Configurer le serveur

Une plage privée comme 10.8.0.0/24 convient, avec le serveur en 10.8.0.1. Le fichier /etc/wireguard/wg0.conf ressemble à ceci :

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = CLE_PRIVEE_DU_SERVEUR

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADE

Remplacez ens3 par votre interface réelle. Sur un système utilisant nftables, la règle NAT peut y être implémentée directement, même si iptables reste l'option la plus répandue. Protégez le fichier, qui contient la clé privée :

chmod 600 /etc/wireguard/wg0.conf
systemctl enable --now wg-quick@wg0
wg show

Ouvrir le pare-feu et rediriger le port sur le routeur

Avec UFW, une seule commande suffit, en plus du pare-feu fourni par le panneau de votre hébergeur :

ufw allow 51820/udp

Chez soi, il faut ajouter une redirection sur le routeur, par exemple UDP 51820 → 192.168.1.20:51820, en réservant une IP locale fixe pour le serveur. Si l'IP publique change, un DNS dynamique permet d'utiliser un nom de domaine comme vpn.mondomaine.com:51820 à la place d'une adresse fixe.

Ajouter un premier appareil

Chaque appareil doit avoir sa propre paire de clés, jamais une clé privée partagée. Sur le serveur :

wg genkey | tee phone_private.key | wg pubkey > phone_public.key

Côté téléphone :

[Interface]
Address = 10.8.0.2/32
PrivateKey = CLE_PRIVEE_DU_TELEPHONE
DNS = 1.1.1.1

[Peer]
PublicKey = CLE_PUBLIQUE_DU_SERVEUR
Endpoint = IP_OU_DOMAINE_DU_SERVEUR:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

PersistentKeepalive = 25 est recommandé pour un client derrière NAT ou pare-feu. Côté serveur, ajoutez le pair correspondant puis rechargez la configuration :

[Peer]
PublicKey = CLE_PUBLIQUE_DU_TELEPHONE
AllowedIPs = 10.8.0.2/32

wg syncconf wg0 <(wg-quick strip wg0)

Pour simplifier la configuration sur Android ou iPhone, générez un QR code que l'application officielle scanne directement :

qrencode -t ansiutf8 < phone.conf

Évitez d'ajouter ::/0 côté client si le serveur ne supporte que l'IPv4, sous peine de casser la résolution IPv6. Pour du double-stack IPv4/IPv6, il faut définir des adresses IPv6, activer leur forwarding et router correctement le tout.

Split tunneling ou tout le trafic par la VPN

Avec AllowedIPs = 0.0.0.0/0, tout le trafic IPv4 passe par le serveur VPN, idéal pour se connecter depuis un lieu public et utiliser le serveur comme sortie Internet. Avec AllowedIPs = 10.8.0.0/24, 192.168.1.0/24, seul le trafic vers ces réseaux transite par le tunnel : c'est le split tunneling, souvent privilégié pour un accès distant sécurisé en entreprise, le reste du trafic gardant la connexion locale de l'appareil.

Un VPN maison n'est pas un VPN commercial

WireGuard fournit un tunnel chiffré entre l'appareil et le serveur, mais sa configuration ne garantit pas l'anonymat. Avec un VPN maison, les sites verront l'IP domestique ; avec un VPS, ils verront l'IP du VPS. Les fournisseurs commerciaux fonctionnent autrement, avec des milliers d'utilisateurs partageant les mêmes IP de sortie et la possibilité de changer facilement de pays.

Un VPN maison reste très adapté pour chiffrer sa connexion, accéder à son réseau privé ou garder la main sur sa confidentialité sur un Wi-Fi public, comme le rappellent les bonnes pratiques décrites dans notre guide sur la protection de l'identité numérique face au vol de téléphone. Il ne cache pas pour autant l'identité auprès de tous les services en ligne et ne simule aucune présence dans un autre pays. Installer une VPN personnelle ne garantit pas non plus l'absence de journaux : WireGuard lui-même n'en conserve pas, mais le système Linux, le DNS ou le fournisseur du VPS peuvent en générer. À vous de configurer chaque brique avec soin si l'objectif est de minimiser ces traces.

Quelle option choisir

Avec une fibre, une IP publique et un appareil déjà allumé, héberger WireGuard chez soi revient à un coût additionnel quasi nul. Sous CG-NAT, ou pour une disponibilité constante sans ouvrir de ports à la maison, un petit VPS à 5-10 euros par mois, soit 60 à 120 euros par an, reste la solution la plus pratique, avec l'avantage de pouvoir aussi y héberger un DNS privé ou du monitoring, dans la même logique que ce que permet l'auto-hébergement d'applications avec des plateformes comme Coolify. GINERNET propose des VPS à Madrid dès 5 euros par mois facturés à l'heure, Raiola Networks des VPS KVM en Espagne, et Aire Cloud convient mieux si la VPN doit s'intégrer à une infrastructure cloud d'entreprise plutôt qu'à un usage personnel, une logique de choix comparable à l'arbitrage entre VMware et Proxmox observé en entreprise.

Le vrai atout de WireGuard, c'est de ne demander aucune infrastructure compliquée. Une machine Linux modeste, une IP accessible et quelques minutes de configuration suffisent pour un tunnel chiffré qui peut durer des années, sans abonnement VPN payant.

Questions fréquentes

Combien coûte la mise en place d'un VPN personnel avec WireGuard ?

Avec un équipement déjà allumé à la maison, le coût additionnel est quasiment nul. Sur un VPS en Espagne, les offres commencent autour de 5 euros par mois.

WireGuard fonctionne-t-il derrière un CG-NAT ?

Pas via une simple redirection de ports IPv4. Il faut demander une IP publique à l'opérateur, passer par IPv6, ou déplacer le VPN sur un VPS avec IP dédiée.

Un VPN maison garantit-il l'anonymat ?

Non. Les sites voient l'IP résidentielle ou celle du VPS. Le VPN chiffre la connexion et donne accès au réseau privé, mais ne rend pas invisible en ligne.

Quel serveur suffit pour faire tourner WireGuard ?

1 vCPU et 1 Go de RAM suffisent pour un usage personnel. La bande passante disponible pèse souvent plus que la puissance de calcul.