オフショアVPSで独自VPNを運用する

商用VPNは、マーケティング部門が書いたノーログポリシーを信じるよう求めてきます。自前のVPSには、自分で設定したもの以外ログは何も残りません。以下が完全なWireGuardセットアップ手順と、率直なトレードオフのリストです。

商用VPNよりセルフホストが優れている理由

商用VPNの「ノーログ」は ポリシーです。自前VPSのノーログは アーキテクチャです。この違いは、どんな監査バッジよりも重要です:

• VPNプロバイダーは設計上すべてを見ます。 何千ものユーザーのトラフィックは、その企業が完全に支配するサーバーで終端します。秘密保持命令と静かなログポリシー変更の組み合わせは、あなたには見えません。しかも、あなたが名前を知っているプロバイダーでも、実際に起きたことがあります。
• 自前VPSでは、スタック全体を自分で制御します。 あなたのsshd、あなたのディスク、あなたのWireGuard設定。当社はゲスト内部では何も実行せず、ネットワーク側でもアクティビティや接続ログを一切保持しません。当社はあなたのVPSの中を見ることはできません。VPN会社はトンネルの中を見ることがその存在意義です。
• 法域があなたの味方になります。 出口はあなたがデプロイした場所に存在します — 選択すれば監視同盟の外側で、VPN会社の本国ではなくホスティング法域の裁判所の管轄下にあります。

そして正直な裏返し: セルフホストVPNの専用IPは、あなただけのものです。 ウェブサイトはそれをVPNとしてフラグしません（これは実際に生活の質が上がる点です）が、すべてのトラフィックが単一のアドレスを共有します — 何千人もの群衆に紛れることはできません。群衆匿名性が要件ならTorを使いましょう。信頼できるインフラが要件なら、自分で制御するボックスに勝るものはありません。

構築するもの

スマートフォンとラップトップ → WireGuardトンネル → 選択したロケーションのSV-Pro → オープンインターネット。サーバー上でIPv4フォワーディングとNAT、クライアント側でフルトンネルルーティング（0.0.0.0/0）、DNSは 9.9.9.9経由。サーバーIPの例: 185.220.101.14 — 自分のものに置き換えてください。ベースOSはDebian 13。まだサーバーの堅牢化を済ませていないなら、先に 30分チェックリスト を実行してから戻ってきてください。

Debian 13でのサーバーセットアップ

インストールと鍵の生成

Copyapt update && apt install -y wireguard qrencode

cd /etc/wireguard
umask 077

# server keypair
wg genkey | tee server.key | wg pubkey > server.pub

# one keypair per client device (laptop shown; repeat for phone)
wg genkey | tee laptop.key | wg pubkey > laptop.pub

サーバー上でクライアント鍵を生成するのは、SSH経由で設定ファイルを転送する以上、初回セットアップでは許容範囲です。より厳格な衛生管理が必要なら、各デバイスで鍵を生成し、サーバー設定には公開鍵だけを貼り付けます。

wg0.confを書く

Copy# /etc/wireguard/wg0.conf
[Interface]
Address    = 10.10.0.1/24
ListenPort = 51820
PrivateKey = <contents of server.key>
PostUp     = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown   = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

# laptop
[Peer]
PublicKey  = <contents of laptop.pub>
AllowedIPs = 10.10.0.2/32

# phone — repeat the block with 10.10.0.3/32

アップリンクインターフェース名を確認: ip route | grep default — VPSRentoイメージでは eth0ですが、異なる場合はMASQUERADE行を調整してください。

フォワーディングを有効にして起動

Copy# turn on IPv4 forwarding, persist across reboots
echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl -p /etc/sysctl.d/99-wireguard.conf

# firewall: one UDP port, nothing else
ufw allow 51820/udp comment 'WireGuard'

# bring it up, now and on boot
systemctl enable --now wg-quick@wg0
wg show

wg show でインターフェース、待受ポート、ピアが表示されるはずです。ハンドシェイク行はまだ表示されません — クライアントが接続したときに現れます。

クライアント設定

ラップトップ側で、 laptop.conf:

Copy[Interface]
PrivateKey = <contents of laptop.key>
Address    = 10.10.0.2/32
DNS        = 9.9.9.9

[Peer]
PublicKey           = <contents of server.pub>
AllowedIPs          = 0.0.0.0/0, ::/0
Endpoint            = 185.220.101.14:51820
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0, ::/0 はすべてトンネル経由でルーティングされる — 後でスプリットトンネルに変更したい場合は、そのときに変更できる。 PersistentKeepalive 家庭内NATを越えて経路を維持します。スマホの場合、手入力は不要です。サーバー上でスマホ用の設定ファイルを生成し、ターミナルにQRコードとして表示してください：

Copy# prints a scannable QR in the terminal — scan it with the WireGuard app
qrencode -t ansiutf8 < phone.conf

アクティベート後、任意のクライアントから確認: curl ifconfig.me はVPSのIPを返すはずで、DNSリークテストでは 9.9.9.9 の事業者が表示されるはず — ISPではなく。

パフォーマンスノート

WireGuardはカーネル内で動作し、ChaCha20を使用する — AMD EPYCノードでは、単一トンネルは現実的に 600–900 Mbps NATを通過します。つまり、CPUに負荷がかかるよりずっと前にポートが飽和します。真の制約は暗号ではなく、プランの帯域条件です。VPNは帯域そのものです。ダウンロードする1GBごとに、受信で1回、送信で1回カウントされます。従量制プランではこの計算が重要です。SV-Proなら―― $19.99/月、1 Gbpsで無制限 — では問題にならない。 そのためSV-ProはVPN構築者向けに推奨するプランだ。 ある顧客はアムステルダムの単一SV-Proで家族全員分のセットアップを運用しており、まだ上限に達していない。

マルチホップ: アムステルダムで入り、レイキャビクで出る

2層目として、管轄をまたいで2台のVPSをチェーンする。 入り口ノードは オランダ (あなたへのレイテンシが低い)、2台のサーバー間のWireGuardトンネル、出口ノードは アイスランド (実際にトラフィックの発信元にしたい管轄)。 デバイスはアムステルダムの1つのエンドポイントを見る。 インターネットはレイキャビクのIPを見る。 入り口ノードは暗号文のみが通過するのを見る。 機械的には、今書いた設定と同じものを2回 — 入り口ノードに2つ目の wg インターフェースを追加し、デフォルトルートが出口トンネルを指すようにする。 コストはおよそ 40–60ms の追加レイテンシと、もう1台の $5.99–6.89 VPS。 脅威モデルに予算がある場合は価値がある。 ない場合は飾りだ。

正直な制限

• あなたが運用者になった。 アップデート、鍵のローテーション、稼働時間はあなたの責任だ。 unattended-upgrades と ハードニングチェックリスト で大部分はカバーできる。 残りは日曜日のたまの apt upgrade だ。
• 1つのIPは1つのアイデンティティ。 観測者はあなたのアドレスから出るすべてを相関させられる。 重要な場合は別の場所に再デプロイ — 55秒後には新しい出口と、40以上のブラックリストでチェック済みの新しいIPが手に入る。
• VPSはTorではない。 このセットアップはISP、敵対的なWi-Fi、VPN企業からあなたを守る。 トンネルの両端を監視する国家レベルの敵対者に対しては、タイミング相関が存在する。 自分がどの戦いを戦っているかを知っておけ。