Installation WireGuard sur VPS : Votre propre VPN en 10 minutes

WireGuard est le protocole VPN le plus rapide et le plus simple. Installez-le sur un VPS pas cher et vous avez votre propre VPN privé — pas d’abonnement, pas de logs, un contrôle total.

Pourquoi WireGuard ?

Protocole VPN	Vitesse	Simplicité	Taille du code
WireGuard	Le plus rapide	~4 000 lignes	Minuscule
OpenVPN	Bonne	~100 000 lignes	Volumineux
IPSec	Bonne	~400 000 lignes	Énorme

WireGuard est :

• Plus rapide — Implémentation au niveau du noyau
• Plus simple — Moins de code = moins de bugs
• Moderne — Cryptographie de pointe
• Économe en batterie — Idéal pour le mobile

Prérequis VPS

WireGuard est incroyablement léger :

• CPU : N’importe lequel
• RAM : 64 Mo pour WireGuard lui-même
• Stockage : <10 Mo
• Réseau : Bonne connectivité, IP statique

Les spécifications du VPS importent davantage pour votre bande passante que pour WireGuard.

Meilleur VPS pour WireGuard

Fournisseur	Offre	Prix	Idéal pour
Vultr	VC2	6 $/mois	32 emplacements
Hetzner	CX11	3,79 €/mois	Meilleur rapport qualité-prix
Hostinger	KVM1	4,99 $/mois	Bon polyvalent
DigitalOcean	Basic	6 $/mois	Installation facile

Pour un VPN, l’emplacement est primordial. Choisissez une région proche de vous pour la vitesse, ou éloignée pour contourner les restrictions géographiques.

Installation rapide (5 minutes)

Étape 1 : Créer le VPS

N’importe quel VPS Ubuntu 22.04+ convient. Connectez-vous en SSH :

ssh root@your-vps-ip

Étape 2 : Installer WireGuard

apt update
apt install wireguard -y

Étape 3 : Générer les clés

cd /etc/wireguard
wg genkey | tee privatekey | wg pubkey > publickey
chmod 600 privatekey

Étape 4 : Créer la configuration serveur

cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
PrivateKey = YOUR_SERVER_PRIVATE_KEY
Address = 10.0.0.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32
EOF

Remplacez :

• YOUR_SERVER_PRIVATE_KEY par le contenu de privatekey
• CLIENT_PUBLIC_KEY par la clé publique de votre client (nous allons la générer)

Étape 5 : Activer le transfert IP

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

Étape 6 : Ouvrir le pare-feu

ufw allow 51820/udp

Étape 7 : Démarrer WireGuard

systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Vérification :

wg show

Configuration du client

Générer les clés du client

Sur le serveur :

cd /etc/wireguard
wg genkey | tee client1-privatekey | wg pubkey > client1-publickey

Créer la configuration client

cat > client1.conf << 'EOF'
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF

Remplacez :

• CLIENT_PRIVATE_KEY par le contenu de client1-privatekey
• SERVER_PUBLIC_KEY par le contenu de publickey
• YOUR_VPS_IP par l’IP de votre VPS

Ajouter le client au serveur

Éditez /etc/wireguard/wg0.conf et ajoutez :

[Peer]
PublicKey = CONTENTS_OF_CLIENT1_PUBLICKEY
AllowedIPs = 10.0.0.2/32

Rechargez :

wg syncconf wg0 <(wg-quick strip wg0)

Transférer la configuration au client

Option 1 : QR Code (pour mobile)

apt install qrencode
qrencode -t ansiutf8 < client1.conf

Option 2 : Copier le fichier de manière sécurisée

cat client1.conf
# Copiez le contenu sur votre appareil

Installation sur les clients

macOS

brew install wireguard-tools
# Create /etc/wireguard/wg0.conf with client config
sudo wg-quick up wg0

Ou utilisez l’application WireGuard depuis le Mac App Store.

Windows

1. Téléchargez depuis wireguard.com
2. Importer un tunnel → collez la configuration
3. Activez

Linux

sudo apt install wireguard
# Create /etc/wireguard/wg0.conf
sudo wg-quick up wg0

iOS/Android

1. Installez l’application WireGuard
2. Ajouter un tunnel → scannez le QR code ou importez le fichier
3. Connectez-vous

Clients multiples

Chaque client nécessite des clés et une IP uniques :

# Generate for client2
wg genkey | tee client2-privatekey | wg pubkey > client2-publickey

Ajoutez à la configuration serveur :

[Peer]
PublicKey = CLIENT2_PUBLIC_KEY
AllowedIPs = 10.0.0.3/32

Créez la configuration client2 avec :

• Sa propre clé privée
• Address = 10.0.0.3/24

Split Tunneling

Routez uniquement certains trafics via le VPN :

Router uniquement certaines IP

Dans la configuration client :

AllowedIPs = 10.0.0.0/24, 192.168.1.0/24

Seuls ces sous-réseaux passent par le VPN.

Exclure le réseau local

AllowedIPs = 0.0.0.0/0, ::/0
PostUp = ip route add 192.168.1.0/24 via 192.168.1.1

Configuration DNS

Utiliser Cloudflare DNS

Dans la configuration client :

DNS = 1.1.1.1, 1.0.0.1

Utiliser votre propre DNS (Pi-hole)

Si Pi-hole tourne sur le même VPS :

DNS = 10.0.0.1

Bloquer les fuites DNS

Sur le serveur, bloquez le DNS externe :

iptables -I FORWARD -i wg0 -p udp --dport 53 -j DROP
iptables -I FORWARD -i wg0 -p tcp --dport 53 -j DROP
iptables -I FORWARD -i wg0 -d 10.0.0.1 -p udp --dport 53 -j ACCEPT

Optimisation des performances

Réglage du MTU

Trouvez le MTU optimal :

ping -c 5 -M do -s 1400 your-vps-ip
# Decrease until no fragmentation

Définissez dans la configuration :

[Interface]
MTU = 1420

Persistent Keepalive

Pour les clients derrière un NAT :

PersistentKeepalive = 25

Envoie un paquet toutes les 25 secondes pour maintenir la connexion active.

Renforcement de la sécurité

Changer le port par défaut

Utilisez un port non standard (moins de scans) :

Serveur :

ListenPort = 44321

Client :

Endpoint = your-vps-ip:44321

Fail2Ban pour WireGuard

# WireGuard doesn't log auth failures by default
# But you can monitor connection attempts
cat > /etc/fail2ban/jail.d/wireguard.local << 'EOF'
[wireguard]
enabled = false
# WireGuard is already secure by design
EOF

WireGuard est intrinsèquement sécurisé — les clés inconnues sont silencieusement ignorées.

Pare-feu limité au port WireGuard

Pour une configuration complète du pare-feu, consultez notre guide de sécurité VPS.

ufw default deny incoming
ufw allow ssh
ufw allow 51820/udp
ufw enable

Dépannage

Impossible de se connecter

# Check WireGuard is running
wg show

# Check firewall
ufw status

# Check port is open
nc -zvu your-vps-ip 51820

Pas d’accès Internet via le VPN

# Check IP forwarding
cat /proc/sys/net/ipv4/ip_forward
# Should be 1

# Check NAT rules
iptables -t nat -L POSTROUTING

Vitesses lentes

# Test without VPN
speedtest-cli

# Test with VPN
# If much slower, try different MTU

Coupures de connexion

Ajoutez au client :

PersistentKeepalive = 25

Utilisation avec Docker

Conteneur WireGuard

version: '3.8'
services:
  wireguard:
    image: linuxserver/wireguard
    container_name: wireguard
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=UTC
      - SERVERURL=your-vps-ip
      - PEERS=5
    volumes:
      - ./config:/config
    ports:
      - 51820:51820/udp
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
    restart: unless-stopped

Génère automatiquement les configurations pour 5 pairs dans ./config/peer*.

WireGuard vs VPN commercial

Critère	WireGuard VPS	NordVPN/etc
Coût	~5 $/mois	3-12 $/mois
Serveurs	1 (le vôtre)	5000+
Vitesse	La plus rapide	Bonne
Confidentialité	Totale	Leur faire confiance
Journalisation	Aucune	”Pas de logs”
Contrôle	Total	Aucun

Votre propre VPS = vos propres règles. Si vous préférez un VPN sans configuration avec SSO, consultez plutôt Tailscale.

Configuration multi-emplacements

Pour avoir plusieurs points de sortie :

1. Créez des VPS dans différentes régions
2. Installez WireGuard sur chacun
3. Créez des configurations pour chacun
4. Basculez entre eux

# Switch to US exit
wg-quick down wg0
wg-quick up wg-us

# Switch to EU exit
wg-quick down wg-us
wg-quick up wg-eu

FAQ

WireGuard est-il sécurisé ?

Extrêmement. Il utilise une cryptographie moderne (Curve25519, ChaCha20, Poly1305). Audité par des chercheurs en sécurité.

Mon FAI peut-il voir que j’utilise un VPN ?

Il peut voir du trafic chiffré vers l’IP de votre VPS, mais pas le contenu.

Combien d’appareils peuvent se connecter ?

Illimité. Ajoutez simplement des sections [Peer] supplémentaires.

WireGuard fonctionne-t-il en Chine ?

Parfois. Il peut être bloqué. Envisagez des outils d’obfuscation comme udp2raw.

WireGuard vs OpenVPN ?

WireGuard est plus rapide et plus simple. OpenVPN est plus configurable. Pour la plupart des utilisateurs, WireGuard l’emporte.

Configuration recommandée

Cas d’usage	VPS	Emplacement
Confidentialité générale	Hetzner CX11	Région la plus proche
Streaming US	Vultr	US (NYC, LA)
Streaming UK	Vultr	Londres
Vitesse maximale	Région locale	Même pays

3,79 €/mois vous offre un VPN privé plus rapide que n’importe quelle option commerciale. Pas de logs, pas de limites, juste votre propre serveur.