在VPS上自托管无日志WireGuard VPN

“无日志”是VPN行业中最常被重复的承诺，也是最难验证的。每个商业提供商都印上这句话，少数付费审计捕捉某一时刻，其余都要求你凭信仰接受。有一种更干净的方式获得同样的保护，而无需信任任何人的营销：自己运行端点。无日志WireGuard VPS将政策从你必须相信的口号变成你可以阅读的配置，因为机器是你的，日志开关在你手中。本指南从高层次概述整个路径——为什么自托管胜出，WireGuard盒子如何组装，如何保持真正的无日志，以及如何在不将服务器与你的名字关联的情况下构建和管理它。

为什么自托管胜过商业“无日志”VPN

大多数主流VPN应用已经在底层运行WireGuard，因此租用他们的出口与构建自己的出口之间的区别不在于协议或速度，而在于谁持有信任。当一家公司声称不记录日志时，你无法检查其服务器、虚拟机管理程序、上游提供商或它可能悄悄收到的法律命令。这种说法完全在你的控制之外。当你拥有这台机器时，同样的说法就变成了你可以逐行检查的东西：WireGuard默认不记录连接或流量内容，除非你明确配置。

还有第二个更微妙的优势——目标形状。流行VPN的出口IP是众所周知的。它们被列入黑名单、被指纹识别，并与成千上万你无法影响其行为的陌生人共享。你自己的端点是一个不起眼的服务器IP，只有你使用。这对于消失在人群中更不利，但对于保持一个稳定、无争议且完全属于你的身份更有利。在两者之间选择实际上意味着选择你优化的目标：人群掩护，还是控制。自托管端点完全关乎控制——对出口、密钥和日志的控制。

开始前你需要什么

所需组件不多。WireGuard以轻量著称——个人隧道几乎不占用CPU或内存，真正的限制是每月带宽而非计算能力。你需要三样东西：

一台你完全控制的VPS，具有root权限和干净的公共IP。我们最小的无日志WireGuard VPS套餐正是为此设计——为一个人或一个家庭提供单一常开隧道。
一个最近的Linux安装（Debian或Ubuntu LTS最不令人意外），带有内核WireGuard模块，该模块随每个当前内核提供。
一个客户端设备——笔记本电脑、手机或路由器——持有自己的私钥并连接回端点。

这里不需要控制面板、回传的安装脚本或任何预构建镜像。自托管的意义在于堆栈只包含你放入的内容，因此从普通操作系统开始，只添加WireGuard，别无其他。

高层WireGuard设置

WireGuard的整个设计理念是小到可以审计，设置也反映了这一点。在概念层面，一个工作的隧道是四个步骤：

1. 在每一侧生成密钥对

每个对等方——服务器和每个客户端——都有自己的私钥和匹配的公钥。私钥永远不会离开其所属设备。在服务器上生成服务器的密钥（或离线生成并仅复制必要内容），并在客户端上生成每个客户端的密钥。WireGuard对等方仅通过公钥进行身份验证，因此整个过程中没有密码、证书或账户。

2. 编写服务器接口配置

服务器获得一个接口——通常为wg0——包含其私钥、一个监听UDP端口以及隧道子网的内部地址（私有范围内的地址，如10.8.0.0/24）。然后为每个客户端添加一个[Peer]块，每个块指定该客户端的公钥和允许使用的隧道地址。这个allowed-ips列表也是访问控制列表：对等方只能从你授予的地址发送流量。

3. 启用转发和出口的防火墙规则

要使机器充当VPN出口而非仅私有网格，请在内核中启用IP转发，并添加NAT规则，使隧道流量从服务器的公共接口伪装出去。这是人们容易出错的地方——没有转发和NAT，客户端可以连接但无法访问互联网。否则保持防火墙严格：仅向世界开放WireGuard UDP端口，其余全部关闭。

4. 启动接口并将客户端指向它

启动接口，通过将其作为服务启用确保重启后存活，并向每个客户端提供配置，指定服务器的公钥、其公共IP和端口，以及如果希望客户端通过隧道路由所有流量，则设置allowed-ips为0.0.0.0/0。WireGuard自己的快速入门文档涵盖了确切命令；上述形状就是这些命令的总和。

这就是整个心智模型。没有守护进程动物园，没有庞大的配置，而且——关键的是——默认设置中没有任何内容记录谁连接了或他们的数据包去了哪里。

保持真正的无日志

这是让整个练习有价值的部分。WireGuard默认不记录连接或流量——wg工具显示每个对等方的实时握手时间戳和传输计数器，但该状态存在于内存中，不会作为历史记录写入磁盘。因此，在你自己的机器上“无日志”不是你要开启的功能；它是默认状态，你的工作只是避免悄悄撤销它。需要注意的几点：

跳过日志脚本。许多设置教程添加PostUp钩子来记录对等方活动或运行连接会计。如果你想要真正的无日志端点，请省略这些。每一行记录谁连接的日志，都是你以后必须辩护的行。
驯服系统日志。 操作系统本身会保留日志——认证尝试、服务重启、DHCP。这些都不是WireGuard流量日志，但它们仍然是记录。积极削减journald的保留期限，或者将其发送到无处可去的地方，以便在保持可操作性的同时，让服务器尽可能少地记住信息。
加密磁盘。 无日志政策只有在被扣押或快照的磁盘不会泄露信息的情况下才有效。全盘加密意味着即使VPS底层的操作层也只能看到密文，而不是你的密钥或配置。
不要记录DNS。 如果你在服务器上为隧道客户端运行解析器，请确保它不保留查询日志。DNS历史通常是最具揭示性的记录，而且很容易意外开启。

这之所以比商业承诺更值得信赖，归结于激励和可检查性。没有营销部门，没有股东压力，也没有介于您和出口之间的第三方可以在不告知您的情况下更改政策。无日志姿态是您管理的机器的属性，而不是您外包的声明。它建立在我们的无日志VPS方法背后的平台级最小化之上——扩展到由您而非主机商拥有开关的工作负载。

通过Tor管理服务器

如果你构建和管理VPN的方式将服务器与你联系起来，那么无日志VPN的价值就会大打折扣。隧道可能是干净的，但如果你用真实姓名订购VPS，用银行卡支付，并从家庭IP SSH登录，那么服务器周围的元数据就会讲述隧道本应隐藏的故事。缩小这一差距很简单：

匿名下单。通过Tor访问下单流程，留空标识字段，并用Monero支付，这样就没有姓名或银行卡与机器关联。如果在注册时未收集任何信息，以后就没有什么可关联的。这就是匿名VPS背后的全部前提。
通过洋葱进行管理。将SSH绑定到Tor洋葱服务，并通过该方式访问服务器，这样管理路径就不会向服务器提供商或网络观察者暴露家庭IP。Tor项目深入介绍了洋葱服务；实际效果是管理不会留下直接的IP到IP痕迹。
保持数据平面快速。 WireGuard本身是一个UDP隧道，不适合通过Tor运行——那会破坏其速度。诀窍是分离平面：WireGuard在其正常的UDP端口上处理日常流量，而控制平面（SSH、任何面板访问）则通过Tor。你既能获得快速的日常性能，又能获得不泄露任何信息的管理路径。

这样，信任问题的两端都得到了解决。提供商永远不会知道你是谁，网络永远不会看到你管理服务器，端点也不会保留流经它的任何记录。这是一个真正的无日志VPN，链条中的每一个环节都是你可以检查的。

VPN端点的下一步

一旦您拥有了一台完全控制的机器，隧道很少是唯一运行在其上的东西。同一台机器往往会成为您通往其他一切事物的私人前门——跳板主机、访问家中服务的方式，或者您希望其他人无法读取的更大堆栈的入口点。如果您正朝着这个方向前进，我们关于运行私有自托管VPS的指南正好从本文结束的地方继续，基于保持相同无日志、无需KYC姿态的基础设施。WireGuard端点是一个很好的第一个服务，正是因为它教会了这些习惯——拥有密钥、拥有日志、保持元数据干净——这些习惯也使您托管的所有其他内容保持私密。

最后关于范围的说明：隐私不等于无法无天。HushVPS是离岸合法且数据最小化的，为你自己、你的家庭或少数信任的人运行个人或小团体VPN完全在我们的可接受使用政策范围内。使用隧道清洗攻击流量、分发恶意软件或伤害他人则不是。构建你一直被允许拥有的端点——一个无日志承诺由你自己遵守的端点。