VPN sur VPS à 5 dollars en 2026 : guide pas à pas — Hetzner et Contabo

Introduction

Vous allez obtenir un serveur VPN personnel sur un VPS à 5 dollars, configuré selon toutes les règles de sécurité et prêt à fonctionner sur téléphone, ordinateur portable et fixe. Nous allons déployer WireGuard, un protocole rapide et moderne, avec une option OpenVPN pour la compatibilité, activer un pare-feu et les mises à jour automatiques, configurer les profils clients et déboguer le routage. À la fin, vous aurez un système de gestion clair et des instructions pour gérer les éventuelles pannes.

Ce guide s'adresse aux débutants, mais inclut aussi des sections pour utilisateurs avancés : réglages fins de UFW et sysctl, gestion d’IPv6, contrôle des accès, extension OpenVPN, options de surveillance. Nous avancerons étape par étape, sans sauts, avec des vérifications à chaque phase.

Ce qu’il faut savoir avant de commencer. Il suffit de savoir copier des commandes et comprendre où les lancer. Les termes sont expliqués simplement. Pas besoin de connaissances Linux poussées, mais si vous connaissez SSH et apt, ce sera plus facile.

Durée estimée. L'installation basique et les vérifications prennent environ 2-3 heures. Comptez 3-5 heures avec les réglages avancés et OpenVPN. La majorité du temps sera consacrée aux vérifications minutieuses et au transfert des profils vers les appareils.

Préparatifs

Outils et accès nécessaires. Vous aurez besoin d’un compte chez un fournisseur VPS, idéalement deux cartes de paiement pour parer à un éventuel échec de transaction, ainsi que d’un appareil pour gérer le serveur : Windows, macOS ou Linux. Sur Windows, on utilisera un terminal et un client SSH. macOS et Linux ont le terminal intégré. Il faut une connexion internet stable et 30-60 minutes ininterrompues pour chaque grande étape.

Configuration système requise. Pour WireGuard et OpenVPN, 1 CPU virtuel, 1 Go de RAM et 20-40 Go de stockage suffisent. Si vous prévoyez plus de 10 clients ou du streaming intensif, préférez 2 Go de RAM. La bande passante dépend du forfait choisi et du réseau effectivement disponible. En général, les configurations minimales chez Hetzner et Contabo supportent le trafic domestique et le streaming Full HD.

Ce qu’il faut installer sur votre ordinateur. Sur Windows, installez un client SSH, par exemple via le composant SSH intégré aux versions récentes. macOS et Linux disposent déjà de SSH. Prenez un éditeur de texte pour modifier les configs, par exemple le Bloc-notes ou tout autre. Pour mobile, téléchargez à l’avance les apps clientes WireGuard et OpenVPN depuis les boutiques officielles, mais installez-les après la configuration du serveur.

Création de sauvegardes. Pour l’instant rien à sauvegarder, mais plus tard on configurera la sauvegarde des configs VPN. Préparez dès maintenant un dossier sur votre PC local pour stocker clés et configs clients. Donnez-lui un nom clair, par exemple VPN-configs, et ne le synchronisez pas avec des clouds publics. Les fichiers contiennent des clés privées.

Concepts de base

Termes clés en langage simple. VPS est un serveur virtuel distant dans un data center. Vous obtenez son IP publique et tous droits administrateur. VPN crée un tunnel chiffré entre votre appareil et le serveur. WireGuard est un protocole moderne et rapide, basé sur une paire de clés, facile à configurer. OpenVPN est un classique polyvalent, souvent nécessaire pour les anciens appareils ou réseaux d’entreprise. UFW est une interface simple pour gérer le pare-feu. SSH permet une connexion sécurisée au serveur via terminal.

Fonctionnement. L’appareil envoie son trafic via un tunnel chiffré vers le VPS. Le serveur remplace l’adresse source par sa propre IP et transmet le trafic sur internet. Les réponses reviennent au VPS puis au tunnel vers vous. La sécurité repose sur la cryptographie et des règles de pare-feu limitant l’accès externe. Un routage précis évite les fuites qui dévoileraient votre IP réelle.

Points importants avant de débuter. Deux notions essentielles : sécurité et reproductibilité. On va limiter les services activés sur le serveur, interdire le superflu, activer les mises à jour et versionner logiquement les configs. Vous pourrez toujours ajouter des clients, révoquer un profil perdu, ou migrer vers un autre fournisseur. Suivez le guide et vérifiez chaque résultat intermédiaire.

Étape 1 : Choisir et commander un VPS à 5 dollars chez Hetzner ou Contabo

Objectif

Obtenir un VPS fonctionnel avec IP publique, Ubuntu LTS installé et accès SSH correctement configuré.

Instructions pas à pas

1. Connectez-vous au tableau de bord de votre fournisseur, puis lancez la création d’un nouveau serveur.
2. Choisissez une région. Celle la plus proche réduit la latence. En Europe, privilégiez l’Allemagne ou les Pays-Bas. Aux USA, la côte Est ou Ouest. Pour un usage mixte, prenez l’Europe centrale.
3. Sélectionnez l’image système. Nous recommandons Ubuntu 24.04 LTS, avec un long support et tous les paquets nécessaires.
4. Choisissez la taille du forfait. Pour environ 5 dollars, optez pour 1 vCPU, 1 Go de RAM et 20-40 Go de disque. Vérifiez le prix réel dans l’interface : il peut varier selon devise et taxes.
5. Laissez les paramètres réseau par défaut. Activez IPv6 si disponible, utile pour compatibilité et tests.
6. Générez ou ajoutez une clé SSH. Si aucune clé n’est disponible, on en créera une à l’étape suivante et laissera l’accès par mot de passe temporairement. Si possible, définissez un mot de passe complexe, gardez-le précieusement.
7. Validez la commande et attendez le démarrage de l’instance. Notez l’IP publique et le nom d’hôte affichés.

⚠️ Attention : Certains fournisseurs interdisent des types de trafic ou d’activités. Vérifiez les conditions d’utilisation dans votre pays et avec votre fournisseur. N’utilisez pas le VPN pour des activités illégales.

Astuce : Si vous hésitez entre Hetzner et Contabo, choisissez en fonction de la proximité du data center et de la facilité d’utilisation du panneau. Migrer la configuration plus tard est simple si vous conservez bien les fichiers.

✅ Vérification : Serveur créé, IP visible, statut actif. Ubuntu 24.04 LTS installé et accès SSH activé apparaissent dans le panneau.

Problèmes possibles et solutions

• Serveur ne démarre pas : l’instabilité du fournisseur. Annulez et recréez ou changez de région.
• Absence d’IPv6 : forfait ou plateforme sans support. Continuez avec IPv4, ce n’est pas bloquant.
• Paiement refusé : limite bancaire. Utilisez une autre carte ou moyen accepté par le fournisseur.

Étape 2 : Première connexion SSH et vérification basique du système

Objectif

Se connecter au VPS, confirmer son accessibilité et les versions système, vérifier les interfaces réseau.

Instructions

1. Ouvrez un terminal sur votre ordinateur. Sous Windows, utilisez le Terminal Windows. Sous macOS ou Linux, ouvrez le Terminal standard.
2. Exécutez ssh utilisateur@IP_serveur. Si aucun utilisateur personnalisé, essayez root ou ubuntu selon l’image. Cette info est dans le panneau du fournisseur.
3. Au premier accès, validez l’empreinte de clé du serveur. C’est normal. La machine vous demandera confirmation, acceptez.
4. Entrez le mot de passe si demandé, sinon vous devez pouvoir entrer directement si accès par clé configuré.
5. Vérifiez la version OS avec cat /etc/os-release, assurez-vous que c’est Ubuntu 24.04 LTS.
6. Vérifiez les interfaces réseau avec ip a : vous devez voir eth0 ou ens3 et une adresse externe, ainsi qu’IPv6 si activé.

Astuce : Activez l’historique des commandes. Après chaque étape importante, copiez les commandes dans un fichier local pour faciliter le débogage ou refaire la procédure.

✅ Vérification : Connexion SSH réussie, invite de commande affichée, version Ubuntu confirmée, interface réseau avec IPv4 et IPv6 visibles.

Problèmes et solutions

• Connexion SSH impossible : port fermé ou IP erronée. Vérifiez IP/port, redémarrez serveur depuis panel, vérifiez pare-feu.
• Délai de connexion dépassé : problème réseau ou identifiant erroné. Confirmez utilisateur et statut du serveur.
• Empreinte de clé incorrecte : serveur recréé à la même IP. Supprimez entrée dans known_hosts locale.

Étape 3 : Sécurisation initiale — mises à jour, utilisateurs, clés SSH et pare-feu

Objectif

Protéger le serveur des attaques usuelles, limiter l’accès par mot de passe, activer UFW et préparer l’installation VPN.

Instructions

1. Mettre à jour les paquets avec apt update puis apt upgrade, confirmez et attendez la fin.
2. Installer utilitaires de base : sudo, ufw, htop, curl, qrencode. Le paquet qrencode facilite le transfert des configs via QR code. Installez curl si absent, utile au diagnostic.
3. Créer un utilisateur dédié avec droits sudo : ajoutez un utilisateur, attribuez un mot de passe fiable, ajoutez-le au groupe sudo.
4. Générez une paire de clés SSH sur votre machine locale si nécessaire. Sous Windows, commande intégrée dans le client SSH, macOS/Linux idem. Protégez bien la clé privée.
5. Copiez la clé publique sur le serveur pour ce nouvel utilisateur via ssh-copy-id ou manuellement. Vérifiez que la clé est dans le fichier authorized_keys.
6. Interdire l’accès SSH par mot de passe : éditez la configuration SSH du serveur, trouvez PasswordAuthentication et mettez sur no. Assurez-vous que l’accès par clés est activé.
7. Redémarrez le service SSH. Testez la nouvelle connexion avant de fermer la session actuelle.
8. Ouvrez une nouvelle fenêtre de terminal, connectez-vous avec le nouvel utilisateur par clé. Confirmez que l’accès marche.
9. Activez UFW et configurez-le : autorisez le port 22 pour SSH, mettez la politique par défaut entrante sur deny, sortante sur allow. Activez UFW et vérifiez la connexion ssh active.

⚠️ Attention : Ne fermez jamais votre unique session SSH avant d’avoir testé la nouvelle connexion, sinon perte d’accès et recours à la console du fournisseur.

Astuce : Si vous avez une IP fixe chez vous, limitez l’accès SSH à cette IP dans UFW en créant une règle spécifique et supprimez la règle générale pour ssh.

✅ Vérification : Vous vous connectez avec le nouvel utilisateur par clé, accès par mot de passe désactivé, UFW actif avec autorisation SSH et blocage du reste.

Problèmes classiques et solutions

• Perte d’accès SSH après changement : erreur dans config. Utilisez la console du panel pour restaurer et refaire calmement.
• UFW bloque SSH : oubli de la règle allow, ajoutez-la et activez à nouveau.
• Erreur ajout clé : permissions incorrectes sur dossier .ssh ou authorized_keys, vérifiez droits et propriétaire.

Étape 4 : Installation et configuration basique de WireGuard sur le serveur

Objectif

Installer WireGuard, générer les clés serveur, configurer le tunnel, activer routage et NAT pour l’accès internet via VPS.

Instructions

1. Installer WireGuard avec apt install wireguard, attendez la fin.
2. Créer un dossier pour les clés avec permissions strictes, créez les fichiers de clé privée et publique du serveur.
3. Générer les clés WireGuard pour le serveur, sauvegardez la clé privée secrètement et extrayez la clé publique.
4. Configurer le sous-réseau VPN : on utilise 10.8.0.0 en IPv4 et fd86 pour IPv6 ULA, le serveur aura 10.8.0.1 et une adresse IPv6 correspondante. Ce seront les adresses de l’interface wg0.
5. Créer la configuration WireGuard du serveur dans etc/wireguard/wg0.conf. Dans la section Interface, indiquez Address 10.8.0.1/24 et l’IPv6 locale, port d’écoute 51820 UDP, clé privée, SaveConfig à true. Ajoutez PostUp/PostDown pour NAT et forwarding, avec iptables. Dans PostUp, ajoutez règles de forwarding et masquerading pour interface sortante, habituellement eth0 ou ens3. Supprimez ces règles dans PostDown.
6. Activer le forwarding IP dans le système : créez un fichier dans sysctl.d avec net.ipv4.ip_forward=1 et net.ipv6.conf.all.forwarding=1, appliquez avec sysctl --system.
7. Ouvrir le port WireGuard dans UFW : autorisez UDP 51820, vérifiez le statut.
8. Lancer l’interface WireGuard avec wg-quick up wg0, assurez-vous que ça démarre sans erreur. Activez le démarrage automatique systemctl enable wg-quick@wg0.
9. Confirmer que wg0 est actif : ip a doit montrer les adresses 10.8.0.1 et IPv6 sur wg0.

Astuce : Si votre interface réseau n’est pas eth0 mais autre (vérifiez avec ip route show default), adaptez les règles PostUp/PostDown en conséquence.

✅ Vérification : wg show affiche wg0 sans pairs pour l’instant, UFW autorise UDP 51820, ip a liste l’adresse 10.8.0.1 sur wg0, forwarding activé.

Problèmes fréquents et solutions

• Erreur wg-quick au démarrage : faute de syntaxe dans config, vérifiez fichier, espaces vides, droits clés.
• Forwarding non actif : sysctl non appliqué, relancez sysctl --system et vérifiez.
• Port inaccessible de l’extérieur : UFW bloque UDP 51820 ou pare-feu fournisseur, ajoutez règle UFW et configurez panneau firewall.

Étape 5 : Création des profils clients WireGuard et connexion des appareils

Objectif

Générer clés clients, les enregistrer sur le serveur, préparer les fichiers pour téléphones et ordinateurs, connecter et vérifier le trafic.

Instructions

1. Générez une paire de clés client sur le serveur ou en local (plus pratique côté serveur). Créez un dossier etc/wireguard/clients et sous-dossiers nommés par client, ex. phone ou laptop.
2. Pour chaque client, créez fichier clé privée et publique, attribuez des permissions strictes.
3. Choisissez l’IP client dans le réseau VPN : 10.8.0.2 pour le premier, et IPv6 correspondant dans la plage ULA. Retenez ces adresses.
4. Ajoutez une section Peer au fichier wg0.conf du serveur pour chaque client, avec clé publique, AllowedIPs 10.8.0.2/32 et IPv6/128. Sauvegardez. Si SaveConfig=true, vous pouvez ajouter via wg set puis sauvegarder.
5. Créez le fichier config client : dans Interface, renseignez PrivateKey client, Address client avec IPv4 et IPv6, DNS public comme 1.1.1.1 et IPv6. Dans Peer, ajoutez PublicKey serveur, Endpoint IP:51820, PersistentKeepalive 25, AllowedIPs 0.0.0.0/0 et ::/0 pour tout le trafic.
6. Redémarrez wg0 ou rechargez configuration pour appliquer les pairs.
7. Exportez le config client sur l’appareil. Pour téléphone, générez un QR code depuis le texte config et importez via l’app WireGuard. Pour PC, transférez le fichier avec SCP dans un dossier sécurisé.
8. Activez le tunnel sur le client, assurez-vous que le statut est connecté avec l’heure du dernier handshake.

Astuce : Donnez des noms explicites aux profils pour faciliter la gestion, par ex. phone-ivan ou macbook-work.

✅ Vérification : wg show sur serveur montre le client avec clé publique et dernier handshake, trafic reçu/envoyé. Sur client, profil actif et connecté.

Problèmes communs et solutions

• Client ne se connecte pas : Endpoint erroné ou port bloqué. Vérifiez IP serveur, port UDP 51820 dans UFW, redémarrez service.
• Connexion OK mais pas d’internet : pas de NAT ou règles forwarding manquantes. Vérifiez sysctl et PostUp, interface sortie correcte.
• Import fichier impossible sur téléphone : encodage incorrect ou fichier incomplet. Ouvrez en éditeur simple et vérifiez clés et sections.

Étape 6 : Test du trafic et protection contre fuites DNS et IPv6

Objectif

Vérifier que tout le trafic passe par le VPN, bloquer les fuites DNS et gérer correctement IPv6 pour éviter que certaines apps contournent le tunnel.

Instructions

1. Vérifiez la route sur client. Sur PC, affichez la table de routage — la route par défaut doit passer par WireGuard. Sur mobile, suivez le statut de l’app et la réussite des requêtes.
2. Assurez-vous que les requêtes DNS utilisent bien les serveurs définis. Le client redirige la résolution via le tunnel. Vérifiez les réglages DNS système.
3. Contrôlez qu’il n’y ait pas de fuite IPv6. Le paramètre AllowedIPs doit inclure ::/0. Si le fournisseur ne fournit pas d’IPv6, assurez-vous que le client ne tente pas d’envoyer IPv6 hors tunnel.
4. Testez l’accès à quelques sites et streaming vidéo. Évaluez stabilité, latence et débit. La vitesse dépend de la localisation du serveur, du forfait, et de la charge réseau.
5. Sur le serveur, lancez wg show, les compteurs doivent augmenter en temps réel avec l’usage Internet du client.

Astuce : Pour vérifier les fuites, vous pouvez désactiver temporairement l’interface réseau physique client en ne laissant que VPN actif. Plus simple : vérifiez minutieusement les routes et le comportement des applications. Certaines ont des configurations proxy spécifiques qu’il faut vérifier.

✅ Vérification : Internet fonctionne sur client, la confidentialité est assurée, compteurs serveur augmentent, routes dirigent via wg0, journaux sans erreurs.

Problèmes et solutions

• Latence élevée et faible débit : région trop éloignée ou forfait saturé. Changez de région ou optez pour un forfait avec meilleure connexion.
• Fuites DNS : résolveur système ignore configuration client. Réindiquez DNS dans config ou activez l’option d’application DNS sur client.
• Fuites IPv6 : oubliez ::/0 dans AllowedIPs. Ajoutez et redémarrez le tunnel.

Étape 7 : Alternative et compatibilité — configuration OpenVPN sur le même VPS

Objectif

Installer OpenVPN comme protocole de secours ou pour compatibilité avec appareils ne supportant pas WireGuard.

Instructions

1. Installez openvpn et easy-rsa avec apt install. Cela installe le serveur et les outils de clés/certificats.
2. Initialisez l’infrastructure PKI : créez un dossier pour la PKI, générez la CA avec mot de passe sécurisé et valeurs par défaut, créez certificats serveur et client, signez-les, créez paramètres Diffie-Hellman.
3. Créez la config serveur OpenVPN dans server.conf : port 1194 UDP, protocole udp, dev tun, pool client 10.9.0.0/24, activation du push redirect-gateway def1 et DNS, chemins clés et certificats, client-config-dir pour configs individuelles éventuelles, keepalive activé, compression désactivée pour la sécurité.
4. Ouvrez le port 1194 UDP dans UFW et vérifiez le statut du firewall.
5. Configurez forwarding et NAT pour OpenVPN. Forwarding déjà activé fonctionne aussi pour OpenVPN. Ajoutez règle masquerading pour le subnet 10.9.0.0 si PostUp de WireGuard ne couvre pas. Sinon configurez un bloc NAT dans UFW englobant 10.8.0.0 et 10.9.0.0.
6. Démarrez le service OpenVPN et activez l’auto-démarrage. Vérifiez qu’il fonctionne sans erreurs et que le port écoute.
7. Créez le profil client .ovpn : regroupez tous paramètres client, adresse/port serveur 1194, protocole udp, dev tun, ca, cert, key et tls-auth si utilisé. Utilisez les certificats en ligne pour faciliter le transfert vers mobile.
8. Importez le profil dans l’app officielle OpenVPN, connectez-vous et vérifiez la route et l’accès Internet.

Astuce : Conservez les profils OpenVPN séparément des WireGuard, nommez-les clairement, ex. phone-wg.conf et phone-ovpn.ovpn.

✅ Vérification : Service OpenVPN actif, logs sans erreur, client connecté avec IP dans 10.9.0.0, trafic routé via serveur.

Problèmes habituels et solutions

• OpenVPN ne démarre pas : erreurs sur chemins ou formats clés. Revérifiez config et permissions.
• Client sans routes : push directives manquantes. Ajoutez push redirect-gateway def1 et push DNS.
• Conflit de ports : port utilisé par un autre processus. Choisissez un port libre ou libérez le port actuel.

Étape 8 : Exploitation — surveillance, sauvegardes et restauration

Objectif

Assurer la stabilité du VPN, automatiser mises à jour, sauvegarder configs et avoir un plan de reprise rapide.

Instructions

1. Activez les mises à jour automatiques avec le paquet unattended-upgrades, vérifiez son état. Cela réduit les risques liés aux failles.
2. Configurez la sauvegarde des configs : archivez les fichiers WireGuard et OpenVPN, y compris clés et profils clients. Copiez l’archive vers votre PC local et un stockage chiffré. Ne gardez pas une seule copie sur le serveur.
3. Tenez un journal des changements : à chaque ajout client ou modification du pare-feu, notez la date et un résumé.
4. Surveillez la disponibilité : testez périodiquement les ports WireGuard et la connexion SSH. Utilisez des timers système pour contrôle et redémarrage en cas de plantage.
5. Préparez un plan de restauration : étapes pour déployer un nouveau serveur chez le même fournisseur, installer WireGuard, déployer configs/clefs sauvegardées, ouvrir les ports et vérifier accès. Gardez ce plan avec les archives.
6. Consultez régulièrement les logs : systemd pour wg-quick, openvpn et état UFW. Cela aide à détecter précocement des anomalies.

Astuce : Protégez vos archives clés avec un mot de passe et stockez-les dans un conteneur sécurisé. Vérifiez régulièrement que vous pouvez déchiffrer les sauvegardes sur un autre appareil avant d’en avoir besoin.

✅ Vérification : Mises à jour auto activées, sauvegardes réalisées et testées, logs clairs, services actifs après reboot, plan de récupération documenté et compréhensible.

Problèmes courants et solutions

• Mise à jour auto redémarre des services : noyau ou paquets réseau mis à jour. Planifiez fenêtres de maintenance, contrôlez manuellement mises à jour majeures.
• Sauvegardes périmées : oublis de ré-archivage après modification. Automatisez archives selon planning.
• Surveillance ne détecte pas downtime : pas assez de vérifications port. Ajoutez un test explicite UDP 51820 et journalisez résultats.

Vérification finale

Checklist de fonctionnement

• Connexion SSH par clé sous utilisateur dédié sans mot de passe.
• UFW actif, ports 22 et 51820 ouverts, optionnellement 1194.
• WireGuard lancé, interface wg0 visible avec IP 10.8.0.1.
• Profil client connecté, handshake effectif, compteur trafic en hausse.
• Route par défaut via VPN, DNS et IPv6 sans fuite.
• Sauvegardes des configs créées et vérifiées.

Comment tester

• Désactivez/réactivez le profil client, vérifiez que l’Internet n’apparaît qu’avec le tunnel actif si routes par défaut configurées.
• Testez accès à des sites restreints par région, vérifiez qu’ils passent par la région du serveur.
• Vérifiez la stabilité des connexions après redémarrage serveur et client.

Indicateurs de succès

• Connexion établie en quelques secondes.
• Flux vidéo sans buffering excessif.
• Pas d’erreurs dans les logs WireGuard et OpenVPN.

Erreurs typiques et solutions

• Client connecté mais pas d’internet : NAT absent ou forwarding éteint. Ajoutez masquerade sur interface sortante et activez paramètres sysctl, redémarrez wg-quick.
• Client ne se connecte pas : port 51820 UDP bloqué par UFW. Autorisez le port ou désactivez temporairement pare-feu strict hôte si externe.
• Handshake OK mais pas de trafic : AllowedIPs client incomplet. Ajoutez 0.0.0.0/0 et ::/0 dans profil client.
• Déconnexions soudaines : fournisseur bride le trafic UDP. Ajoutez PersistentKeepalive 25, envisagez changer de région ou fournisseur.
• Conflits d’adresses : réseau local overlap VPN. Choisissez un autre subnet VPN, ex. 10.10.0.0/24, reconfigurez les adresses.
• Import OpenVPN impossible : pas de certificats en ligne ou chemins erronés. Intégrez certificats dans profil et vérifiez format.
• Perte d’accès SSH : règles UFW trop strictes ou changement de port sans ouverture. Restaurez via console fournisseur, corrigez règles.

Fonctionnalités supplémentaires

Réglages avancés

• Tunneling sélectif : ne routez que certains sous-réseaux via VPN, avec AllowedIPs spécifiques au lieu de 0.0.0.0/0 et ::/0, utile pour isoler par ex. réseau bureau.
• Politiques d’accès : segmentez clients par sous-réseaux, empêchez la visibilité mutuelle. Donnez à chaque client des AllowedIPs limitées au serveur et aux routes nécessaires.
• IPv6 via tunnel : si VPS possède IPv6 réel, attribuez les adresses aux clients sans NAT, augmentant transparence et parfois performance.
• Remplacement d’iptables par nftables : les systèmes récents basculent vers nft. Adaptez PostUp/PostDown pour simplifier les règles et leur lisibilité.
• Changement de port WireGuard : utiliser un port non standard peut améliorer la résilience face au shaping. N’oubliez pas de mettre à jour UFW et configs clients.

Optimisation

• Ajustement du MTU : dans certains réseaux, réduire le MTU du tunnel à environ 1380 améliore la stabilité. Spécifiez MTU dans Interface et testez la connexion.
• Compression inutile avec WireGuard : il est rapide sans compression. Evitez la compression en OpenVPN pour la sécurité, les canaux modernes sont assez rapides.
• Multi-régions : si vous voyagez souvent, déployez un second serveur dans une autre région, conservez deux profils clients et changez selon le besoin.

Autres idées

• Ajoutez une authentification à deux facteurs pour SSH afin de renforcer la sécurité.
• Configurez la journalisation des connexions au niveau pare-feu sans stocker les actions des utilisateurs dans le tunnel, pour garder le VPN sans logs.
• Automatisez l’ajout de clients avec des scripts pour simplifier la maintenance et réduire les erreurs.

FAQ

Comment choisir la région pour minimiser la latence Optez pour le data center le plus proche de votre zone géographique réelle. En Europe, privilégiez l’Europe centrale ou du Nord. Aux États-Unis, la côte Est ou Ouest selon votre localisation.

Combien de clients un VPS à 5 dollars peut-il supporter Pour un usage domestique classique, 5 à 10 clients sans problème. Pour streaming 4K simultané sur plusieurs appareils, il faudra plus de ressources.

Faut-il un IP statique chez le fournisseur à la maison Non, un IP statique facilite la restriction SSH par IP mais n’est pas obligatoire. WireGuard fonctionne sur tous types de connexions, y compris mobiles.

Peut-on restreindre l’accès à certains sites via VPN Oui, configurez les règles client en définissant les sous-réseaux autorisés dans AllowedIPs. Le reste du trafic passe directement.

Comment révoquer rapidement un profil perdu Supprimez la section Peer correspondante dans la config serveur et sauvegardez, ou utilisez wg set pour retirer la clé publique.

Que faire si l'internet disparaît après une mise à jour Vérifiez que le nom d’interface par défaut n’a pas changé, que les règles PostUp/PostDown ciblent la bonne interface. Revoyez UFW et réappliquez sysctl.

Peut-on combiner WireGuard et OpenVPN sur un même VPS Oui, en utilisant des ports distincts et un routage soigné, ils cohabitent bien. Veillez à ce que les pools d’adresses ne se chevauchent pas.

Quels DNS choisir pour les profils Utilisez des résolveurs publics rapides et fiables, avec une IP directe pour éviter les erreurs de syntaxe liées aux noms de domaine.

Comment migrer un serveur chez un autre fournisseur Déployez une nouvelle machine, installez WireGuard, copiez configs et clés, ouvrez les ports nécessaires et mettez à jour les Endpoints clients.

Est-il sûr de garder les configs client sur un téléphone Gardez votre téléphone protégé par verrouillage écran, ne partagez pas les configs dans les messageries. Idéalement, importez-les via QR Code depuis le serveur sans stocker les fichiers en accès public.

Conclusion

Nous avons parcouru tout le chemin, du choix d’un VPS chez Hetzner ou Contabo à la mise en place d’un VPN personnel WireGuard avec option OpenVPN. Vous avez configuré un accès SSH sécurisé, activé un pare-feu, généré des clés, créé des profils clients, vérifié les routes et bloqué les fuites, activé les mises à jour automatiques et organisé les sauvegardes. Le résultat : un VPN personnel, fiable et maîtrisé, sans partage d’IP avec des tiers, évolutif selon vos besoins et transférable entre fournisseurs.

Si vous souhaitez un résultat immédiat sans manipulation de terminal, considérez une solution prête à l’emploi comme un serveur personnel chez vpn.how. Vous bénéficiez d’une IP dédiée, plusieurs protocoles supportés (WireGuard, OpenVPN, IKEv2, L2TP, SSTP) adaptés selon la tâche, avec des serveurs dans plusieurs villes (Moscou, Saint-Pétersbourg, Amsterdam, Francfort, Londres, New York, San José, Chicago, Singapour, Sydney, Madrid, Helsinki, Stockholm, Varsovie, Copenhague, Stavanger) et des modes paiement adaptés (cartes russes, SBP, crypto). Les tarifs sont compétitifs et permettent des économies sur forfaits longs, et le serveur s’obtient en quelques minutes sans logs. C’est un choix pragmatique quand vous manquez de temps pour configurer et surveiller régulièrement ou si l’urgence prime.

Vous pouvez par la suite enrichir votre solution avec télémétrie avancée, passage à nftables, usage d’IPv6 réel, ou infrastructure multi-serveurs et équilibrage. L’essentiel est que vous disposez d’une base fiable et d’un plan clair pour tous les scénarios.

⚠️ Attention : Toute utilisation de VPN doit respecter la loi de votre pays et les règles du fournisseur. Soyez responsables et conformes.

Astuce : Vérifiez régulièrement les protocoles de connexion de tous vos appareils et supprimez les profils inutilisés. Cela réduit la surface d’attaque et simplifie la gestion.