Créer votre VPN personnel avec WireGuard devient une solution de plus en plus simple face aux coûts récurrents des abonnements payés à des fournisseurs commerciaux. Cela peut se faire quasi gratuitement, en utilisant un ordinateur, un mini PC ou une Raspberry Pi déjà allumés chez vous, ou en déployant un serveur sur un VPS avec une IP publique, pour seulement quelques euros par mois. Bien qu’il ne propose pas exactement les mêmes fonctionnalités que NordVPN, Proton VPN ou Mullvad, un VPN maison offre une manière sûre d’accéder à un réseau privé, de protéger le trafic sur un Wi-Fi public ou d’avoir une IP de sortie dédiée, ce qui peut même être plus avantageux selon le contexte.
Les clés pour mettre en place une VPN personnelle en 30 secondes
- WireGuard est intégré dans la plupart des distributions Linux modernes et propose une configuration bien plus simple que IPsec.
- Un équipement domestique peut suffire pour monter une VPN sans coûts mensuels supplémentaires, à condition d’avoir une IP accessible et, généralement, de rediriger un port.
- En cas de CG-NAT, fréquent chez certains opérateurs, un VPS avec une IP publique constitue souvent la solution la plus simple.
- Un serveur Linux basique suffit : des fournisseurs espagnols comme GINERNET, Raiola Networks, ou des plateformes cloud comme Aire Cloud sont disponibles.
- Une VPN maison permet de garder le contrôle, mais ne garantit pas automatiquement l’anonymat comme une VPN commerciale avec des milliers d’utilisateurs partageant une IP.
WireGuard est un tunnel VPN moderne qui encapsule le trafic IP via UDP en utilisant une cryptographie à clés publiques et privées. Intégré directement dans la plupart des distributions Linux et avec des clients officiels pour Windows, macOS, Android et iOS, la documentation du projet inclut également le routage de tout le trafic Internet à travers le tunnel.
Le choix initial est crucial : faut-il utiliser un serveur chez soi ou louer un VPS ?
Chez soi, VPS ou cloud : trois méthodes pour déployer WireGuard
L’option la plus économique consiste à réutiliser un ordinateur déjà allumé en permanence, comme une Raspberry Pi, un mini PC, un NAS capable d’exécuter WireGuard ou directement un serveur Linux. Le dispositif doit rester allumé pour que la VPN fonctionne depuis l’extérieur.
L’avantage est évident : pas de coût supplémentaire mensuel pour l’infrastructure. De plus, lorsque vous êtes en déplacement, votre téléphone ou ordinateur peut accéder à Internet via l’adresse IP de votre connexion domestique.
Toutefois, trois contraintes peuvent compliquer la mise en place :
- Le routeur doit permettre de rediriger un port UDP vers le serveur.
- La connexion doit disposer d’une adresse IP accessible depuis Internet.
- Si l’IP change, il est recommandé d’utiliser un DNS dynamique.
Le principal obstacle reste le CG-NAT (Carrier-Grade NAT). Chez certains fournisseurs, une seule IP IPv4 publique est partagée entre plusieurs clients, empêchant d’ouvrir simplement un port sur le routeur et d’accepter des connexions entrantes.
Dans ce cas, il est possible de demander une IP publique à l’opérateur, d’utiliser IPv6 si toute l’architecture le supporte, ou de déplacer son VPN sur un VPS.
Et un VPS peut souvent s’avérer encore plus simple à déployer.
Un VPN ne nécessite généralement que peu de ressources : un processeur léger et un peu de mémoire suffisent pour un usage personnel. Par exemple, GINERNET propose des VPS à Madrid dès 5 euros par mois, avec une configuration Intel, IP dédié, et 1 TB de trafic, tandis que leur offre Cloud S avec AMD, 1 vCore, 1 Go de RAM et 10 GB NVMe coûte 6 euros mensuels. La plupart des fournisseurs mentionnent la possibilité d’utiliser la VPN dans leur plan de base.
Raiola Networks propose également des VPS KVM avec une IP européenne dédiée et des ressources garanties, permettant une utilisation pour votre VPN.
Pour une entreprise intégrant la VPN dans une infrastructure plus grande, un cloud public tel que Aire Cloud ou d’autres fournisseurs européens peut être pertinent. Dans ce cas, l’attention ne doit pas seulement porter sur le prix du VPS mais aussi sur : la localisation, une IP fixe, une capacité de transfert suffisante, une bonne connectivité et la confiance en le fournisseur.
Une configuration minimale adaptée à un usage personnel pourrait être :
| Scénario | Ressources raisonnables | Avantage principal |
|---|---|---|
| Raspberry Pi / mini PC | 1 GB de RAM | Sans coûts mensuels supplémentaires |
| VPS basique | 1 vCPU / 1 GB RAM | IP publique et disponibilité 24/7 |
| Cloud d’entreprise | En fonction du trafic | Réseaux privés et intégration avec votre infra |
| Serveur dédié | Souvent excessif | Volumes importants ou nombreux utilisateurs |
WireGuard est peu exigeant en ressources. En usage personnel, la limite est souvent plutôt la capacité de la connexion Internet (le débit de la ligne) que les ressources du serveur.
Comment installer WireGuard sur Ubuntu ou Debian
Sur un serveur récent basé sur Ubuntu ou Debian, il suffit d’installer les outils nécessaires :
sudo apt update
sudo apt install wireguard qrencode -yL’installation officielle peut aussi se faire via :
sudo apt install wireguardEnsuite, il faut générer les clés avec des permissions restrictives :
sudo -i
cd /etc/wireguard
umask 077
wg genkey | tee server_private.key | wg pubkey > server_public.keyIl faut garder la clé privée (server_private.key) confidentielle. La clé publique sera utilisée pour la configuration des clients.
Il faut aussi identifier l’interface réseau connectée à Internet :
ip route show defaultPar exemple, une réponse pourrait être :
default via 185.xxx.xxx.1 dev ens3Ici, l’interface réseau est ens3.
Ensuite, il faut autoriser le transfert des paquets par Linux :
cat > /etc/sysctl.d/99-wireguard.conf <Ce mode est préféré à la modification du fichier /etc/sysctl.conf.
Configurer le serveur
Une plage d’adresses privées, comme 10.8.0.0/24, peut être utilisée. Le serveur aura l’adresse 10.8.0.1.
Le fichier /etc/wireguard/wg0.conf pourrait ressembler à :
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = CLÉ_PRIVÉE_DU_SERVEUR
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens3 -j MASQUERADEIl faut remplacer ens3 par votre interface réelle.
Sur un système utilisant nftables, la règle NAT peut être implémentée directement avec ce système, même si la méthode avec iptables reste simple et très répandue. Pour un déploiement en entreprise, il est conseillé d’intégrer cela dans le pare-feu existant.
Le fichier doit contenir la clé privée, à protéger avec :
chmod 600 /etc/wireguard/wg0.confUne fois la configuration prête, il suffit de lancer :
systemctl enable --now wg-quick@wg0Et vérifier que tout fonctionne avec :
wg showLa documentation officielle recommande aussi wg-quick pour automatiser la création et la suppression d’interfaces WireGuard.
Configurer le pare-feu et le routeur en fonction du lieu du serveur
Avec UFW :
ufw allow 51820/udpSur un VPS avec IPv4 publique, cette règle suffit généralement, en plus du pare-feu fourni par votre panneau cloud.
Chez vous, il faut ajouter une redirection dans le routeur :
UDP 51820 → IP_INTERNE_DU_SERVEUR:51820Par exemple :
UDP 51820 → 192.168.1.20:51820Il est conseillé de réserver une IP locale fixe ou une réservation DHCP pour le serveur domestique.
Si l’IP publique change, un service de DNS dynamique peut être configuré et vous pourrez utiliser :
Endpoint = vpn.mondomaine.com:51820au lieu d’une IP fixe.
Ajouter le premier appareil (téléphone)
Chaque appareil doit disposer de sa propre paire de clés. Il n’est pas conseillé de partager la même clé privée entre plusieurs appareils.
Sur le serveur :
wg genkey | tee phone_private.key | wg pubkey > phone_public.keyLe téléphone peut utiliser cette configuration :
[Interface]
Address = 10.8.0.2/32
PrivateKey = CLÉ_PRIVÉE_DU_TÉLÉPHONE
DNS = 1.1.1.1
[Peer]
PublicKey = CLÉ PUBLIQUE DU SERVEUR
Endpoint = IP OU DOMAINE_DU_SERVEUR:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25PersistentKeepalive = 25 indique un intervalle que la documentation recommande lorsqu’un client est derrière NAT ou firewall.
Dans la configuration du serveur, il faut ajouter :
[Peer]
PublicKey = CLÉ PUBLIQUE DU TÉLÉPHONE
AllowedIPs = 10.8.0.2/32Puis appliquer la nouvelle configuration :
wg syncconf wg0 <(wg-quick strip wg0)Pour simplifier la configuration sous Android ou iPhone, vous pouvez générer un QR code :
qrencode -t ansiutf8 < phone.confL’application officielle de WireGuard peut scanner ce code directement.
Important : ne pas ajouter ::/0 sur le client si le serveur ne supporte que l’IPv4. Cela pourrait empêcher la bonne gestion d’IPv6. Pour faire du doublestack IPv4/IPv6, il faut définir des adresses IPv6, activer le forwarding IPv6, et configurer le routage approprié.
Split tunneling ou faire passer tout le trafic Internet par la VPN
WireGuard permet deux configurations très différentes :
Avec :
AllowedIPs = 0.0.0.0/0Tout le trafic IPv4 transite via le serveur VPN.
Ce mode est idéal pour se connecter dans un lieu public et utiliser la VPN comme sortie Internet.
Sinon, si l’on souhaite seulement accéder à son réseau privé ou à des ressources spécifiques, on peut configurer :
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24Cela crée un split tunnel : seul le trafic destiné à ces réseaux passe par la VPN, le reste (YouTube, navigation, etc.) continue d’utiliser la connexion locale du téléphone ou de l’ordinateur.
Ce mode est souvent privilégié pour un accès distant sécurisé en entreprise.
Une VPN personnelle n’est pas équivalente à une VPN commerciale
C’est la distinction essentielle. WireGuard fournit un tunnel chiffré entre l’appareil et le serveur, mais sa configuration ne garantit pas l’anonymat automatique.
En utilisant une VPN maison :
MOBIL → tunnel chiffré → maison → InternetLes sites web verront l’IP domestique.
Avec un VPS :
MOBIL → tunnel chiffré → VPS → InternetLes sites web verront l’IP du VPS.
Les fournisseurs commerciaux fonctionnent différemment, car des milliers d’utilisateurs partagent souvent des IP de sortie, et il est facile de changer de pays ou de région.
Une VPN maison est donc particulièrement adaptée pour sécuriser la connexion, accéder à un réseau privé ou garder le contrôle sur la confidentialité, notamment dans des Wi-Fi publics ou non fiables. Cependant, elle ne cache pas nécessairement votre identité à tous les services en ligne, ni ne simule une présence dans plusieurs pays.
Il ne faut pas non plus croire qu’installer une VPN personnelle garantit l’absence de logs. WireGuard en soi ne conserve pas de traces, mais le système Linux, le DNS, le fournisseur du VPS ou d’autres composants peuvent générer des journaux. En contrôlant l’infrastructure, vous pouvez faire le choix de ne rien enregistrer, mais cela demande une configuration soigneuse.
Quelle option est la plus adaptée ?
Pour une personne disposant d’une fibre, d’une IP publique et d’un appareil toujours allumé, installer WireGuard chez soi peut revenir à presque zéro coût supplémentaire par mois, en plus de l’électricité et de la connexion existantes.
Pour ceux sous CG-NAT, ou qui ne veulent pas ouvrir de ports chez eux, ou ont besoin d’une disponibilité constante, un petit VPS reste souvent la solution la plus pratique. Un coût de 5 à 10 euros par mois revient à entre 60 et 120 euros par an, avec en plus l’avantage d’utiliser ce serveur pour d’autres services comme DNS privé ou monitoring.
GINERNET propose une solution simple, avec des VPS à Madrid à partir de 5 euros par mois, avec facturation à l’heure. Raiola Networks offre aussi des VPS KVM en Espagne, et Aire Cloud est pertinent si la VPN doit s’intégrer dans une infrastructure cloud d’entreprise, plutôt qu’une sortie Internet personnelle.
Il existe aussi d’autres fournisseurs européens ou espagnols. La meilleure sélection se fait selon l’emplacement, l’IP fixe, la capacité de transfert, la qualité du réseau et la confiance, pas forcément par la puissance du serveur.
L’avantage principal de WireGuard est qu’il ne nécessite pas une infrastructure compliquée : avec une machine Linux modeste, une IP accessible et quelques minutes de configuration, on dispose d’un tunnel chiffré pouvant durer des années, sans abonnement VPN payant.
Questions fréquemment posées
Combien coûte la mise en place d’une VPN personnelle avec WireGuard ?
Si vous utilisez déjà un équipement allumé en permanence à la maison, le coût additionnel est quasiment nul : seulement l’électricité et la connexion. Sur un VPS en Espagne, les options commencent à environ 5 euros par mois.
WireGuard fonctionne-t-il si la connexion domestique est derrière un CG-NAT ?
Pas simplement via une redirection de ports IPv4. Il faut solliciter une IP publique auprès de votre opérateur, ou utiliser IPv6, ou déplacer votre VPN sur un VPS avec IP dédiée.
Une VPN maison garantit-elle l’anonymat ?
Pas automatiquement. Les sites verront généralement votre IP résidentielle ou celle du VPS. La VPN est surtout utile pour chiffrer la connexion, accéder à un réseau privé ou mieux contrôler votre vie privée, mais ne garantit pas une invisibilité totale en ligne.
Quel serveur est nécessaire pour faire tourner WireGuard ?
Pour une utilisation personnelle, 1 vCPU et 1 GB de RAM suffisent généralement. La bande passante disponible et le volume de trafic sont souvent plus déterminants que la puissance de calcul.