Офшорный VPS для личного VPN: на что обратить внимание

VPS — хороший вариант для личного VPN, если выбирать его под эту задачу: виртуализация KVM, безлимитный трафик, IPv4 и IPv6, низкая задержка до вас и юрисдикция, которой вы доверяете. Вы получаете собственный выходной адрес и сами решаете, что логировать. WireGuard хорошо работает на 1 vCPU и 1 ГБ памяти, поэтому обычно достаточно самого младшего тарифа.

Выбирая офшорный VPS для VPN, нужно принять и два ограничения: сервер, которым пользуетесь только вы, не анонимен, а некоторые сервисы отказываются работать с VPN-трафиком. В этом руководстве разобраны обе стороны, а затем сервер, страна выхода, программное обеспечение и настройка.

Свой VPN или коммерческий: честное сравнение

Размещая собственный VPN, вы переносите доверие с VPN-компании на себя и своего хостера. Это даёт контроль, но стоит анонимности:

Критерий	Свой VPN на VPS	Коммерческий VPN
Кто передаёт ваш трафик	Сеть вашего хостера; наша его не логирует и не анализирует	Серверы VPN-компании
Правила логирования	Устанавливаете вы; сам WireGuard не пишет логов подключений	Политика провайдера, которой приходится доверять
Выходной IP-адрес	Используется только вами, поэтому сайты могут узнавать вас от визита к визиту	Общий для многих пользователей, поэтому ваш трафик теряется среди остального
Локации	Одна страна на сервер; для другой страны нужен ещё один сервер	Обычно много, переключаются в приложении
Обслуживание	Вы сами обновляете сервер и следите за ним	Этим занимается провайдер
Стоимость	От $2.39 в месяц за сервер	Устанавливает провайдер

Коротко: личный VPN скрывает ваши действия в сети от Wi-Fi, к которому вы подключены, и от интернет-провайдера, но каждый посещаемый сайт видит один адрес, которым пользуетесь только вы, а ваш хостинг-аккаунт связывает этот адрес с адресом email и платежом. Для анонимности используйте Tor.

Второе ограничение — стриминг: сервисы могут распознавать VPN-трафик и отказываться с ним работать. Netflix, например, в таких случаях показывает сообщение «Похоже, вы используете VPN или прокси-сервер», и адрес VPS тоже может попасть под это, поэтому не арендуйте VPS только ради стриминга.

Каким должен быть VPS для VPN

Виртуализация KVM. WireGuard работает внутри ядра Linux. На KVM у вас собственное ядро, поэтому WireGuard доступен в любом современном дистрибутиве. Тарифы на основе контейнеров используют общее ядро хоста и могут не позволить им воспользоваться.
Безлимитный трафик. Через VPN проходит всё, что вы делаете в сети, поэтому квота на трафик превращает видеозвонки и большие загрузки в счёт. У нас — 1 Гбит/с без лимита в рамках добросовестного использования.
IPv4 и IPv6. Если на сервере есть оба протокола, туннель может передавать весь ваш трафик. Без IPv6 соединения ваших устройств по IPv6 либо не работают, либо, при неправильной настройке, идут в обход туннеля. У каждого VPS здесь один выделенный адрес IPv4 и диапазон IPv6 /64.
Юрисдикция, которой вы доверяете. Страна сервера определяет, какой суд может обязать хостера действовать, а то, какие данные хранит хостер, определяет, что он может передать. Аккаунт здесь — это адрес email и пароль без проверки личности, как объясняется на странице VPS без KYC.
Низкая задержка до вас. Каждый пакет проходит путь туда и обратно через сервер, поэтому расстояние добавляется к каждому клику.
Правила, разрешающие VPN. Прочитайте правила допустимого использования хостера до заказа. Наши правила допустимого использования приветствуют VPN, прокси и ретрансляторы Tor, включая выходные узлы.

Выбор страны выхода

Какая локация лучше всего подходит для VPN-сервера? Единого ответа нет. Решайте с помощью трёх вопросов, в таком порядке:

Где находитесь вы? Для повседневного использования быстрее всего ощущается ближайшая локация. При задержке туда и обратно примерно до 50 мс интерактивная работа кажется мгновенной.
Где вам нужно «находиться»? Сайты видят страну вашего сервера. Если вам нужен адрес в определённом регионе, вопрос решён.
Какой правовой климат вам ближе? На странице каждой локации описаны законы, правила удаления контента и хранение данных. Если для вас важны разведывательные альянсы, шесть из семи наших локаций находятся вне «14 глаз»: см. что «14 глаз» значат для сервера.

Оценки задержки туда и обратно по нашей модели, опубликованные на странице сети, — это отправная точка, а не измерения:

Локация	Лондон	Франкфурт	Нью-Йорк	Сингапур
Нидерланды (Амстердам)	7 мс	7 мс	87 мс	154 мс
Швейцария (Цюрих)	13 мс	6 мс	94 мс	151 мс
Исландия (Рейкьявик)	29 мс	36 мс	63 мс	169 мс
Болгария (София)	31 мс	22 мс	112 мс	134 мс
Румыния (Бухарест)	32 мс	23 мс	113 мс	131 мс
Молдова (Кишинёв)	33 мс	24 мс	113 мс	129 мс
Малайзия (Куала-Лумпур)	155 мс	146 мс	221 мс	6 мс

Из Великобритании и Западной Европы ближе всего Амстердам и Цюрих. Из Нью-Йорка по этой модели ближе всего Рейкьявик, но многие маршруты из Исландии в Северную Америку проходят через Европу, так что сначала измерьте сами. Для Юго-Восточной Азии выбирайте Куала-Лумпур. Чтобы проверить задержку со своего подключения, закажите там самый младший тариф и воспользуйтесь возвратом средств в течение 72 часов, если цифры разочаруют.

Правовой климат тоже различается. В Нидерландах нет общей обязанности хранить данные со времени судебного решения 2015 г., а Исландия и Швейцария требуют от операторов связи хранить записи о трафике шесть месяцев. Сравните все семь стран на нашей странице локаций. Ни в одной из них мы не логируем и не анализируем трафик серверов.

Почему 1 vCPU и 1 ГБ достаточно для VPS с WireGuard

WireGuard компактен по замыслу. Его авторы пишут, что он задуман для реализации в очень небольшом количестве строк кода, и работает он внутри ядра, а не как отдельная программа. На тарифе с 1 ГБ небольшая базовая система, например Debian 13 или Alpine Linux, оставляет память для VPN и не только:

Dinghy, $2.39 в месяц: 1 vCPU, 1 ГБ памяти, 25 ГБ NVMe. Достаточно для WireGuard на ваших собственных устройствах.
Sloop, $3.49 в месяц: 1 vCPU, 2 ГБ памяти, 40 ГБ NVMe. Хватит места для DNS-резолвера или блокировщика рекламы рядом с VPN.
Cutter, $5.49 в месяц: 2 vCPU, 4 ГБ памяти, 70 ГБ NVMe. Второе ядро пригодится, когда туннелем для больших передач данных пользуются несколько человек.

Пропускную способность ограничивает процессор, потому что сервер шифрует и расшифровывает каждый пакет. Пополнение — от $100 с бонусом +10%, а продления автоматически оплачиваются с баланса: при цене $2.39 в месяц одного пополнения на $100 хватит на Dinghy больше чем на три года.

WireGuard или OpenVPN?

Оба протокола — с открытым исходным кодом. Для личного VPS WireGuard — более простой вариант по умолчанию; у OpenVPN остаётся один чёткий сценарий.

Критерий	WireGuard	OpenVPN
Транспорт	Только UDP	UDP или TCP
Криптография	Фиксированный набор: Curve25519, ChaCha20, Poly1305, BLAKE2s	Согласуется по TLS с помощью библиотеки OpenSSL
Где работает	Внутри ядра Linux	Программа в пространстве пользователя; версия 2.6 может использовать драйвер ядра для канала данных в Linux
Вариант установки	Обмен открытыми ключами, как с ключами SSH	Обычно центр сертификации и сертификат для каждого устройства
Маскировка VPN	Не входит в цели разработки	Может работать поверх TCP, что помогает там, где UDP заблокирован

Выбирайте WireGuard, если вам не нужен TCP. В сети отеля или офиса, где UDP заблокирован, OpenVPN поверх TCP может подключиться там, где WireGuard не сможет, поскольку WireGuard намеренно не поддерживает туннелирование поверх TCP. Кроме того, WireGuard поддерживает роуминг: обе стороны отправляют данные на последний аутентифицированный адрес, поэтому телефон, переключающийся с Wi-Fi на мобильный интернет, сохраняет туннель. Последний адрес и время рукопожатия каждого устройства он хранит в памяти (их показывает wg show), но собственных логов не пишет.

Законно ли держать собственный VPN?

В большинстве стран — да. VPN — это зашифрованное соединение с арендованным вами сервером. То, что вы делаете через него, оценивается по тем же законам, что и без него: VPN меняет ваш маршрут, а не ваши права. Некоторые правительства ограничивают VPN; в России, например, Freedom House сообщает о расширении блокировок VPN и о предписаниях удалить VPN-приложения из магазинов приложений. Проверьте правила там, где вы живёте и куда едете.

С нашей стороны VPN разрешены во всех семи локациях. Если вы делите сервер с другими, важно одно правило: трафик всех пользователей вашего VPN выходит через IP-адрес вашего сервера, поэтому спам, сканирование или атаки любого, кого вы пустили, по нашим правилам допустимого использования считаются исходящими с вашего сервера. Давайте доступ только тем, кому доверяете.

Настройте VPS для VPN за 15 минут

Закажите сервер. Выберите тариф Dinghy в нужной локации с Debian 13, Ubuntu 24.04 LTS или Alpine Linux. Он запускается примерно через 60 секунд после заказа и оплачивается с баланса.
Усильте защиту. Войдите по SSH, установите обновления, оставьте вход только по ключам и включите брандмауэр, как описано в нашем руководстве по усилению защиты.
Установите WireGuard и создайте ключи. Одна пара ключей для сервера и по одной для каждого устройства.
Настройте туннель. Назначьте ему диапазон частных адресов, откройте его UDP-порт (обычно выбирают 51820) и включите IP-переадресацию и NAT.
Добавьте свои устройства. Направьте весь трафик IPv4 и IPv6 через туннель и используйте DNS-резолвер, доступный через него.

Точные команды — в нашем руководстве по настройке WireGuard. Если вы запускаете на сервере собственный DNS-резолвер, привяжите его только к туннелю: открытый резолвер на публичном интерфейсе можно использовать для атак с усилением, а их запрещают наши правила допустимого использования.

Часто задаваемые вопросы

Можно ли использовать VPS как VPN?

Да. Установите WireGuard или OpenVPN на Linux-VPS и направьте через него трафик своих устройств — тогда посещаемые сайты будут видеть IP-адрес сервера вместо вашего. Выбирайте виртуализацию KVM, безлимитный трафик и локацию рядом с вами. На наших тарифах VPS разрешены VPN, прокси и ретрансляторы Tor.

Безопасно ли держать собственный VPN?

Да, если его обслуживать. Своевременно обновляйте сервер, входите только по ключам SSH, открывайте лишь порты SSH и VPN и берегите закрытый ключ каждого устройства. Основные риски — заброшенный сервер и доступ для людей, за чей трафик вы не можете поручиться, ведь всё, что они делают, выходит через IP-адрес вашего сервера.

Собственный VPN лучше коммерческого?

В плане контроля — да: вы сами задаёте правила логирования и выбираете страну. В плане анонимности — нет: ваш выходной адрес принадлежит только вам, а коммерческий VPN смешивает ваш трафик с трафиком множества других пользователей. Собственный VPN подходит для защиты в публичных сетях Wi-Fi и для постоянного адреса в другой стране; для анонимности используйте Tor.

Сколько памяти нужно VPN-серверу?

Совсем немного. WireGuard работает внутри ядра Linux, поэтому 1 ГБ памяти хватает для личного VPN на несколько устройств, и ещё остаётся место для операционной системы. Наш тариф Dinghy с 1 vCPU и 1 ГБ стоит $2.39 в месяц. Выбирайте 2 ГБ, если вы также запускаете DNS-резолвер или блокировщик рекламы, и 2 vCPU, если туннелем пользуются несколько человек.

Какая страна подходит для VPN-сервера?

Та, что близко к вам, где должен «находиться» ваш адрес и чей правовой климат вас устраивает. По нашей модели от Амстердама до Лондона около 7 мс, от Цюриха — около 13 мс, а от Куала-Лумпура до Сингапура — около 6 мс. На страницах наших локаций сравниваются законы и правила хранения данных каждой страны.