«Self-hosted VPN» означає три різні речі для трьох різних аудиторій, і більшість оглядових списків зазнають невдачі, бо ставляться до них як до однієї. Користувач, який дбає про приватність і хоче замінити комерційний VPN-сервіс власним вихідним вузлом, вирішує не ту саму задачу, що й команда інженерів із чотирьох осіб, яка підключає домашню лабораторію до AWS. Інструменти перетинаються, але правильний інструмент для однієї задачі рідко є правильним інструментом для іншої.
Цей посібник побудовано саме навколо цього поділу. Три сценарії використання, три основні рекомендації та чесні компроміси, що супроводжують кожен із них. Тут немає покрокових інструкцій із налаштування. Коли визначено правильний інструмент для вашої задачі, далі йдуть посилання на повні посібники з налаштування.
Коротко
- Для особистої приватності як власного вихідного вузла розгорніть WireGuard на невеликому VPS у юрисдикції за межами Five Eyes. WireGuard Easy додає вебінтерфейс, якщо вам це потрібно. OpenVPN — лише тоді, коли ваша мережа блокує UDP.
- Для командної mesh-мережі, що з'єднує ноутбуки, домашні лабораторії та хмарні VPC, Tailscale — прагматична відповідь для більшості команд. Запускайте Headscale або Netmaker лише тоді, коли володіння рівнем керування є частиною вашої моделі загроз.
- Для користувачів у середовищах з обмеженим доступом до інтернету Hiddify Manager — наразі найкраща відповідь. WireGuard і OpenVPN самі по собі не витримують глибокої інспекції пакетів.
- VPS із 1 vCPU та 512 MB справляється з персональним сервером WireGuard із запасом. Вузьке місце — пропускна здатність, а не обчислювальна потужність.
Коли самостійний хостинг VPN справді має сенс
Комерційний VPN дає вам тисячі спільних вихідних IP і нуль обслуговування. Самостійно розгорнутий VPN дає вам рівно одну IP-адресу, одну локацію та повну відповідальність за сервер. Це різні продукти, попри те, як їх часто рекламують.
Самостійний хостинг — правильний вибір, коли справедливе одне з наведеного нижче:
- Ви хочете мінімізувати кількість сторін, які можуть бачити ваш незашифрований трафік. У випадку комерційного VPN це може провайдер. У випадку самостійно розгорнутого VPN — лише ви.
- Вам потрібна конкретна юрисдикція. Франкфурт — для покриття GDPR. Сідней — щоб тестувати австралійські сервіси з геообмеженнями. Швейцарія — для суворішого закону про захист даних (коли дозволяє наявність). Комерційні провайдери приховують це; самостійний хостинг робить це явним.
- Ви з'єднуєте командну інфраструктуру, а не просто маршрутизуєте особистий перегляд вебсторінок.
- Ви перебуваєте в середовищі цензури, де самі комерційні VPN заблоковані.
Самостійний хостинг — неправильний вибір, коли вам потрібне максимальне розмаїття IP для стримінгу, коли ви не хочете обслуговувати сервер Linux або коли ваша модель загроз — це суто «зупинити мого інтернет-провайдера від продажу даних про мій перегляд». Для третього випадку зашифрований DNS плюс ваш наявний браузер виконують більшу частину роботи.
Є одне обмеження, яке варто назвати на початку, бо воно спливає в багатьох чесних обговореннях самостійно розгорнутих VPN. WireGuard за своєю архітектурою зберігає останню побачену IP-адресу кожного піра в стані ядра. Комерційний VPN-провайдер може заявляти «без логів», але ви ніяк не можете це перевірити. Той, хто хостить сам, може це перевірити, і перевірка покаже вам, що ядро справді знає IP, з якої ваш телефон підключався сьогодні вранці. Пом'якшення полягає не в ігноруванні цього; це ротація ключів, видалення стану ядра за розкладом і прийняття цього компромісу.
Сценарій 1: вихідний вузол для особистої приватності
Швидкий вердикт: WireGuard на невеликому VPS у юрисдикції за межами Five Eyes. WireGuard Easy, якщо вам потрібен вебінтерфейс без командного рядка. OpenVPN — лише тоді, коли UDP заблоковано в мережі, з якої ви підключаєтеся.
WireGuard: вибір за замовчуванням
WireGuard — правильна відповідь для сценарію використання вихідного вузла приватності.
Протокол використовує фреймворк Noise для обміну ключами та завершує рукостискання за один цикл обміну. OpenVPN використовує TLS, який потребує кількох циклів обміну та розкриває більше метаданих у процесі. Накладні витрати на затримку для WireGuard зазвичай становлять від 1 до 3 мілісекунд поверх вашого базового з'єднання. OpenVPN додає від 20 до 30 відсотків накладних витрат на затримку за порівнянних умов.
Показники пропускної здатності з рецензованого бенчмарку 2025 року в журналі Computers від MDPI: приблизно 210 Mbps через WireGuard проти 110 Mbps через OpenVPN за однакових умов VM із TCP-тунелюванням. На обладнанні bare-metal із увімкненим модулем ядра «голий» WireGuard видає приблизно 8 Gbps на обладнанні гігабітного класу; обмеженням тут є мережева карта, а не протокол.
Кодова база становить приблизно 4,000 рядків. Кодова база OpenVPN у багато разів більша. Маленька кодова база сама по собі не є безпекою, але вона робить аудити практичними. WireGuard пройшов аудит; він увійшов до основного ядра Linux у 5.6 і є типовим у більшості дистрибутивів.
Конфігурація — це текстовий файл на 12 рядків. Немає причини, щоб вона була складнішою за це. Повну покрокову інструкцію з налаштування задокументовано в нашому блозі, де розглянуто встановлення пакетів, генерацію ключів, конфігурацію пірів та правила брандмауера.
Дешевий, простий VPS справляється з персональним сервером WireGuard із запасом пропускної здатності. Вузьким місцем буде ваше домашнє інтернет-з'єднання, а не сервер. Для більшості читачів дешевого VPS більш ніж достатньо, щоб запустити їхнє налаштування WireGuard.
Порада: WireGuard записує останню побачену IP-адресу кожного піра в стані ядра. Для справжньої приватності без логів прийміть це й виконуйте ротацію ключів або видаляйте стан ядра за розкладом. Не вдавайте, що цього обмеження не існує. Технічна нотатка Proton VPN про приватність WireGuard визнає це у їхньому власному розгортанні.
WireGuard із вебінтерфейсом
Якщо керування пірами з командного рядка вас не приваблює, варто знати про дві обгортки.
WireGuard Easy — це контейнер Docker, який надає вебпанель адміністрування. Він генерує конфігурації пірів, виводить QR-коди для мобільних клієнтів і зберігає все в одному томі конфігурації. Налаштування швидке. Він підходить для особистого використання та невеликих домогосподарств.
WGDashboard — важча альтернатива. Підтримується більше пірів, більше адміністративних функцій, більше часу на налаштування. Воно того варте, якщо ви керуєте 20-plus пірами; інакше WireGuard Easy достатньо.
Коли OpenVPN усе ще має своє місце
OpenVPN не застарів. Він виживає у двох конкретних сценаріях.
Перший — це мережі з обмеженнями, які блокують UDP. WireGuard за своєю архітектурою працює лише через UDP. Корпоративні мережі, готельний WiFi і деякі мобільні оператори блокують увесь UDP-трафік, окрім DNS. OpenVPN може працювати через TCP на port 443, що допомагає йому проходити крізь багато брандмауерів з обмеженнями. Якщо ви регулярно підключаєтеся з мереж, які борються з вами через UDP, OpenVPN — це запасний варіант.
Другий — це широка підтримка застарілих клієнтів. Клієнти OpenVPN існують для кожної операційної системи, яка працювала протягом останніх п'ятнадцяти років, зокрема для платформ, на які WireGuard не орієнтується. Якщо ваша аудиторія читачів включає старіші телефони або пристрої, сумісність OpenVPN ширша.
OpenVPN Access Server додає вебінтерфейс адміністрування поверх протоколу й безкоштовний для двох одночасних з'єднань. Понад два з'єднання ліцензування здійснюється з розрахунку на користувача. Pritunl — це третій варіант, який додає порівнянну панель адміністрування як для OpenVPN, так і для WireGuard без ліцензування з розрахунку на користувача. Для особистого використання безкоштовного рівня OpenVPN AS достатньо. Для невеликих команд, які відмовилися від Tailscale, Pritunl — чистіший вибір. Повну покрокову інструкцію зі встановлення «голого» OpenVPN розглянуто в нашому матеріалі про встановлення OpenVPN на VPS.
Вибір локації
На цьому масштабі юрисдикція важливіша за пропускну здатність. Якщо частина вашої причини для самостійного хостингу — зменшення доступу до угод про обмін розвідданими, відповідне об'єднання — це альянс Five Eyes (US, UK, Канада, Австралія, Нова Зеландія) та його розширені партнери. Франкфурт і Амстердам — поширені варіанти за межами Five Eyes у Європі. Дубай цікавий, якщо ваш трафік у регіоні Близького Сходу. Швейцарія та Сінгапур мають суворіші системи захисту даних, але часто відсутні в наявності у менших провайдерів.
Якщо WireGuard відповідає вашим потребам, наш WireGuard VPS в один клік проведе вас крізь процес налаштування та встановлюється за лічені хвилини.
Сценарій 2: командна mesh-мережа
Швидкий вердикт: Tailscale для більшості команд. Headscale або Netmaker, якщо вам потрібно володіти рівнем керування. «Гола» mesh-мережа WireGuard лише тоді, коли у вас менш ніж 10 вузлів і є терпіння.
Троє віддалених інженерів, домашня лабораторія, проміжний (staging) сервер у AWS і VM бази даних у стійці колокації. П'яти машинам потрібно спілкуватися одна з одною, не відкриваючи публічних портів. Жодна з них не має стабільної публічної IP. Дві з них перебувають за Carrier-Grade NAT.
Це проблема, яку mesh-мережа WireGuard не була призначена елегантно розв'язувати в масштабі.
Чому «гола» mesh-мережа WireGuard болісна в масштабі
Mesh-мережа вимагає, щоб кожен пір знав про кожного іншого піра. Формат конфігурації WireGuard відображає це безпосередньо: кожен пір має секцію [Peer] для кожного вузла, з яким він спілкується. П'ять вузлів означають, що кожен файл конфігурації має чотири блоки [Peer], а загальна кількість конфігурацій для підтримки в mesh-мережі — це N помножене на (N мінус 1), поділене на 2.
За п'яти вузлів це 10 пар з'єднань. За 10 вузлів — 45. За 20 — 190. Зростання квадратичне. Додавання єдиного вузла до mesh-мережі з 20 вузлів вимагає оновлення 20 файлів конфігурації та перезапуску 20 демонів. Видалення ключа вимагає того самого.
Такі інструменти, як wg-meshconf і Netmaker, існують, щоб це автоматизувати.
Tailscale: чесна рекомендація для більшості команд
Tailscale справді достатньо хороший для більшості команд. Рівень керування хоститься Tailscale, рівень даних — це пряме peer-to-peer, а безкоштовний рівень охоплює 100 devices. Налаштування займає менше п'яти хвилин. Обхід NAT працює в більшості мережевих середовищ без конфігурації. ACL керуються централізовано.
Чесне застереження: рівень керування — це залежність від третьої сторони. Tailscale розповсюджує ключі WireGuard, які з'єднують ваші пристрої. Якщо координаційний сервер Tailscale скомпрометовано, зловмисник у принципі може вбудувати себе в mesh-мережу. Tailscale публікує детальну документацію моделі загроз, яка визнає це, і використовує блокування tailnet та атестацію вузлів для захисту від цього. Для більшості команд ця залежність прийнятна. Для команд, чия модель загроз включає атаки на рівні держав або суворі регуляторні вимоги щодо координаційних метаданих, вона неприйнятна.
Рівень даних Tailscale обходить сервери компанії, коли це можливо. Коли пряме peer-to-peer не вдається, трафік повертається до релейних серверів DERP від Tailscale, які обмежені приблизно до 5 Mbps. Якщо два ваші вузли завжди опиняються на DERP через патологію NAT, обмеження релею стає вузьким місцем.
Порада: якщо ваш домашній інтернет-провайдер використовує Carrier-Grade NAT, ви не можете приймати вхідні з'єднання вдома. Tailscale і Headscale обробляють це автоматично через hole-punching і запасний варіант DERP. «Голий» WireGuard вимагає публічно досяжного VPS як релею, де домашній вузол діє як клієнт, що ініціює вихідні з'єднання.
Headscale: коли вам потрібно володіти рівнем керування
Headscale — це реалізація координаційного сервера Tailscale з відкритим кодом. Офіційний клієнт Tailscale підключається до Headscale замість хостингових серверів Tailscale, і користувацький досвід подібний. Але він має один вирішальний компроміс: ви самі керуєте рівнем керування, а це означає, що час безперервної роботи, оновлення та патчі безпеки — це ваша проблема.
Headscale бракує частини відшліфованості Tailscale. Конфігурація ACL — це YAML і CLI, а не вебінтерфейс. Інколи спливають граничні випадки MagicDNS, які офіційний клієнт у хостинговій версії обробляє непомітно. Проєкт добре підтримується, працює в продакшені в організаціях, яким він потрібен, і підходить для команд, чия модель загроз або стан відповідності вимагають самостійно розгорнутої координації.
Обслуговування Headscale — це постійна робота. Якщо ви віддаєте перевагу зняти це з себе, Linux VPS з 99.95% SLA часу безперервної роботи та підтримкою 24/7 справляється з навантаженням контролера без тягаря чергувань. Сам контролер легкий, бо він обробляє лише координацію; фактичний трафік mesh-мережі — це peer-to-peer.
Netmaker
Netmaker — це альтернативний рівень координації, який працює поверх WireGuard, а не реалізує заново Tailscale. Архітектурна відмінність суттєва: коли пряме peer-to-peer не вдається, Netmaker може маршрутизувати через самостійно розгорнуті релейні вузли без обмеження 5 Mbps, яке накладає DERP від Tailscale. Для командних mesh-мереж, яким потрібна стабільна пропускна здатність попри збої NAT, це має значення.
Досвід розробника в Netmaker грубіший, ніж у Tailscale. Версія для спільноти працює на одному VPS і підтримує сценарії використання, які мають більшість невеликих команд. Комерційна версія Netmaker додає корпоративні функції, але вона не є частиною цього обговорення.
Наш Netmaker VPS в один клік постачається зі швидким встановленням на швидкій інфраструктурі.
Сценарій 3: обхід цензури
Швидкий вердикт: Hiddify Manager для середовищ активної цензури. Outline для простіших регіонів. WireGuard і OpenVPN не витримують глибокої інспекції пакетів. Не розгортайте їх як інструменти проти цензури.
Трафік WireGuard можна ідентифікувати за структурою його UDP-пакетів, тож його можна заблокувати. Проблема не в тому, що шифрування WireGuard слабке. Шифрування в порядку. Проблема в тому, що зашифровані пакети мають вигляд VPN, а сучасна цензура інспектує форму пакета, тайминг і відбитки протоколу, а не лише вміст корисного навантаження.
Самостійно розгорнутий VPN як ваш єдиний інструмент проти цензури зазнає невдачі в будь-якому середовищі з активною глибокою інспекцією пакетів. Правильний підхід — це інша категорія інструмента: трафік, який імітує звичайний перегляд вебсторінок достатньо добре, щоб цензор не міг відрізнити його від справжнього HTTPS-трафіку до справжнього вебсайту.
Ця категорія застаріває швидше, ніж решта цього посібника. Цензори адаптуються. Протоколи блокуються. Нові методи обфускації, як-от REALITY та Hysteria2, з'явилися протягом останніх двох років, і наступні два принесуть ще більше. Логіка вибору, яка полягає в тому, щоб узгодити рівень обфускації із середовищем цензури, є стійкою. Конкретний інструмент, який працює у вашій країні сьогодні, може не працювати за шість місяців. Репозиторій GitHub та трекер задач Hiddify — це місце, де варто перевірити поточний статус перед розгортанням.
Hiddify Manager: наразі найкраща відповідь
Hiddify Manager — це метаінструмент. Сам по собі він не є єдиним VPN-протоколом; це адміністративний рівень, який розгортає, керує та ротує понад 20 базових протоколів проти цензури на одному VPS. Випуск Hiddify v12 у лютому 2026 року підтримує:
- Reality (XTLS поверх VLESS)
- Hysteria2
- Shadowsocks-2022 із варіантами TLS
- V2Ray та Xray із транспортами WS, gRPC та H2
- WireGuard для запасного варіанту
Вебпанель адміністрування обробляє керування користувачами, ліміти трафіку та маршрутизацію протоколу для кожного користувача.
Функція ротації протоколу — це та частина, яка має значення на практиці: коли один протокол починає виходити з ладу в певній країні, адміністратор перемикає користувачів на інший без повторного розгортання сервера. Це операційна відмінність між Hiddify та однопротокольним стеком.
Дві нотатки про протоколи, які варто зрозуміти перед розгортанням. Reality — це наразі найсучасніший рівень для ухилення від відбитка TLS. Він імітує справжнє HTTPS-з'єднання зі справжнім публічним вебсайтом (який обирає оператор, зазвичай сайт із високим трафіком, як-от cloudflare.com), і цензор, інспектуючи рукостискання, бачить те, що має вигляд звичайного з'єднання з тим сайтом. Hysteria2 — це протокол на основі UDP із вбудованою обфускацією, який добре працює в мережах із втратами; він швидший за альтернативи на основі TCP, коли мережа нестабільна, що описує більшість споживчих з'єднань у середовищах з обмеженнями.
Маркетплейс Cloudzy також пропонує образ Hiddify в один клік на тій самій інфраструктурі Linux VPS, який розгортається за лічені хвилини.
Вибір локації для цього сценарію використання відрізняється від сценаріїв приватності. Уникайте вихідних точок у US та в основних країнах ЄС, обслуговуючи користувачів у регіонах з інтенсивним виявленням. Хороші варіанти включають Дубай, Франкфурт, Амстердам і Сінгапур, які пропонують широке географічне покриття.
V2Ray, Xray, Shadowsocks: рівень нижче
V2Ray та його форк Xray — це сімейство протоколів, яке обгортає Hiddify. Якщо Hiddify — це забагато абстракції, і ви хочете розгорнути єдиний протокол із ручною конфігурацією, V2Ray або Xray безпосередньо — це ваш шлях. Компроміс — операційний: ви самостійно керуєте демоном, сертифікатом TLS, налаштуванням обфускації та режимами відмови. Більшості читачів краще підійде Hiddify.
Shadowsocks старіший. Оригінальний протокол усе ще працює в багатьох середовищах, але дедалі частіше виявляється сучасним DPI. Shadowsocks-2022 додав оновлення потокового шифру, які закривають деякі класи виявлення, але сам по собі не вирішує проблему атак на відбиток протоколу. Він розумний як один із варіантів усередині розгортання Hiddify, менш розумний як окремий інструмент у 2026 році.
Outline: простіші регіони
Outline — це обгортка Jigsaw навколо Shadowsocks із дружнім вебінтерфейсом адміністрування. У 2026 році він перейшов до Outline Foundation як незалежний проєкт. Outline — розумний вибір для користувачів у середовищах, де цензура менш агресивна, де проста обфускація класу Shadowsocks усе ще працює і де той, хто розгортає, не технічний і хоче готового досвіду. Hiddify охоплює більше в більшості середовищ.
Порівняння пліч-о-пліч
| Інструмент | Найкраще для | Налаштування | Пропускна здатність | Обхід брандмауера | Мінімальні вимоги до VPS | Модель довіри |
|---|---|---|---|---|---|---|
| WireGuard | Особистий вихідний вузол | Низьке | ~210 Mbps у тунелі, ~8 Gbps ядро bare-metal | Лише UDP; блокується деякими мережами | 12 MB RAM | Самостійний хостинг; ви контролюєте всі ключі |
| WireGuard Easy | Особисте, перевага вебінтерфейсу | Низьке | Так само, як WireGuard | Лише UDP | 512 MB RAM | Самостійний хостинг |
| OpenVPN AS | Мережі з блокуванням UDP | Середнє | ~110 Mbps у тунелі | TCP 443 має вигляд HTTPS | 1 GB RAM | Самостійний хостинг; 2 безкоштовні з'єднання |
| Pritunl | Панель OpenVPN/WG для невеликої команди | Середнє | Порівнянна з базовим протоколом | UDP або TCP | 2 GB RAM | Самостійний хостинг; без оплати за користувача |
| Tailscale | Більшість команд | Дуже низький | Пряме P2P близько до лінійної швидкості; DERP обмежено до 5 Mbps | Обхід NAT автоматичний | Не потрібно (хостинговий рівень керування) | Хостинговий рівень керування |
| Headscale | Команди, яким потрібен самостійно розгорнутий рівень керування | Середнє | Так само, як Tailscale | Обхід NAT автоматичний | 1 GB RAM | Повністю самостійний хостинг |
| Netmaker | Командна mesh-мережа, без обмеження DERP | Середнє | Пропускна здатність класу WireGuard | Обхід NAT через самостійно розгорнуті релеї | 1 GB RAM | Повністю самостійний хостинг |
| Hiddify Manager | Проти цензури, регіони з обмеженнями | Середнє (вебінтерфейс) | Залежить від протоколу | Ухилення від DPI через REALITY, Hysteria2 тощо | 1 GB RAM | Самостійний хостинг |
Спершу оберіть сценарій використання
Рішення стоїть вище за інструмент.
- Розгорніть WireGuard коли ваш сценарій використання — це особиста приватність як власного вихідного вузла.
- Використовуйте Tailscale якщо ваш сценарій використання — це з'єднання машин команди, окрім випадків, коли володіння рівнем керування є частиною вашої моделі загроз, і тоді обирайте Headscale або Netmaker.
Інструменти не взаємозамінні; режим відмови при використанні одного для іншого сценарію є реальним.
Який би шлях не підходив, складна частина розгортання та обслуговування все одно залишається. Маркетплейс Cloudzy має розгортання в один клік для кожного інструмента, розглянутого вище. Складна частина — це узгодження інструмента з моделлю загроз. Ця частина стоїть вище за будь-яку кнопку розгортання.
Часті запитання
Чи варто використовувати WireGuard чи OpenVPN для мого самостійно розгорнутого VPN?
WireGuard майже для кожного випадку. Він швидший, має нижчу затримку, постачається в ядрі Linux і набагато простіший у налаштуванні. Використовуйте OpenVPN лише тоді, коли вам потрібно проходити крізь брандмауери, що блокують UDP (налаштований на TCP port 443), або коли вам потрібна широка підтримка застарілих клієнтів, на яку WireGuard поки що не орієнтується.
Чи справді Tailscale є самостійним хостингом?
Ні. Рівень даних Tailscale — це peer-to-peer, але рівень керування (розповсюдження ключів, координація ідентичності) хоститься Tailscale. Для багатьох команд хостинговий рівень керування Tailscale прийнятний; питання в тому, чи розглядає ваша модель загроз його як залежність, яку ви можете прийняти.
Який мінімальний розмір VPS для запуску самостійно розгорнутого VPN?
512 MB of RAM and one virtual CPU is enough for personal WireGuard or OpenVPN. For team mesh controllers like Headscale or Netmaker, 1 GB of RAM is comfortable. For anti-censorship multi-user setups like Hiddify, 1 to 2 GB of RAM handles a small group of users. None of these workloads need a CPU-optimised plan.
Чи можу я запустити WireGuard, якщо мій домашній інтернет-провайдер використовує CGNAT?
Не як сервер, до якого ви ініціюєте з'єднання ззовні. Carrier-Grade NAT повністю запобігає вхідним з'єднанням до вашої домашньої IP. Два шляхи в обхід цього: орендувати невеликий VPS як публічно досяжний релей, де ваш домашній пристрій підключається до нього вихідним з'єднанням; або використати Tailscale чи Headscale, які автоматично обробляють обхід NAT через hole-punching. Обидва працюють; підхід із VPS дає вам стабільну IP, підхід Tailscale дає вам mesh-мережу.
