Monter son propre VPN avec WireGuard devient une alternative concrète aux abonnements mensuels de NordVPN, Proton VPN ou Mullvad. La formule la plus économique réutilise un ordinateur déjà allumé chez soi, un mini PC ou une Raspberry Pi, pour un coût additionnel quasi nul. L’alternative consiste à louer un VPS avec IP publique pour quelques euros par mois. Un VPN maison n’offre pas les mêmes fonctionnalités qu’un service commercial, mais il donne un accès sûr à son réseau privé, protège le trafic sur un Wi-Fi public et fournit une IP de sortie dédiée.
WireGuard encapsule le trafic IP via UDP avec une cryptographie à clés publiques et privées. Il est intégré dans la plupart des distributions Linux modernes et dispose de clients officiels pour Windows, macOS, Android et iOS. Reste à trancher la question de départ : héberger le serveur chez soi ou le louer sur un VPS ?
Chez soi, sur un VPS ou dans le cloud : trois façons de déployer WireGuard
La solution la plus économique consiste à réutiliser un appareil déjà allumé en permanence, Raspberry Pi, mini PC, NAS compatible WireGuard ou serveur Linux, sans coût supplémentaire. En déplacement, le téléphone ou l’ordinateur sort alors via l’adresse IP de la connexion domestique. Trois conditions doivent néanmoins être réunies : le routeur doit rediriger un port UDP vers le serveur, la connexion doit disposer d’une IP accessible depuis Internet, et si cette IP change, un DNS dynamique devient nécessaire.
Le principal obstacle reste le CG-NAT (Carrier-Grade NAT) : chez certains opérateurs, une seule IPv4 publique est partagée entre plusieurs clients, ce qui empêche d’ouvrir un port et d’accepter des connexions entrantes. Dans ce cas, trois options restent possibles : demander une IP publique à l’opérateur, passer par IPv6 si toute la chaîne le supporte, ou déplacer le VPN sur un VPS.
Un VPS s’avère souvent plus simple à déployer, d’autant qu’une VPN personnelle ne demande que peu de ressources. GINERNET propose des VPS à Madrid dès 5 euros par mois avec IP dédiée et 1 To de trafic ; son offre Cloud S (AMD, 1 vCore, 1 Go de RAM, 10 Go NVMe) revient à 6 euros par mois. Raiola Networks propose de son côté des VPS KVM avec IP européenne dédiée. Pour intégrer la VPN dans une infrastructure d’entreprise plus large, un cloud public comme Aire Cloud a du sens, à condition de vérifier la localisation, la fixité de l’IP, la capacité de transfert et la connectivité proposée.
| Scénario | Ressources raisonnables | Avantage principal |
|---|---|---|
| Raspberry Pi / mini PC | 1 Go de RAM | Sans coût mensuel supplémentaire |
| VPS basique | 1 vCPU / 1 Go RAM | IP publique et disponibilité 24/7 |
| Cloud d’entreprise | Selon le trafic | Réseaux privés et intégration à l’infra existante |
| Serveur dédié | Souvent surdimensionné | Gros volumes ou nombreux utilisateurs |
En usage personnel, la limite vient souvent du débit de la ligne plutôt que des ressources du serveur.
Installer WireGuard sur Ubuntu ou Debian
Sur un serveur récent basé sur Ubuntu ou Debian :
sudo apt update
sudo apt install wireguard qrencode -yGénérez ensuite les clés avec des permissions restrictives :
sudo -i
cd /etc/wireguard
umask 077
wg genkey | tee server_private.key | wg pubkey > server_public.keyGardez la clé privée (server_private.key) confidentielle : la clé publique servira à configurer les clients. Identifiez ensuite l’interface réseau connectée à Internet :
ip route show default
# default via 185.xxx.xxx.1 dev ens3Ici, l’interface est ens3. Autorisez ensuite le transfert des paquets par Linux, de préférence sans toucher directement à /etc/sysctl.conf :
cat > /etc/sysctl.d/99-wireguard.conf <Configurer le serveur
Une plage privée comme 10.8.0.0/24 convient, avec le serveur en 10.8.0.1. Le fichier /etc/wireguard/wg0.conf ressemble à ceci :
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = CLE_PRIVEE_DU_SERVEUR
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADERemplacez ens3 par votre interface réelle. Sur un système utilisant nftables, la règle NAT peut y être implémentée directement, même si iptables reste l'option la plus répandue. Protégez le fichier, qui contient la clé privée :
chmod 600 /etc/wireguard/wg0.conf
systemctl enable --now wg-quick@wg0
wg showOuvrir le pare-feu et rediriger le port sur le routeur
Avec UFW, une seule commande suffit, en plus du pare-feu fourni par le panneau de votre hébergeur :
ufw allow 51820/udpChez soi, il faut ajouter une redirection sur le routeur, par exemple UDP 51820 → 192.168.1.20:51820, en réservant une IP locale fixe pour le serveur. Si l'IP publique change, un DNS dynamique permet d'utiliser un nom de domaine comme vpn.mondomaine.com:51820 à la place d'une adresse fixe.
Ajouter un premier appareil
Chaque appareil doit avoir sa propre paire de clés, jamais une clé privée partagée. Sur le serveur :
wg genkey | tee phone_private.key | wg pubkey > phone_public.keyCôté téléphone :
[Interface]
Address = 10.8.0.2/32
PrivateKey = CLE_PRIVEE_DU_TELEPHONE
DNS = 1.1.1.1
[Peer]
PublicKey = CLE_PUBLIQUE_DU_SERVEUR
Endpoint = IP_OU_DOMAINE_DU_SERVEUR:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25PersistentKeepalive = 25 est recommandé pour un client derrière NAT ou pare-feu. Côté serveur, ajoutez le pair correspondant puis rechargez la configuration :
[Peer]
PublicKey = CLE_PUBLIQUE_DU_TELEPHONE
AllowedIPs = 10.8.0.2/32wg syncconf wg0 <(wg-quick strip wg0)Pour simplifier la configuration sur Android ou iPhone, générez un QR code que l'application officielle scanne directement :
qrencode -t ansiutf8 < phone.confÉvitez d'ajouter ::/0 côté client si le serveur ne supporte que l'IPv4, sous peine de casser la résolution IPv6. Pour du double-stack IPv4/IPv6, il faut définir des adresses IPv6, activer leur forwarding et router correctement le tout.
Split tunneling ou tout le trafic par la VPN
Avec AllowedIPs = 0.0.0.0/0, tout le trafic IPv4 passe par le serveur VPN, idéal pour se connecter depuis un lieu public et utiliser le serveur comme sortie Internet. Avec AllowedIPs = 10.8.0.0/24, 192.168.1.0/24, seul le trafic vers ces réseaux transite par le tunnel : c'est le split tunneling, souvent privilégié pour un accès distant sécurisé en entreprise, le reste du trafic gardant la connexion locale de l'appareil.
Un VPN maison n'est pas un VPN commercial
WireGuard fournit un tunnel chiffré entre l'appareil et le serveur, mais sa configuration ne garantit pas l'anonymat. Avec un VPN maison, les sites verront l'IP domestique ; avec un VPS, ils verront l'IP du VPS. Les fournisseurs commerciaux fonctionnent autrement, avec des milliers d'utilisateurs partageant les mêmes IP de sortie et la possibilité de changer facilement de pays.
Un VPN maison reste très adapté pour chiffrer sa connexion, accéder à son réseau privé ou garder la main sur sa confidentialité sur un Wi-Fi public, comme le rappellent les bonnes pratiques décrites dans notre guide sur la protection de l'identité numérique face au vol de téléphone. Il ne cache pas pour autant l'identité auprès de tous les services en ligne et ne simule aucune présence dans un autre pays. Installer une VPN personnelle ne garantit pas non plus l'absence de journaux : WireGuard lui-même n'en conserve pas, mais le système Linux, le DNS ou le fournisseur du VPS peuvent en générer. À vous de configurer chaque brique avec soin si l'objectif est de minimiser ces traces.
Quelle option choisir
Avec une fibre, une IP publique et un appareil déjà allumé, héberger WireGuard chez soi revient à un coût additionnel quasi nul. Sous CG-NAT, ou pour une disponibilité constante sans ouvrir de ports à la maison, un petit VPS à 5-10 euros par mois, soit 60 à 120 euros par an, reste la solution la plus pratique, avec l'avantage de pouvoir aussi y héberger un DNS privé ou du monitoring, dans la même logique que ce que permet l'auto-hébergement d'applications avec des plateformes comme Coolify. GINERNET propose des VPS à Madrid dès 5 euros par mois facturés à l'heure, Raiola Networks des VPS KVM en Espagne, et Aire Cloud convient mieux si la VPN doit s'intégrer à une infrastructure cloud d'entreprise plutôt qu'à un usage personnel, une logique de choix comparable à l'arbitrage entre VMware et Proxmox observé en entreprise.
Le vrai atout de WireGuard, c'est de ne demander aucune infrastructure compliquée. Une machine Linux modeste, une IP accessible et quelques minutes de configuration suffisent pour un tunnel chiffré qui peut durer des années, sans abonnement VPN payant.
Questions fréquentes
Combien coûte la mise en place d'un VPN personnel avec WireGuard ?
Avec un équipement déjà allumé à la maison, le coût additionnel est quasiment nul. Sur un VPS en Espagne, les offres commencent autour de 5 euros par mois.
WireGuard fonctionne-t-il derrière un CG-NAT ?
Pas via une simple redirection de ports IPv4. Il faut demander une IP publique à l'opérateur, passer par IPv6, ou déplacer le VPN sur un VPS avec IP dédiée.
Un VPN maison garantit-il l'anonymat ?
Non. Les sites voient l'IP résidentielle ou celle du VPS. Le VPN chiffre la connexion et donne accès au réseau privé, mais ne rend pas invisible en ligne.
Quel serveur suffit pour faire tourner WireGuard ?
1 vCPU et 1 Go de RAM suffisent pour un usage personnel. La bande passante disponible pèse souvent plus que la puissance de calcul.