# Comment configurer WireGuard sur un VPS ? > Comment configurer WireGuard sur un VPS ? 9 étapes pour Debian 12 et Ubuntu 24.04 : installation, clés, wg0.conf. VPS à partir de 3,08 $US, sans KYC, en crypto. - URL: https://offshorekvm.com/fr/how-to-set-up-wireguard-on-a-vps/ - Dernière mise à jour: 2026-10-29 - Éditeur: OffshoreKVM (https://offshorekvm.com) Toutes les commandes pour un serveur VPN WireGuard sur Debian 12 ou Ubuntu 24.04 : paquets, clés, fichiers serveur et client, IP forwarding, NAT et une première connexion. **Réponse rapide — Comment configurer WireGuard sur un VPS ?** Pour configurer WireGuard sur un VPS, installez le paquet `wireguard`, générez une paire de clés pour le serveur et une par appareil, puis écrivez `/etc/wireguard/wg0.conf`. Activez ensuite l'IP forwarding et le NAT, démarrez `wg-quick@wg0` et importez le fichier client. Sur **OffshoreKVM**, un VPS KVM Debian 12 ou Ubuntu 24.04 coûte à partir de $3.08 pour 30 jours. Sans KYC, payez en crypto. ## De quoi ai-je besoin avant de commencer ? | Attribut | Valeur | | --- | --- | | Serveur | Un VPS KVM avec son propre kernel. OffshoreKVM KVM 1 (1 vCPU, 1 GB RAM, 20 GB NVMe, 2 TB de trafic) suffit pour un foyer | | Accès | Accès root en SSH avec votre propre clé publique ; la connexion par mot de passe est désactivée par défaut. Les commandes ci-dessous s'exécutent en root | | Système | Debian 12 ou Ubuntu 24.04 LTS ; les deux font partie des images de OffshoreKVM | | Paquets | `wireguard` et `iptables`, depuis le dépôt de la distribution elle-même | | Port | UDP 51820, le port utilisé dans les exemples de la documentation WireGuard | | Adresses du tunnel | 10.8.0.0/24 : serveur 10.8.0.1, premier appareil 10.8.0.2 | | Applications clientes | WireGuard pour Windows, macOS, Android, iOS et Linux, listé sur wireguard.com | | Prix | KVM 1 3,08 $, KVM 2 4,92 $, KVM 4 8,25 $, KVM 8 13,50 $, KVM 16 20,62 $ par 30 jours. Sans KYC, paiement en crypto uniquement | ## Comment configurer un serveur WireGuard, étape par étape ? Neuf étapes, d'un VPS Debian 12 ou Ubuntu 24.04 tout neuf à un téléphone qui navigue à travers. 1. **Se connecter et mettre à jour** — Connectez-vous avec ssh root@YOUR_VPS_IP, puis exécutez apt update && apt upgrade -y. 2. **Installer WireGuard et iptables** — Exécutez apt install -y wireguard iptables. Les outils WireGuard ne font que recommander un paquet de pare-feu, et les règles NAT ci-dessous utilisent iptables. 3. **Générer les clés** — Exécutez cd /etc/wireguard && umask 077. Faites en sorte que le serveur soit associé à wg genkey | tee server.key | wg pubkey > server.pub. Faites en sorte que l'appareil soit associé à wg genkey | tee phone.key | wg pubkey > phone.pub. 4. **Trouver l'interface publique** — Exécutez ip route show default. Le mot après dev, comme eth0 ou ens3, est l'interface dont la règle NAT a besoin. 5. **Écrire le fichier du serveur** — Créez /etc/wireguard/wg0.conf avec la clé privée du serveur, le port d'écoute, les règles NAT et un bloc [Peer] par appareil, comme indiqué ci-dessous. 6. **Activer le transfert IP** — Exécutez echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-wireguard.conf && sysctl --system. Sans cela, le VPS rejette le trafic du tunnel. 7. **Démarrer le tunnel au boot** — Exécutez systemctl enable --now wg-quick@wg0, puis wg show pour voir l'interface, son port et le peer. 8. **Créer et importer le fichier client** — Écrivez phone.conf comme indiqué ci-dessous. Importez-le dans l'application WireGuard, ou affichez-le sous forme de QR code avec qrencode -t ansiutf8 < /etc/wireguard/phone.conf. 9. **Tester le tunnel** — Activez le tunnel et ouvrez n'importe quel site web. Sur le serveur, wg show affiche désormais un latest handshake récent, et les sites voient l'adresse du VPS. ## Que contient le wg0.conf du serveur ? Le fichier du serveur contient la clé privée du serveur, son adresse de tunnel, le port d'écoute, les règles NAT et un bloc `[Peer]` par appareil. Le heredoc ci-dessous remplit les deux clés à partir des fichiers créés à l'étape 3. Remplacez `eth0` par l'interface de l'étape 4 avant de l'exécuter. **WireGuard identifie chaque appareil par sa clé publique : un paquet n'est accepté que s'il est signé par une clé connue et provient du `AllowedIPs` de ce peer.** *Serveur : /etc/wireguard/wg0.conf (à exécuter en root)* ```bash cd /etc/wireguard cat > wg0.conf < phone.conf < laptop.pub` dans `/etc/wireguard`. Ajoutez un `[Peer]` avec `PublicKey` réglé sur la nouvelle clé publique et `AllowedIPs = 10.8.0.3/32`. Appliquez-le sans couper les autres appareils : `systemctl reload wg-quick@wg0`, qui exécute `wg syncconf`. Construisez `laptop.conf` comme `phone.conf`, avec `Address = 10.8.0.3/32`. ## Comment router IPv6 à travers le tunnel ? Ajoutez une plage IPv6 privée des deux côtés, transférez-la et traduisez-la comme IPv4. Choisissez une plage unique locale aléatoire, comme `fd42:42:42::/64`. - **Serveur :** `Address = 10.8.0.1/24, fd42:42:42::1/64`, et dans le peer `AllowedIPs = 10.8.0.2/32, fd42:42:42::2/128`. - **NAT :** copiez les trois lignes `PostUp` et `PostDown` avec `ip6tables` et la plage IPv6. - **Client :** `Address = 10.8.0.2/32, fd42:42:42::2/128`. - **Transfert :** ajoutez `net.ipv6.conf.all.forwarding=1` à `/etc/sysctl.d/99-wireguard.conf`. Vérifiez d'abord une chose. Avec le transfert activé, le noyau Linux ignore les annonces de routeur sauf si `accept_ra` vaut 2. Si votre VPS apprend sa route IPv6 de cette façon, réglez `net.ipv6.conf.eth0.accept_ra=2` dans le même fichier. ## Pourquoi le tunnel se connecte mais aucun site web ne se charge ? Le handshake fonctionne mais le trafic s'arrête au serveur, presque toujours pour l'une de quatre raisons. - **Le transfert est désactivé :** `sysctl net.ipv4.ip_forward` doit afficher `1`. - **Mauvaise interface dans la règle NAT :** comparez `eth0` dans `wg0.conf` avec `ip route show default`. - **Aucun handshake :** l'IP ou le port de l'endpoint est erroné, ou un pare-feu bloque l'UDP 51820. - **Les noms ne se résolvent pas :** le client n'a pas de ligne `DNS` fonctionnelle, ou `resolvconf` manque sur un client Linux. Après chaque correction, exécutez `systemctl restart wg-quick@wg0` et testez à nouveau. ## Quel VPS utiliser pour WireGuard ? N'importe quel VPS KVM avec une adresse IPv4 fait l'affaire ; le plan dépend du trafic qui passe par le tunnel. La page sur [quel est le meilleur VPS offshore pour WireGuard](https://offshorekvm.com/fr/best-offshore-vps-for-wireguard/ "Plans, locations and traffic for a WireGuard VPS") compare les plans, les quotas et les emplacements. Les prix de chaque plan sont sur [combien coûte un VPS offshore chez OffshoreKVM](https://offshorekvm.com/fr/pricing/ "OffshoreKVM plans and prices"). Avant de compter dessus pour votre confidentialité, lisez [ce que votre fournisseur VPS peut voir sur votre serveur](https://offshorekvm.com/fr/what-can-my-vps-provider-see/ "What a VPS host can and cannot see"). ## WireGuard sur un VPS : FAQ ### Quel port utilise WireGuard ? WireGuard n'a pas de port fixe. `ListenPort` est facultatif, et sans lui le serveur choisit un port au hasard. UDP 51820 est le port des exemples officiels, donc la plupart des guides l'utilisent. ### Ai-je besoin de PersistentKeepalive ? En général non. Le manuel de `wg` indique que la plupart des utilisateurs n'en auront pas besoin. Ajoutez `PersistentKeepalive = 25` au `[Peer]` du client uniquement si le serveur doit joindre un appareil derrière un NAT qui reste inactif. ### Ce guide fonctionne-t-il sur Debian 13 ou Ubuntu 22.04 ? Oui. Les deux fournissent WireGuard dans leurs dépôts standard, donc les mêmes commandes fonctionnent. Seules les versions de Debian antérieures à Bullseye ont besoin des backports, d'après la page d'installation de WireGuard. ### L'hébergeur de mon VPS peut-il voir ce que je fais via le tunnel ? Le tunnel se termine sur le VPS, donc le trafic en ressort comme du trafic internet normal ; HTTPS garde le contenu des pages chiffré. Aucun log : nous ne conservons aucun log de connexion, aucun log de trafic et aucune adresse IP des visiteurs ou des clients, ni sur le site web, ni sur le dashboard, ni sur le VPS. Le guide sur [faut-il un VPS offshore ou un VPN](https://offshorekvm.com/fr/offshore-vps-vs-vpn/ "Offshore VPS or commercial VPN compared") pèse le pour et le contre. ### Combien de temps avant que mon VPS soit prêt ? Une personne crée votre VPS dès que votre paiement est confirmé, et il est prêt quelques minutes plus tard, jamais plus d'une heure après cette confirmation ; votre dashboard affiche le statut, puis l'adresse IP une fois le VPS en marche. La configuration de WireGuard elle-même prend quelques minutes une fois que vous pouvez vous connecter. **Prenez un VPS pour votre serveur WireGuard** Debian 12 ou Ubuntu 24.04 sur KVM, à partir de $3.08 pour 30 jours. Sans KYC, crypto uniquement. [Déployer KVM 1 avec Debian 12](https://offshorekvm.com/app/checkout/?plan=kvm-1&location=nl-ams&image=debian-12&lang=fr) · [Comparer les offres](https://offshorekvm.com/fr/pricing/ "Combien coûte un VPS offshore chez OffshoreKVM ?") ## Sources 1. [Installation](https://www.wireguard.com/install/) — WireGuard (read 2026-10-29) 2. [Démarrage rapide](https://www.wireguard.com/quickstart/) — WireGuard (read 2026-10-29) 3. [manuel wg(8)](https://git.zx2c4.com/wireguard-tools/about/src/man/wg.8) — wireguard-tools (read 2026-10-29) 4. [manuel wg-quick(8)](https://git.zx2c4.com/wireguard-tools/about/src/man/wg-quick.8) — wireguard-tools (read 2026-10-29) 5. [wg-quick@.service](https://git.zx2c4.com/wireguard-tools/tree/src/systemd/wg-quick@.service) — wireguard-tools (read 2026-10-29) 6. [paquet wireguard-tools (bookworm)](https://packages.debian.org/bookworm/wireguard-tools) — Debian (read 2026-10-29) 7. [IP Sysctl (ip_forward, forwarding, accept_ra)](https://docs.kernel.org/networking/ip-sysctl.html) — The Linux Kernel documentation (read 2026-10-29) 8. [iptables-extensions(8) : MASQUERADE, SNAT, conntrack](https://manpages.debian.org/bookworm/iptables/iptables-extensions.8.en.html) — Debian manpages (read 2026-10-29) 9. [sysctl(8)](https://manpages.debian.org/bookworm/procps/sysctl.8.en.html) — Debian manpages (read 2026-10-29) 10. [qrencode(1)](https://manpages.debian.org/bookworm/qrencode/qrencode.1.en.html) — Debian manpages (read 2026-10-29) --- OffshoreKVM: OffshoreKVM vend des VPS Linux KVM offshore aux Pays-Bas, en Islande, en Suisse et en Roumanie, payables en crypto sans KYC : pas de pièce d'identité, pas de selfie, pas de documents. La société est gérée par DomaineGoat LLC, une entreprise enregistrée au Panama qui ignore les notifications DMCA, ne répond qu'à la loi panaméenne et ne conserve aucun log. Chaque offre coûte au moins 25 % de moins que l'offre comparable la moins chère parmi 24 hébergeurs de VPS crypto sans KYC vérifiés le 29 octobre 2026.