WireGuard sur VPS : VPN rapide, sobre et privé

WireGuard repose sur un code source volontairement réduit (environ 4 000 lignes), ce qui le rend plus facile à auditer et significativement moins exposé aux failles de sécurité que ses alternatives. En l'hébergeant sur un VPS dédié, vous obtenez une adresse IP fixe sous votre contrôle, des débits proches de la bande passante native du serveur, et la possibilité d'accorder ou de révoquer des accès à la granularité du client. C'est la solution privilégiée des développeurs et des équipes distribuées qui souhaitent sécuriser leurs communications sans sacrifier les performances.

La différence avec un VPN commercial tient en trois points. L'adresse de sortie n'est partagée avec personne : vous pouvez l'inscrire dans la liste blanche d'une API, d'un back-office ou du pare-feu d'un client. La politique de journalisation est la vôtre, puisque personne d'autre n'administre la machine. Et le protocole reste sobre : un seul port UDP, une cryptographie fixée (Curve25519 pour l'échange de clés, ChaCha20 et Poly1305 pour le chiffrement authentifié) et une reprise du tunnel quand l'appareil change d'adresse IP, en passant du Wi-Fi à la 4G par exemple.

WireGuard demande très peu de ressources : avec l'interface wg-easy, 1 vCPU et 1 Go de RAM suffisent pour une petite équipe, et c'est la bande passante du VPS, pas le processeur, qui fixe la limite. Le template Marketplace installe Ubuntu 24.04 ; le module WireGuard fait partie du noyau Linux depuis la version 5.6, il n'y a donc rien à compiler.

Trois points à prévoir avant de commander :

Le port UDP du tunnel (51820 par défaut) doit être joignable depuis Internet. Si un pare-feu filtre le trafic en amont, ouvrez-le explicitement.

Un accès SSH depuis votre poste : l'interface d'administration n'est jamais publiée, on la joint par un tunnel SSH.

Un nom d'hôte (facultatif) : un enregistrement A comme vpn.votre-domaine.com vers l'IP du VPS rend les configurations clients plus lisibles et survit à un changement de serveur. L'adresse IP seule fonctionne aussi.

Qui accède à wg-easy peut créer des clients, donc entrer dans votre réseau : traitez cette interface comme un accès root.

Gardez-la sur la boucle locale. Le tunnel SSH suffit à l'usage courant. Si vous devez la publier, placez-la derrière un reverse proxy HTTPS (voir notre guide Caddy), déclarez l'adresse du proxy dans la variable TRUSTED_PROXIES et laissez INSECURE à false ; ne la servez jamais en HTTP clair.

Activez la double authentification. Depuis le menu utilisateur, la page Account active un code TOTP à saisir à chaque connexion.

Méfiez-vous des liens à usage unique. wg-easy peut générer un lien court de téléchargement valable cinq minutes, mais sa documentation prévient que ces liens sont devinables et livrent la clé privée du client sans authentification. Préférez le QR code ou le fichier, transmis par un canal privé.

Révoquez proprement. Désactiver un client coupe son accès en conservant sa configuration ; le supprimer est définitif. Une date d'expiration fait le travail toute seule pour un prestataire ou un accès ponctuel. En cas de perte du mot de passe administrateur, la commande cli db:admin:reset, lancée dans le conteneur, le réinitialise.

Par défaut, wg-easy génère des configurations en tunnel complet : AllowedIPs = 0.0.0.0/0, ::/0, tout le trafic de l'appareil sort par le VPS. C'est le bon choix sur un Wi-Fi public, ou pour présenter partout la même IP de sortie.

Pour n'utiliser le VPN que comme passerelle vers vos services privés, passez en tunnel partagé : dans Admin Panel → Config → Allowed IPs (valeur globale) ou sur la fiche d'un client (valeur propre à ce client), ne gardez que le sous-réseau du VPN, 10.8.0.0/24 dans une installation par défaut, et les réseaux internes à joindre. Le reste de la navigation sort par la connexion locale. Le serveur porte l'adresse 10.8.0.1 : liez-y vos bases de données, tableaux de bord et back-offices plutôt que sur 0.0.0.0, ils ne seront joignables que depuis le tunnel.

Attention : AllowedIPs règle le routage côté client, et l'utilisateur peut le modifier. Pour imposer une restriction, wg-easy propose un pare-feu par client (Admin Panel → Interface → Per-Client Firewall), appliqué côté serveur par iptables, encore marqué expérimental : testez-le avant de compter dessus. Au-delà de quelques machines à relier entre elles, un mesh comme Netbird évite de gérer ces listes à la main.