Comment créer son propre serveur VPN en 2026 : guide WireGuard complet

Un VPN auto-hébergé donne le contrôle sur la passerelle, les clés et les appareils autorisés. Le client établit un tunnel WireGuard chiffré vers un VPS, puis le trafic choisi sort avec l’adresse publique du serveur. Cette architecture convient à la protection sur un Wi-Fi public, à l’accès distant et aux usages professionnels autorisés.

L’article officiel VPN vs BitBrowser rappelle que les deux outils n’agissent pas au même niveau : le VPN protège le chemin réseau, alors que BitBrowser sépare les profils, les cookies, le stockage et les sessions du navigateur.

Lectures BitBrowser associées : VPN vs BitBrowser  |  navigation privée |  identité réseau en 2026

1. Choisir le VPS et préparer le plan réseau

Choisissez un VPS avec une IPv4 publique, Ubuntu Server 26.04 LTS, un accès SSH par clé et la prise en charge de l’UDP. Vérifiez le pare-feu du fournisseur, le quota de transfert et l’accès à une console de secours.

L’exemple utilise le réseau 10.8.0.0/24 et le port UDP 51820. Changez la plage si elle chevauche un réseau domestique, professionnel ou de conteneurs. Chaque appareil reçoit une adresse /32 et une paire de clés uniques.

Plan de déploiement du VPN

2. Installer WireGuard et générer la clé du serveur

Mettez Ubuntu à jour, puis installez WireGuard. qrencode est facultatif pour importer un profil sur mobile. La clé privée du serveur ne doit jamais quitter la machine ; seule la clé publique est communiquée aux clients.

Il est préférable de générer les clés privées des clients directement sur leurs appareils afin de réduire les copies sensibles.

Exemple de commande ou de configuration

3. Activer le transfert IPv4

Un tunnel complet exige que le serveur transfère les paquets entre wg0 et l’interface publique. Activez le forwarding de manière persistante et identifiez l’interface de la route par défaut. Elle peut s’appeler ens3 au lieu de eth0.

Une mauvaise interface NAT permet parfois le handshake, mais empêche tout accès à internet.

Exemple de commande ou de configuration

4. Créer le fichier wg0.conf

Créez /etc/wireguard/wg0.conf, insérez la clé privée du serveur et la clé publique du premier client. PostUp et PostDown gèrent l’autorisation de routage et le masquerading IPv4.

Côté serveur, attribuez un AllowedIPs /32 à chaque peer. N’utilisez pas le même profil sur plusieurs appareils, car la révocation et le routage deviendraient ambigus.

Exemple de commande ou de configuration

5. Ouvrir le pare-feu et démarrer WireGuard

Autorisez OpenSSH avant d’activer UFW pour éviter une coupure d’accès. Ouvrez UDP 51820 dans UFW et dans le pare-feu cloud. Protégez le fichier de configuration puis activez wg-quick@wg0 au démarrage.

La commande wg show affiche les pairs et les compteurs. Un handshake récent confirme que le client atteint le serveur avec les bonnes clés.

Exemple de commande ou de configuration

6. Préparer le profil client

Générez la paire de clés sur le client et transmettez uniquement la clé publique au serveur. Le profil présenté envoie tout le trafic IPv4 dans le tunnel. Pour un split tunnel, indiquez seulement les réseaux privés requis.

PersistentKeepalive = 25 aide les appareils mobiles derrière NAT. Le DNS est un exemple : choisissez un résolveur de confiance et testez son application effective.

Exemple de commande ou de configuration

7. Tester le routage, le DNS et la reconnexion

Vérifiez le handshake, les octets transférés, l’adresse IP publique, le DNS et le fonctionnement après redémarrage. Testez également le passage du Wi-Fi aux données mobiles.

Si certains sites échouent, examinez le MTU et IPv6. Un tunnel IPv4 n’englobe pas automatiquement un chemin IPv6 non configuré.

Exemple de commande ou de configuration

8. Sécuriser le serveur et comprendre BitBrowser

Utilisez des clés SSH, appliquez les mises à jour, réduisez les ports publics et supprimez les peers inutilisés. En cas de perte d’un appareil, retirez immédiatement son bloc [Peer]. Protégez les sauvegardes contenant des secrets.

Un VPN personnel ne garantit pas l’anonymat : l’hébergeur connaît le compte du VPS et les sites voient l’IP du serveur et les comptes connectés. BitBrowser peut isoler des profils autorisés, mais il ne remplace ni WireGuard, ni le pare-feu, ni la sécurité du poste.

Tableau de dépannage

Questions fréquentes

Faut-il un nom de domaine ?

Non. Une IPv4 publique fixe suffit. Un domaine ou un DNS dynamique est pratique si l’adresse change.

Pourquoi le client se connecte-t-il sans accès internet ?

Vérifiez ip_forward, le nom de l’interface publique, la règle UFW, le NAT, AllowedIPs et le DNS.

Puis-je ajouter plusieurs appareils ?

Oui, avec une paire de clés et une adresse /32 distinctes pour chacun.

Le VPN masque-t-il une connexion à un compte ?

Non. Le service continue d’identifier le compte, et les cookies ou signaux du navigateur restent présents.

BitBrowser remplace-t-il le VPN ?

Non. BitBrowser isole les environnements du navigateur ; WireGuard crée le tunnel réseau.

Conclusion

Un serveur VPN fiable repose sur une base simple : Ubuntu maintenu, WireGuard, clés uniques, réseau privé sans conflit, pare-feu minimal, NAT correct et tests reproductibles.

Mettez le serveur à jour, révoquez les appareils perdus et contrôlez régulièrement le DNS et le routage. Utilisez BitBrowser pour la séparation autorisée des profils web, sans lui attribuer les fonctions de chiffrement d’un VPN.

Sources techniques et lectures officielles BitBrowser