VPS или коммерческий VPN? Поднимите WireGuard или AmneziaWG на своём сервере

Linux-сервер за 4 € в месяц даёт приватный VPN с чистым выделенным IP и ровно одним пользователем — вами. Компромисс: обновления на вас, а один VPS стоит только в одной стране. Ниже честное сравнение с подпиской на NordVPN или Mullvad и разбор того, как всё настроить, чтобы работало на Apple TV через WG Connect.

Выбор

Большинство тех, кто об этом задумывается, в итоге оказываются в одном из трёх лагерей. Свой сервер на VPS даёт приватную машину под полным вашим контролем и один IP, который не делят с вами тысячи незнакомых людей. Коммерческий VPN вроде Mullvad или NordVPN даёт глобальный парк серверов и инженерные усилия, чтобы не попадать в блокировки, но требует верить их обещанию не вести логи. Сервер дома (Raspberry Pi, NAS или роутер) — самый строгий вариант по приватности, но полезен только тогда, когда вы в поездке и хотите достучаться до дома.

Это руководство — про первый вариант: VPS, арендованный у хостинг-провайдера, с WireGuard или AmneziaWG и WG Connect в роли клиента на Apple TV.

Честное сравнение

Что нужно для своего сервера

• VPS. Подойдёт любой Linux-инстанс с виртуализацией KVM. Hetzner Cloud (CX11/CX22), Droplet у DigitalOcean, Contabo VPS S, AWS Lightsail и Vultr — типичные варианты. Ориентируйтесь минимум на 1 ГБ RAM и щедрый лимит трафика: VPN-трафик тоже считается.
• Ubuntu 22.04 / 24.04 или Debian 12. В свежих ядрах WireGuard есть из коробки. AmneziaWG на этих дистрибутивах ставится без проблем из своего DKMS-пакета.
• Публичный IPv4-адрес (входит почти в любой тариф VPS). Порт UDP 51820 должен быть открыт — обычно так и есть по умолчанию, но проверьте фаервол провайдера.
• Доступ по SSH. Уверенность в командной строке пригодится, но популярные скрипты-установщики делают почти всю работу за вас.

Путь A — обычный WireGuard

Самая простая установка; её и стоит выбирать, если вам не нужно именно обходить блокировки на основе DPI. Два одинаково хороших способа:

Установка вручную

1. Зайдите по SSH: ssh root@your-vps-ip
2. Установите: apt update && apt install -y wireguard
3. Сгенерируйте ключи для сервера и одного клиентского пира (Apple TV)
4. Создайте /etc/wireguard/wg0.conf с приватным ключом сервера, портом прослушивания 51820 и публичным ключом клиента в качестве [Peer]
5. Включите форвардинг IP: sysctl -w net.ipv4.ip_forward=1
6. Запустите: systemctl enable --now wg-quick@wg0
7. Выгрузите соответствующий клиентский .conf для Apple TV

Или воспользуйтесь установщиком

Если править конфиги руками не хочется, open-source установщик вроде angristan/wireguard-install делает всю настройку одним shell-скриптом и отдаёт готовый конфиг пира, который можно забрать с сервера. wg-easy идёт дальше — это Docker-контейнер с веб-интерфейсом для добавления и отзыва клиентов.

Путь B — AmneziaWG (когда сеть блокирует обычный WireGuard)

AmneziaWG — форк WireGuard с тем же шифрованием (ChaCha20-Poly1305), но с переформированными пакетами, которые не поддаются глубокой инспекции трафика. Та же скорость плюс трафик, который DPI-системы не могут опознать как VPN. Используйте его, когда:

• Вы находитесь в стране, где WireGuard блокируют на уровне протокола, или собираетесь туда
• Сеть отеля или кампуса отбрасывает VPN поверх UDP
• Местный провайдер режет или блокирует VPN-трафик

Проще всего: клиент AmneziaVPN

В официальном десктопном или мобильном приложении AmneziaVPN есть режим «Self-hosted». Укажите свой VPS (IP, логин root, SSH-ключ), выберите AmneziaWG в качестве протокола — и приложение само поставит всё на сервер по SSH. На свежем VPS с Ubuntu или Debian это занимает несколько минут. Затем выгрузите файл .conf и импортируйте его в WG Connect на Apple TV.

Вручную: amneziawg-go или модуль ядра

Сервер доступен в двух вариантах:

• Модуль ядра (DKMS): быстрее, требует VPS с виртуализацией KVM и ядра с поддержкой DKMS. Большинство дешёвых тарифов подходят.
• Пользовательское пространство (amneziawg-go): медленнее на несколько процентов, но работает где угодно — включая контейнеры OpenVZ и LXC, где модули ядра не загрузить. Полезно знать, если провайдер не даёт KVM по нужной вам цене.

Репозитории и инструкции лежат в GitHub-организации Amnezia VPN.

Импорт в WG Connect

WG Connect относится к вашему собственному профилю ровно так же, как к коммерческому. Без переключателей. Без режима эксперта.

1. Выгрузите клиентский .conf с сервера (или возьмите его с компьютера, если установщик сохранил файл там)
2. На Apple TV: Добавить профиль → Загрузить с телефона
3. Отсканируйте QR-код телефоном, перетащите туда .conf — Apple TV заберёт его по локальной сети
4. Подключитесь — WG Connect определит, обычный это WireGuard или AmneziaWG (1.0 / 2.0), и покажет активный протокол на экране деталей профиля

Можно держать несколько профилей сразу — скажем, свой в Германии и один Mullvad для стриминга — и переключаться в два клика с главного экрана.

Компромиссы, о которых не пишут в рекламе

• Детект IP дата-центров. Стриминговые сервисы ведут списки блокировок по ASN. Свежий IP у Hetzner или Contabo может открыть Netflix сегодня и перестать работать через месяц. У коммерческих VPN этим заняты целые команды, которые меняют IP быстрее, чем их успевают вычислить. С одним VPS так не выйдет.
• Единая точка отказа. Упал VPS — упал VPN. Никакого переключения на «другой сервер в Германии» не будет. Делайте снапшот и держите план восстановления либо смиритесь с редкими простоями.
• Одна страна. Можно поднять второй VPS в другой стране, но каждый обойдётся ещё в 3–6 €/мес. Именно здесь ценность коммерческого VPN становится ощутимой, если выбор стран вам действительно нужен.
• Этот IP — ваш. Когда на IP приходит уведомление о нарушении авторских прав, оно адресовано вам. Когда сайт банит IP за злоупотребления, банят именно ваш туннель. Многим так даже удобнее — меньше неоднозначности, чем при общем IP на тысячи человек. Кому-то нет.
• Обновления на вас. Автоматические обновления безопасности в Ubuntu закрывают почти всё, но раз в несколько недель на машину стоит заглядывать. apt update && apt upgrade — необходимый минимум.

Когда свой сервер — правильный выбор

• Вам нужна фиксированная невысокая ежемесячная стоимость без хитрых автопродлений потребительских VPN
• Вы по умолчанию скептичны к заявлениям об отсутствии логов и хотите держать доверие в своих руках
• Вам нужен стабильный многоразовый IP — для доступа к собственным сервисам, для белых списков или для привязки к региону
• Вы хотите обходить блокировку VPN по DPI с помощью AmneziaWG и не платить коммерческому провайдеру, который может её поддерживать, а может и нет
• VPS попутно делает что-то ещё: личный сайт, хранилище резервных копий, небольшой игровой сервер

Когда выигрывает коммерческий VPN

• Вам нужен глобальный выбор серверов и переключение страны в один клик
• Разблокировка стриминговых сервисов — основной сценарий
• Вы вообще не хотите думать про Linux
• Вы много путешествуете и предпочитаете IP, который делите с тысячами других

Многие пользователи WG Connect держат и то и другое: дешёвый VPS для повседневного трафика и доверия плюс коммерческий WireGuard-профиль (Mullvad, IVPN, AzireVPN) на те случаи, когда выбор страны действительно важен.

Частые вопросы