Configurer un serveur WireGuard

WireGuard est un VPN léger : quelques lignes de configuration, connexion rapide, applications pour Windows, macOS, Linux, Android et iOS. Vos propres appareils accèdent ainsi au vServer et à ses services (base de données, administration, sites internes) de manière chiffrée, sans que ces services soient ouverts sur Internet. Ce guide s'applique à Debian 13 et Ubuntu 26.04.

Il n'est pas permis de faire passer tout le trafic Internet du réseau domestique ou d'une autre connexion par un vServer (sortie VPN). Voir le point 4.14 des conditions générales.

Quel serveur

WireGuard fonctionne dans le noyau. Le plus simple est donc un vServer KVM, qui dispose de son propre noyau. Il lui faut une adresse IPv4 publique et un port UDP libre.

1. Installer et générer les clés

apt update && apt install wireguard-tools qrencode
cd /etc/wireguard && umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee handy.key | wg pubkey > handy.pub

2. Configuration du serveur

/etc/wireguard/wg0.conf, insérer les clés des fichiers :

[Interface]
Address    = 10.66.0.1/24
ListenPort = 51820
PrivateKey = <Contenu de server.key>

[Peer]
# Téléphone
PublicKey  = <Contenu de handy.pub>
AllowedIPs = 10.66.0.2/32

3. Démarrer

systemctl enable --now wg-quick@wg0

Si un pare-feu tourne, le port UDP 51820 doit être ouvert (ufw : ufw allow 51820/udp).

4. Connecter un appareil

Enregistrer la configuration suivante sous /etc/wireguard/handy.conf et l'importer dans l'application WireGuard sous forme de fichier ou de QR code (qrencode -t ansiutf8 < handy.conf) :

[Interface]
Address    = 10.66.0.2/32
PrivateKey = <Contenu de handy.key>

[Peer]
PublicKey  = <Contenu de server.pub>
Endpoint   = <Adresse IPv4 du serveur>:51820
AllowedIPs = 10.66.0.1/32
PersistentKeepalive = 25

Seul le trafic vers le vServer (10.66.0.1) passe par le VPN. Les services du serveur peuvent être limités à cette adresse, par exemple une base de données avec bind-address = 10.66.0.1. Il n'est pas permis de faire passer tout le trafic Internet d'une connexion par le vServer (sortie VPN). Voir le point 4.14 des conditions générales.

Vérifier

wg show affiche le dernier handshake par appareil. S'il n'y a rien, l'appareil ne passe pas : comparer le port, l'adresse Endpoint et les paires de clés.

Suite : Voir les vServer KVM Premiers pas sur le vServer