów (plik compose wg-easy ustawia je dla swojego kontenera), a potem firewalla, który przepuszcza tylko SSH i WireGuard. Zmień 22, jeśli twoje SSH nasłuchuje na innym porcie, i odpowiedz y, gdy ufw enable wyświetli ostrzeżenie dotyczące SSH:

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl --system
apt install -y ufw
ufw allow 22/tcp
ufw allow 51820/udp
ufw route allow in on wg0 out on eth0
ufw enable

Linia DNS = decyduje, kto odpowiada na twoje zapytania DNS. Przy 9.9.9.9 (Quad9) zapytania idą przez tunel, więc twój dostawca internetu przestaje je widzieć, za to widzi je Quad9. Żeby nie angażować żadnej strony trzeciej, uruchom na serwerze resolver, na przykład Unbound, nasłuchujący na 10.66.66.1, otwórz go dla tunelu poleceniem ufw allow in on wg0 to any port 53 i wpisz ten adres w DNS =.

Żeby przetestować całość, otwórz przy włączonym tunelu dowolną stronę sprawdzającą adres IP: powinna pokazać adres serwera.

W sieciach z cenzurą: AmneziaWG, Outline i VLESS

WireGuard się nie maskuje: jego dokumentacja pozostawia zaciemnianie ruchu wyższej warstwie, a trybu TCP nie ma (znane ograniczenia). Sieć, która analizuje pakiety, może go wykryć i odrzucić. Z myślą o takich sieciach powstały trzy projekty open source; wszystkie działają na takim samym VPS-ie:

• AmneziaWG, fork WireGuard-Go autorstwa projektu Amnezia, wysyła śmieciowe pakiety przed uzgadnianiem połączenia (handshake), zamienia stałe nagłówki wiadomości WireGuarda na wybrane przez ciebie wartości i dopełnia pakiety, żeby ich rozmiary przestały pasować do wzorca. Po wyłączeniu tych opcji pozostaje zgodny z WireGuardem (dokumentacja). Aplikacja AmneziaVPN instaluje go na twoim serwerze przez SSH.
• Outline uruchamia serwer Shadowsocks, którym zarządzasz z aplikacji desktopowej. Wypuszczony w 2018 roku przez Jigsaw, inkubator działający w ramach Google, w 2026 roku przeszedł pod opiekę niezależnej Outline Foundation (FAQ).
• VLESS to lekki protokół transportowy projektu Xray (specyfikacja), często uruchamiany na porcie 443 przez TLS albo REALITY od Xray, tak żeby połączenie przypominało zwykły ruch HTTPS.

Te narzędzia istnieją, bo niektóre państwa ograniczają VPN-y. Stan na 1 października 2026 roku (to podsumowanie, a nie porada prawna):

• Chiny: komunikat Ministerstwa Przemysłu i Technologii Informacyjnych ze stycznia 2017 roku zakazuje tworzenia lub wynajmowania kanałów VPN do działalności transgranicznej bez zezwolenia (tekst oficjalny).
• Rosja: ustawa federalna nr 281-FZ z 31 lipca 2025 roku, obowiązująca od 1 września 2025 roku, przewiduje grzywny dla każdego, kto reklamuje narzędzia dające dostęp do zablokowanych zasobów, takie jak VPN-y, oraz dla każdego, kto świadomie wyszukuje i otwiera treści z oficjalnej listy materiałów ekstremistycznych, z takim narzędziem czy bez niego.
• Iran: w lutym 2024 roku Najwyższa Rada Cyberprzestrzeni ogłosiła uchwałę zakazującą korzystania z VPN-ów bez zezwolenia wymaganego prawem; jej sekretarz powiedział później, że uchwała jest skierowana do instytucji państwowych, a nie do ogółu obywateli, przez co jej zakres pozostaje niejasny.

Przepisy i ich egzekwowanie się zmieniają. Sprawdź aktualne prawo tam, gdzie jesteś.

Uszczelnij serwer

1. SSH tylko na klucze. Wpisz PasswordAuthentication no do /etc/ssh/sshd_config.d/10-keys.conf, uruchom systemctl reload ssh i upewnij się w drugim oknie, że nadal logujesz się kluczem. Używaj klucza wygenerowanego wyłącznie dla tego serwera.

2. Automatyczne aktualizacje bezpieczeństwa. apt install -y unattended-upgrades, a potem dpkg-reconfigure -plow unattended-upgrades, żeby je włączyć.

3. Logi w pamięci. wg show przechowuje ostatni adres każdego peera w RAM-ie, a SSH zapisuje każde logowanie razem ze źródłowym adresem IP. Trzymaj w RAM-ie także dziennik systemowy:

   mkdir -p /etc/systemd/journald.conf.d
   printf '[Journal]\nStorage=volatile\n' > /etc/systemd/journald.conf.d/volatile.conf
   systemctl restart systemd-journald
   

   Dziennik trafia wtedy do /run/log/journal i znika przy restarcie. Jeśli zainstalowany jest rsyslog, zapisuje on własne pliki w /var/log.

4. SSH przez tunel. Gdy opcja A działa, uruchom ufw allow in on wg0 to any port 22 proto tcp i ufw delete allow 22/tcp, a potem łącz się z 10.66.66.1. Jeśli tunel kiedyś padnie, drogą powrotną jest konsola webowa lub szeregowa dostawcy, o ile ją oferuje.

5. Jedna tożsamość na serwer. Nie używaj tego samego e-maila, klucza SSH ani nazwy użytkownika co na innych kontach.

Ile to kosztuje w porównaniu z Mullvadem czy IVPN

Opcja	Miesięcznie	Urządzenia	Adres wyjściowy
Własny VPS (tabela wyżej)	Około 3,10 € do 10 $	Tyle, ile skonfigurujesz	Tylko twój
Mullvad	5 €, ta sama cena bez względu na okres	5	Współdzielony
IVPN Standard	6 $ (2 $ tygodniowo, 60 $ rocznie)	5	Współdzielony
cryptostorm	6 $	1	Współdzielony

Wszystkie trzy usługi przyjmują Monero. Najtańsze serwery kosztują mniej niż te usługi, ale płacisz za to konfiguracją, aktualizacjami i adresem wyjściowym, który zawsze wskazuje tylko na ciebie. Możesz też korzystać z obu: z własnego serwera w hotelowym Wi-Fi, ze współdzielonego VPN-a do wszystkiego, czego nie powinno się dać powiązać z jednym użytkownikiem.

FAQ

Czy można postawić własny serwer VPN?

Tak. Na każdym linuksowym VPS-ie z KVM i publicznym adresem IPv4 uruchomisz WireGuard, który jest częścią jądra od Linuksa 5.6. Opcja A powyżej to cała metoda, a wg-easy dokłada interfejs webowy. Raspberry Pi w domu też się sprawdzi, ale wtedy adresem wyjściowym jest twój domowy IP.

Czy VPS jest bezpieczniejszy niż VPN?

To różne rzeczy: VPS to serwer, VPN to tunel. Własny VPN na VPS-ie oznacza, że nie musisz ufać żadnej firmie VPN, ale jesteś jedynym użytkownikiem swojego adresu wyjściowego i sam musisz instalować poprawki. Żeby wtopić się w tłum, lepszym narzędziem jest współdzielony VPN bez logów opłacony w Monero.

Czy mogę używać VPS-a jako VPN-a?

Zwykle tak: wystarczy plan na KVM z włączonym przekazywaniem IP, o ile pozwalają na to zasady dostawcy. Polityka dopuszczalnego użytkowania Mynymbox zezwala na usługi VPN, strona Servers Guru o VPS-ach za Monero wymienia VPN-y wśród przewidzianych zastosowań, Cockbox pozwala na wszystko, co legalne w Rumunii, a 1984 Hosting oferuje gotowy obraz z WireGuardem. Serwery SporeStack muszą też przestrzegać zasad DigitalOcean albo Vultr. Pilnuj limitu transferu.

Jakie są wady VPN-a na WireGuardzie?

Nie maskuje ruchu i nie ma trybu TCP, więc zatrzyma go sieć, która go blokuje albo przepuszcza tylko TCP. Serwer trzyma w pamięci ostatni adres IP każdego peera. Domyślnie protokół nie zapewnia bezpieczeństwa postkwantowego, choć klucz współdzielony (pre-shared key) daje dodatkową warstwę ochrony.

Czy korzystanie z VPN-a jest w USA nielegalne?

Żadna ustawa federalna tego nie zakazuje, a Federalna Komisja Handlu (FTC) publikuje porady dotyczące wyboru aplikacji VPN (luty 2018). To, co robisz przez tunel, podlega tym samym przepisom co bez niego, a regulamin strony może mimo to zabraniać dostępu przez VPN. To podsumowanie, a nie porada prawna.

W skrócie

Wynajmij mały VPS na KVM za Monero, zainstaluj WireGuard za pomocą wg-quick albo wg-easy, zamknij wszystko poza SSH i UDP 51820, logi trzymaj w RAM-ie, a SSH za tunelem. To daje prywatność wobec sieci, z której korzystasz. Prywatność w tłumie sprzedaje współdzielony VPN, a anonimowość to zadanie Tora.