Hướng dẫn tạo VPN riêng trên VPS bằng WireGuard từ A-Z

Để tạo VPN riêng trên VPS, bạn chỉ cần cài đặt WireGuard trên máy chủ Ubuntu, cấu hình kết nối mạng và thiết lập ứng dụng WireGuard trên thiết bị cá nhân. Sau khi hoàn tất, máy tính có thể truyền lưu lượng Internet qua VPS bằng một đường hầm được mã hóa, thay vì kết nối trực tiếp qua mạng đang sử dụng.

Giải pháp này phù hợp với người muốn sử dụng VPN cá nhân, tăng cường bảo mật khi kết nối Wi-Fi công cộng hoặc chủ động quản lý máy chủ VPN. Dưới đây là hướng dẫn từng bước để bạn tham khảo.

Đôi nét về WireGuard

WireGuard là gì? 

WireGuard là một giao thức và phần mềm VPN mã nguồn mở, được thiết kế để tạo kết nối mạng được mã hóa giữa các thiết bị. WireGuard sử dụng giao thức UDP và hệ thống khóa mật mã để xác thực các thiết bị tham gia VPN.

Khi triển khai WireGuard trên VPS, máy chủ đóng vai trò trung gian truyền lưu lượng Internet của thiết bị cá nhân.

Quá trình hoạt động có thể hiểu đơn giản như sau:

1. Máy tính kết nối đến WireGuard Server được cài trên VPS.
2. WireGuard thiết lập một đường hầm bảo mật giữa hai thiết bị.
3. Lưu lượng được định tuyến qua đường hầm đến VPS.
4. VPS chuyển tiếp lưu lượng ra Internet.
5. Dữ liệu phản hồi được chuyển về máy tính thông qua đường hầm VPN.

Khi sử dụng chế độ định tuyến toàn bộ IPv4 qua VPN, các website nhận được kết nối IPv4 từ địa chỉ công khai của VPS thay vì địa chỉ IPv4 ban đầu của máy tính.

Những lợi ích khi tự tạo VPN bằng WireGuard

• Chủ động quản lý: Người dùng tự cấu hình máy chủ, thiết bị được phép kết nối và các quy tắc mạng.
• Bảo vệ kết nối: Dữ liệu truyền giữa thiết bị và VPS được mã hóa bằng WireGuard.
• Sử dụng IP của VPS: Có thể chuyển lưu lượng Internet qua địa chỉ IP công khai của máy chủ.
• Hỗ trợ nhiều nền tảng: WireGuard có ứng dụng cho Windows, Linux, macOS, Android và iOS.
• Cấu hình tương đối gọn: Các thành phần quan trọng chủ yếu gồm khóa bảo mật, địa chỉ mạng, cổng kết nối và quy tắc định tuyến.
• Phù hợp với nhiều nhu cầu: Có thể sử dụng để truy cập Internet qua VPS hoặc truy cập tài nguyên riêng từ xa.

Tuy nhiên, VPN riêng không đồng nghĩa với ẩn danh hoàn toàn. Nhà cung cấp VPS vẫn có thể quan sát một số thông tin về lưu lượng đi qua hạ tầng của họ. Việc sử dụng WireGuard cũng không thay thế các biện pháp bảo mật như HTTPS.

Cần chuẩn bị gì trước khi cài WireGuard trên VPS?

Để thực hiện hướng dẫn, bạn cần một VPS chạy Ubuntu, quyền quản trị máy chủ và một máy tính Windows để kết nối VPN.

Bài viết sử dụng môi trường tham chiếu Ubuntu Server 24.04 LTS và ứng dụng WireGuard chính thức trên Windows 10/11.

WireGuard không yêu cầu cấu hình phần cứng lớn cho một số lượng nhỏ thiết bị, nhưng tài nguyên cần thiết thực tế sẽ phụ thuộc vào số kết nối, băng thông và các dịch vụ đang chạy trên VPS.

Lưu ý: Hướng dẫn bên dưới phù hợp nhất với VPS Ubuntu mới, chưa triển khai các quy tắc firewall, Docker hoặc hệ thống định tuyến phức tạp. Nếu máy chủ đang vận hành website hay ứng dụng quan trọng, bạn nên sao lưu cấu hình mạng trước khi thực hiện.

Thông số sử dụng trong hướng dẫn

Để dễ theo dõi, chúng ta sẽ thống nhất các thông số:

Các địa chỉ IP nội bộ có thể thay đổi nếu trùng với mạng đang sử dụng. Riêng địa chỉ IPv4 công khai và tên giao diện mạng cần lấy từ VPS thực tế.

Hướng dẫn tạo VPN riêng trên VPS bằng WireGuard

Quá trình cài đặt gồm 7 bước. Bạn sẽ cấu hình máy chủ WireGuard trên Ubuntu trước, sau đó hoàn thiện kết nối VPN trên máy tính Windows.

Bước 1. Kết nối VPS và kiểm tra thông tin mạng

Trước tiên, hãy truy cập VPS thông qua SSH. Xem thêm:

Sau khi SSH thành công, chạy lệnh:

ip -4 route show default

Lệnh sẽ hiển thị tuyến mạng mặc định của VPS.

Ví dụ:

default via 192.0.2.1 dev eth0

Trong kết quả này, eth0 là tên giao diện mạng đang được sử dụng để kết nối Internet.

Bạn cần ghi nhớ tên giao diện mạng thực tế, bởi thông tin này sẽ được sử dụng ở bước cấu hình NAT.

Ngoài ra, hãy kiểm tra địa chỉ IPv4 công khai của VPS trong trang quản trị của nhà cung cấp dịch vụ.

Đây là địa chỉ mà máy tính Windows sẽ sử dụng để kết nối đến WireGuard Server.

Bước 2. Cài đặt WireGuard và tạo khóa máy chủ

Trên Terminal của VPS Ubuntu, trước tiên cập nhật danh sách gói phần mềm:

sudo apt update

Sau đó cài đặt WireGuard và các công cụ cần thiết:

sudo apt install -y wireguard iptables nano

Trong đó:

• wireguard: Cung cấp công cụ để cấu hình và vận hành WireGuard.
• iptables: Được sử dụng để thiết lập các quy tắc NAT và chuyển tiếp lưu lượng.
• nano: Trình chỉnh sửa tệp trực tiếp trong Terminal.

Khi cài đặt hoàn tất, tạo thư mục lưu cấu hình:

sudo install -d -m 700 /etc/wireguard

Tiếp theo, tạo cặp khóa bảo mật cho WireGuard Server:

sudo bash -c 'umask 077; wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'

Lệnh trên tạo hai tệp:

• /etc/wireguard/server.key: Khóa riêng tư của máy chủ.
• /etc/wireguard/server.pub: Khóa công khai của máy chủ.

Để xem khóa công khai, chạy:

sudo cat /etc/wireguard/server.pub

Terminal sẽ hiển thị một chuỗi ký tự được mã hóa Base64.

Hãy sao chép chuỗi này để sử dụng khi cấu hình WireGuard trên Windows.

Quan trọng: Không chia sẻ nội dung tệp server.key. Khóa riêng tư phải được giữ bí mật. Khóa công khai có thể cung cấp cho những thiết bị cần kết nối.

Bước 3. Bật chức năng chuyển tiếp IPv4

Để máy tính có thể sử dụng Internet thông qua VPS, máy chủ phải được phép chuyển tiếp gói tin giữa giao diện WireGuard và giao diện mạng Internet.

Chức năng này được gọi là IP Forwarding.

Trên VPS, mở tệp cấu hình:

sudo nano /etc/sysctl.d/70-wireguard-routing.conf

Thêm nội dung:

net.ipv4.ip_forward = 1

Lưu tệp bằng cách:

1. Nhấn Ctrl + O.
2. Nhấn Enter để xác nhận.
3. Nhấn Ctrl + X để thoát Nano.

Tiếp theo, áp dụng cấu hình:

sudo sysctl -p /etc/sysctl.d/70-wireguard-routing.conf

Kiểm tra trạng thái:

sysctl net.ipv4.ip_forward

Nếu kết quả hiển thị:

net.ipv4.ip_forward = 1

Chức năng chuyển tiếp IPv4 đã được bật.

Đây là bước rất quan trọng. Nếu không bật IP Forwarding, thiết bị có thể thiết lập kết nối WireGuard nhưng không truy cập Internet qua VPS.

Bước 4. Cài WireGuard trên Windows và tạo khóa thiết bị

Sau khi cấu hình VPS, bạn cần tạo khóa bảo mật cho máy tính Windows.

Trên máy tính cá nhân, truy cập trang tải WireGuard chính thức: https://www.wireguard.com/install

Tải phiên bản dành cho Windows và tiến hành cài đặt.

Sau khi mở phần mềm:

1. Nhấn Add Tunnel.
2. Chọn Add empty tunnel.
3. Nhập tên tunnel, chẳng hạn VPN-VPS.
4. Ứng dụng sẽ tự tạo cặp khóa riêng tư và công khai cho thiết bị.

Trong cửa sổ cấu hình, giữ nguyên dòng PrivateKey đã được WireGuard tạo.

Bổ sung hai dòng bên dưới vào phần [Interface]:

Address = 10.66.66.2/32

DNS = 1.1.1.1

Tiếp theo, sao chép Public key được hiển thị trong cửa sổ tạo tunnel.

Đây là khóa công khai của máy tính Windows. Bạn sẽ sử dụng chuỗi khóa này khi khai báo thiết bị được phép kết nối trên VPS.

Nhấn Save để lưu tunnel. Chúng ta sẽ quay lại hoàn thiện cấu hình ở bước cuối.

Cách thực hiện này giúp khóa riêng tư của Windows được tạo và lưu ngay trên thiết bị cá nhân, không cần chuyển khóa riêng tư từ VPS về máy tính.

Bước 5. Cấu hình WireGuard Server và NAT

Bây giờ, quay lại Terminal của VPS để tạo tệp cấu hình WireGuard.

Chạy lệnh:

sudo nano /etc/wireguard/wg0.conf

Thêm nội dung sau:

[Interface]

Address = 10.66.66.1/24

ListenPort = 51820

PostUp = wg set %i private-key /etc/wireguard/server.key

PostUp = iptables -t nat -A POSTROUTING -s 10.66.66.0/24 -o ens3 -j MASQUERADE

PostUp = iptables -A FORWARD -i %i -o ens3 -s 10.66.66.0/24 -j ACCEPT

PostUp = iptables -A FORWARD -i ens3 -o %i -d 10.66.66.0/24 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

PostDown = iptables -D FORWARD -i ens3 -o %i -d 10.66.66.0/24 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

PostDown = iptables -D FORWARD -i %i -o ens3 -s 10.66.66.0/24 -j ACCEPT

PostDown = iptables -t nat -D POSTROUTING -s 10.66.66.0/24 -o ens3 -j MASQUERADE

[Peer]

PublicKey = <KHOA_CONG_KHAI_WINDOWS>

AllowedIPs = 10.66.66.2/32

Nhớ thay đổi hai thông tin:

• ens3: Thay bằng tên giao diện mạng thực tế đã xác định ở Bước 1. Cần thay ở tất cả những dòng có chứa ens3.
• <KHOA_CONG_KHAI_WINDOWS>: Thay bằng Public key đã sao chép từ ứng dụng WireGuard trên Windows. Không giữ dấu ngoặc nhọn.

Các thành phần chính trong cấu hình:

Trong cấu hình trên, khóa riêng tư của máy chủ được đọc từ tệp server.key thông qua lệnh wg set. Cách này giúp tránh đưa khóa riêng tư trực tiếp vào tệp cấu hình chính.

Các quy tắc iptables có nhiệm vụ chuyển tiếp lưu lượng IPv4 từ mạng VPN ra Internet và cho phép những gói phản hồi hợp lệ quay về.

Sau khi thay các thông tin cần thiết, nhấn Ctrl + O, Enter và Ctrl + X để lưu tệp.

Tiếp theo, giới hạn quyền truy cập:

sudo chmod 600 /etc/wireguard/wg0.conf

sudo chmod 600 /etc/wireguard/server.key

Lưu ý: Các quy tắc được xây dựng cho VPS dùng iptables theo cấu hình phổ biến. Nếu VPS đang sử dụng Docker, nftables hoặc firewall tùy chỉnh, cần kiểm tra sự tương thích trước khi áp dụng.

Bước 6. Mở cổng VPN và khởi động WireGuard

Để máy tính có thể kết nối đến VPS, cổng 51820/UDP phải được phép truy cập từ bên ngoài.

Trước tiên, kiểm tra trạng thái UFW:

sudo ufw status

Nếu kết quả là Status: active, chạy:

sudo ufw allow 51820/udp

Sau đó cho phép chuyển tiếp lưu lượng từ WireGuard ra giao diện Internet, ví dụ eth0:

sudo ufw route allow in on wg0 out on eth0

Thay eth0 bằng tên giao diện mạng của VPS nếu khác.

Nếu UFW đang ở trạng thái inactive, bạn không cần kích hoạt UFW chỉ để thực hiện bước này. Các quy tắc chuyển tiếp iptables trong tệp WireGuard vẫn được sử dụng, nhưng cần kiểm tra những chính sách firewall hiện có của máy chủ.

Ngoài firewall trên Ubuntu, nếu nhà cung cấp VPS có Cloud Firewall hoặc Security Group, bạn cũng cần cho phép cổng UDP 51820 tại đó.

Không nên tắt toàn bộ firewall hoặc thay đổi quy tắc SSH đang hoạt động chỉ để mở cổng VPN.

Khởi động WireGuard, chạy lệnh:

sudo systemctl enable --now wg-quick@wg0

Lệnh này vừa kích hoạt giao diện wg0, vừa cấu hình WireGuard tự khởi động cùng hệ thống.

Kiểm tra trạng thái:

sudo systemctl status wg-quick@wg0

Nếu dịch vụ hiển thị trạng thái active (exited), đây có thể là trạng thái bình thường của dịch vụ wg-quick sau khi hoàn thành việc thiết lập giao diện.

Kiểm tra thêm bằng lệnh:

sudo wg show

Nếu cấu hình hợp lệ, Terminal sẽ hiển thị giao diện wg0, khóa công khai của máy chủ và thông tin Peer đã khai báo.

Ở thời điểm này, mục latest handshake có thể chưa xuất hiện vì máy tính Windows chưa bắt đầu kết nối.

Bước 7. Cấu hình kết nối VPN trên Windows

Quay lại ứng dụng WireGuard trên Windows.

Chọn tunnel VPN-VPS đã tạo ở Bước 4, sau đó mở phần chỉnh sửa cấu hình.

Hoàn thiện nội dung theo mẫu sau:

[Interface]

PrivateKey = <KHOA_RIENG_WINDOWS_DA_TU_TAO>

Address = 10.66.66.2/32

DNS = 1.1.1.1

[Peer]

PublicKey = <KHOA_CONG_KHAI_SERVER>

Endpoint = <IP_PUBLIC_VPS>:51820

AllowedIPs = 0.0.0.0/0

PersistentKeepalive = 25

Bạn cần lưu ý:

• PrivateKey: Giữ nguyên khóa riêng tư mà ứng dụng WireGuard đã tạo trên Windows. Không nhập nguyên văn giá trị minh họa.
• PublicKey: Thay bằng nội dung lấy từ tệp server.pub trên VPS.
• Endpoint: Thay <IP_PUBLIC_VPS> bằng địa chỉ IPv4 công khai thực tế của VPS.
• AllowedIPs: 0.0.0.0/0 cho phép định tuyến toàn bộ lưu lượng IPv4 qua VPN.
• PersistentKeepalive: Giá trị 25 giây giúp duy trì ánh xạ NAT khi máy tính kết nối từ mạng có NAT hoặc firewall. Đây là tùy chọn hữu ích nhưng không bắt buộc trong mọi trường hợp.

Sau khi hoàn tất, nhấn Save.

Cuối cùng, chọn tunnel vừa tạo và nhấn Activate để bắt đầu kết nối VPN.

Nếu các thông số chính xác và cổng UDP có thể truy cập, WireGuard sẽ thiết lập kết nối với máy chủ.

Lưu ý về IPv6: Cấu hình mẫu chỉ định tuyến IPv4. Nếu mạng Windows có IPv6, một số lưu lượng IPv6 vẫn có thể đi trực tiếp ngoài VPN. Phần lưu ý cuối bài sẽ giải thích cách xử lý giới hạn này.

Cách kiểm tra VPN WireGuard đã hoạt động thành công

Sau khi nhấn Activate, bạn nên kiểm tra cả kết nối WireGuard và khả năng truy cập Internet.

Kiểm tra trạng thái kết nối trên VPS

Quay lại Terminal của VPS và chạy:

sudo wg show

Nếu thiết bị đã trao đổi dữ liệu thành công, thông tin Peer sẽ có các mục như:

• latest handshake: Thời điểm trao đổi khóa gần nhất.
• transfer: Lượng dữ liệu đã nhận và gửi.
• endpoint: Địa chỉ và cổng mạng của thiết bị đang kết nối.

Việc xuất hiện handshake gần đây cùng dữ liệu truyền nhận là dấu hiệu cho thấy đường hầm WireGuard đang hoạt động.

Tuy nhiên, handshake thành công chưa chứng minh rằng Internet đã được định tuyến đúng qua VPS.

Kiểm tra địa chỉ IP công khai

Trên máy tính Windows, mở PowerShell và chạy:

curl.exe -4 https://api.ipify.org

Trước tiên, bạn có thể chạy lệnh khi VPN chưa được kích hoạt để ghi nhận địa chỉ IPv4 ban đầu.

Sau đó:

1. Bật VPN WireGuard.
2. Chạy lại lệnh kiểm tra IP.
3. So sánh kết quả với địa chỉ IPv4 công khai của VPS.

Nếu kết quả sau khi bật VPN trùng với IPv4 công khai của VPS, lưu lượng truy cập IPv4 dùng để kiểm tra đang đi qua máy chủ VPN.

Bạn cũng nên thử mở một số website để xác nhận kết nối Internet hoạt động bình thường.

Đối với DNS, có thể kiểm tra tại https://www.dnsleaktest.com/ hoặc sử dụng các công cụ kiểm tra DNS tương đương. Kết quả cần được đánh giá cùng với cấu hình DNS và cách trình duyệt xử lý truy vấn tên miền.

Những lỗi thường gặp khi tạo VPN bằng WireGuard

Khi tự cài WireGuard, phần lớn sự cố liên quan đến khóa bảo mật, firewall, NAT hoặc định tuyến mạng.

Để kiểm tra trạng thái dịch vụ, chạy:

sudo systemctl status wg-quick@wg0 --no-pager

Nếu WireGuard không khởi động, xem nhật ký chi tiết:

sudo journalctl -u wg-quick@wg0 -n 50 --no-pager

Kiểm tra IP Forwarding:

sysctl net.ipv4.ip_forward

Kiểm tra quy tắc NAT:

sudo iptables -t nat -S POSTROUTING

Kiểm tra những quy tắc chuyển tiếp:

sudo iptables -S FORWARD

Nếu thay đổi cấu hình wg0.conf liên quan đến PostUp, PostDown hoặc địa chỉ giao diện, có thể khởi động lại dịch vụ:

sudo systemctl restart wg-quick@wg0

Việc khởi động lại sẽ tạm thời ngắt các kết nối WireGuard đang sử dụng. Nên kiểm tra kỹ cấu hình trước khi thực hiện trên máy chủ đang phục vụ nhiều người dùng.

Những lưu ý khi sử dụng VPN riêng trên VPS

Tự quản lý máy chủ VPN mang lại khả năng kiểm soát tốt hơn, nhưng cũng đồng nghĩa với việc người dùng phải chủ động duy trì bảo mật và tính ổn định.

1. Giữ bí mật khóa riêng tư

Không đăng nội dung PrivateKey, tệp cấu hình chứa khóa riêng tư hoặc mã QR cấu hình VPN lên website, diễn đàn và mạng xã hội. Nếu nghi ngờ khóa đã bị lộ, cần thu hồi cấu hình tương ứng và tạo lại cặp khóa mới.

2. Cấu hình IPv6 phù hợp

Hướng dẫn hiện tại chỉ chuyển tiếp IPv4. Trên thiết bị hỗ trợ IPv6, lưu lượng IPv6 có thể không đi qua đường hầm. Bạn có thể cân nhắc thay cấu hình phía Windows thành:

AllowedIPs = 0.0.0.0/0, ::/0

Thiết lập này yêu cầu ứng dụng định tuyến cả IPv4 và IPv6 qua WireGuard. Tuy nhiên, vì máy chủ trong hướng dẫn chưa được cấu hình chuyển tiếp IPv6, lưu lượng IPv6 có thể không truy cập Internet được.

Muốn sử dụng VPN hỗ trợ IPv6 đầy đủ, cần cấu hình thêm địa chỉ IPv6, chuyển tiếp và firewall phù hợp trên VPS. Không nên xem việc thêm ::/0 là giải pháp hoàn chỉnh cho mọi vấn đề rò rỉ lưu lượng.

3. Phân biệt Full Tunnel và Split Tunnel

Cấu hình AllowedIPs = 0.0.0.0/0 trong ví dụ là Full Tunnel dành cho IPv4, giúp chuyển toàn bộ lưu lượng IPv4 qua máy chủ VPN. Nếu chỉ muốn truy cập mạng nội bộ WireGuard mà không chuyển Internet qua VPS, có thể sử dụng:

AllowedIPs = 10.66.66.0/24

Đây là hình thức Split Tunnel đơn giản, chỉ định tuyến mạng VPN nội bộ qua đường hầm.

4. Mỗi thiết bị nên có một cặp khóa riêng

Nếu muốn kết nối nhiều máy tính hoặc điện thoại, bạn nên tạo một Peer riêng cho từng thiết bị, sử dụng khóa bảo mật và địa chỉ IP VPN không trùng nhau. Cách quản lý này giúp thu hồi quyền truy cập của một thiết bị mà không ảnh hưởng đến các thiết bị còn lại.

5. Theo dõi băng thông và tài nguyên VPS

Khi sử dụng VPN theo chế độ Full Tunnel, lưu lượng Internet của máy tính sẽ đi qua VPS. Vì vậy, tốc độ thực tế phụ thuộc vào kết nối của người dùng, hạ tầng mạng VPS, vị trí máy chủ và giới hạn băng thông của gói dịch vụ. Bên cạnh đó, hãy thường xuyên cập nhật hệ điều hành và kiểm tra trạng thái WireGuard để hạn chế các sự cố bảo mật, gián đoạn.

Kết luận

Tạo VPN riêng trên VPS bằng WireGuard là giải pháp phù hợp khi bạn muốn chủ động quản lý kết nối VPN mà không phụ thuộc hoàn toàn vào một dịch vụ VPN thương mại. Chỉ với VPS Ubuntu, một cặp khóa bảo mật và cấu hình mạng phù hợp, bạn đã có thể thiết lập đường hầm VPN cho thiết bị cá nhân.

Những câu hỏi thường gặp