WireGuard : installer un VPN sur son serveur

Ce guide suit la documentation d'installation de WireGuard, son guide de démarrage, les pages de manuel d'Ubuntu 26.04 wg et wg-quick (celles de Debian 13 sont wg et wg-quick), et la page d'Ubuntu Utiliser le VPN comme passerelle par défaut, relues le 14 octobre 2026. Les commandes valent pour Ubuntu 26.04 et Debian 13. Les adresses 10.8.0.x sont un exemple de réseau privé pour le VPN.

Installer WireGuard et créer les clés du serveur

1. Installez le paquet : sudo apt install wireguard
2. Créez la paire de clés du serveur, lisible par vous seul, puis rangez-la : (umask 077 && wg genkey > serveur.key && wg pubkey < serveur.key > serveur.pub), puis sudo mv serveur.key serveur.pub /etc/wireguard/
3. Notez le nom de l'interface réseau du serveur, celle qui sort sur Internet : ip route show default. Il suit le mot dev, par exemple eth0.

La clé privée ne quitte jamais le serveur. Seule la clé publique, dans serveur.pub, se recopie sur les appareils.

Configurer le serveur

1. Créez le fichier /etc/wireguard/wg0.conf avec le contenu suivant, en remplaçant eth0 par le nom de l'interface relevé avant la configuration. Le nom du fichier devient celui de l'interface VPN, wg0.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PostUp = wg set %i private-key /etc/wireguard/serveur.key
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostUp = iptables -I DOCKER-USER -i %i -o eth0 -j ACCEPT
PostUp = iptables -I DOCKER-USER -i eth0 -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -D DOCKER-USER -i %i -o eth0 -j ACCEPT
PostDown = iptables -D DOCKER-USER -i eth0 -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

[Peer]
PublicKey = CLE_PUBLIQUE_DU_CLIENT
AllowedIPs = 10.8.0.2/32

2. Autorisez le serveur à relayer le trafic : créez /etc/sysctl.d/70-wireguard-routing.conf contenant la ligne net.ipv4.ip_forward = 1, puis appliquez-le avec sudo sysctl -p /etc/sysctl.d/70-wireguard-routing.conf
3. Au démarrage du serveur, faites attendre Docker par WireGuard. Les règles DOCKER-USER du fichier visent une chaîne que Docker crée en démarrant : si WireGuard part avant lui, la règle échoue et wg-quick retire l'interface. Ouvrez sudo systemctl edit wg-quick@wg0, ajoutez les trois lignes suivantes, puis enregistrez. D'après la page de manuel de systemd, After= fixe l'ordre et Requires= empêche WireGuard de démarrer si Docker échoue. Conséquence : arrêter Docker, ou une mise à jour de Docker qui l'arrête, arrête aussi WireGuard ; relancez-le ensuite avec sudo systemctl start wg-quick@wg0. Sans Docker sur le serveur, sautez cette étape.

[Unit]
After=docker.service
Requires=docker.service

4. Démarrez WireGuard, et au démarrage du serveur : sudo systemctl enable --now wg-quick@wg0

Ce que font les lignes de wg0.conf :

• PostUp = wg set %i private-key … charge la clé privée depuis son fichier, comme dans l'exemple d'Ubuntu, au lieu de l'écrire dans la configuration. %i est remplacé par le nom de l'interface.
• La règle MASQUERADE fait sortir sur Internet, sous l'adresse du serveur, le trafic venu du VPN.
• Les deux règles DOCKER-USER existent parce que Docker, quand il est installé, bloque par défaut le trafic relayé entre deux interfaces. La documentation de Docker sur iptables indique d'ajouter une règle dans la chaîne DOCKER-USER pour l'autoriser. Sans Docker sur le serveur, cette chaîne n'existe pas : retirez les quatre lignes qui la citent.
• [Peer] décrit un appareil autorisé : sa clé publique et l'adresse qu'il prend dans le VPN. Ajoutez une section [Peer] par appareil, chacun avec sa propre adresse.

Ouvrir le port UDP

WireGuard écoute en UDP sur le port de ListenPort, 51820 ici. Ouvrez-le en UDP dans le pare-feu qui protège le serveur, voir Ouvrir un port. Une règle en TCP ne suffit pas.

Configurer un ordinateur ou un téléphone

1. Installez l'application WireGuard de votre système, depuis la page d'installation officielle.
2. Créez un tunnel vide : l'application génère la paire de clés de l'appareil et affiche sa clé publique.
3. Complétez la configuration comme ci-dessous, avec la clé publique du serveur et son adresse.
4. Recopiez la clé publique de l'appareil à la place de CLE_PUBLIQUE_DU_CLIENT dans wg0.conf sur le serveur, puis redémarrez l'interface : sudo systemctl restart wg-quick@wg0
5. Activez le tunnel dans l'application.

[Interface]
PrivateKey = (générée par l'application)
Address = 10.8.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = CLE_PUBLIQUE_DU_SERVEUR
Endpoint = adresse-du-serveur:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0 envoie tout le trafic IPv4 de l'appareil dans le VPN. Le trafic IPv6, lui, n'y est pas couvert : si votre réseau en fournit, il continue de sortir directement, hors du tunnel. Pour ne joindre que le serveur et son réseau privé, écrivez 10.8.0.0/24 à la place. PersistentKeepalive = 25 envoie un paquet toutes les 25 secondes, la valeur que suggère la page de manuel de wg pour un appareil placé derrière un routeur ou un réseau mobile. DNS désigne le résolveur utilisé tant que le tunnel est actif.

La clé privée de l'appareil reste dans l'application qui l'a créée : ne la recopiez ni sur le serveur ni dans un message.

Vérifier

Sur le serveur, sudo wg show liste les appareils. Une ligne « latest handshake » récente prouve que l'échange a eu lieu. Depuis l'appareil, un site qui affiche votre adresse IP doit montrer celle du serveur.

Sur un VPS Hubspace

Le pare-feu réseau placé devant le serveur ne laisse passer que 22, 80 et 443 : le port UDP de WireGuard est donc fermé tant que vous ne l'ouvrez pas. Dans votre espace client, sur votre VPS, onglet « Firewalls », créez un pare-feu avec une règle UDP sur 51820, elle s'ajoute aux nôtres. Il n'y a pas d'ufw sur le serveur. Docker est installé à la livraison : gardez les règles DOCKER-USER du fichier. Les serveurs VPS décrivent ce qui est livré.

Questions fréquentes