WireGuard VPS 对比 VPN 订阅 — 免 KYC

自建出口还是租用机房舰队：Core 单人 WireGuard 服务器刊例价 $6/月（年付折合 $4.80），对比共享型 VPN 订阅。

自建出口，还是租用机房舰队

一个反直觉的事实是：VPN 订阅并没有把“信任”从等式里拿掉——它只是用一个被信任方替换了另一个。你的流量和成百上千的其他租户从同一个出口出去，服务商能看到连接元数据，而“不记录日志”只是一纸承诺，不是一栋你可以亲手检查的建筑。而在自己的 VPS 上自建 WireGuard 网关，用户只有一个，日志问题便自行消解：没有别人连上来，也就没有别的可记录。

从机制上讲，WireGuard 是一个小巧、经受过大量代码审查的内核级 VPN，项目官方的快速上手一屏就能读完。一条隧道就是一次密钥对交换加路由规则：wg genkey 生成私钥，peer 行发布对应的公钥，AllowedIPs 决定哪些目标走这条加密通道。在 OpenBSD 上，同样的概念以 wg(4) 接口的形式内置于内核，因此这套思路跨系统迁移时形态不变。

拥有自己的出口主机，代价是你成了自己的运维部门，而本页稍后的时间账会说明：这大约花掉一次性十五分钟，之后几乎为零。你放弃的是商业地址池的地址信誉维护，以及共享出口的“人海掩护”——这些在特定场景下是实打实的损失，本文会在下面几节里诚实面对，而不是一笔带过。

这一阶段最容易犯的错，是只比月费、不看两者各自为什么而生。订阅是一项带机房舰队、客服台和一份需要你凭信仰接受之隐私政策的服务；而租用的一小片是 root 登录在你手里的基础设施，每一句宣传都可验证。它们回答的是不同的问题，诚实的比较应该按用例逐项进行，而不是按账单行逐项进行。

共享出口在信誉上的代价

共享出口背负着上面所有人的行为历史，而信誉系统看得一清二楚。当数百个租户从同一个地址上网，流媒体平台会标记它，银行会弹出二次验证或者直接返回 HTTP 403，一些 API 会整段拒收该地址段。你自己可以行得端坐得正，出口照样被限速——这就是和一群你没挑选过的人共用一个地址的结构性代价。

单人网关把这套模型反过来。地址只有你在用，它的信誉完全属于你，那些拒收已知 VPN 地址段的服务看到的就是它本来的样子：一台跑在不限流量 1 Gbps 端口上的普通服务器。对银行门户、店铺后台和工作 API 来说，这往往就是“服务能用”和“服务永远对你客气地拒绝”之间的差别。

信誉的修复也是不对称的。一个被标记的共享地址，只能等服务商按自己的时间表、出于自己的理由把它轮换出地址池才能恢复；而你的专属地址，只要引发标记的行为一停止、按你的时间表就能恢复。这种不对称会改变你的操作方式：给自己的批量任务限速，除非你享受排查投递问题，否则别让邮件走这条管道——地址就会一直不起眼。对一个互联网地址来说，“不起眼”是一项资产，你只要永远不给人记住它的理由，它就在复利增长。

制衡在于“隐身混群”。一个全天候使用的独立地址本身就是一种模式，而人群会让所有人看起来都一样；如果目标是在众人之中不显眼，正确的工具是共享出口或经由 .onion 电路路由，而不是一台更大的 VPS。个人网关给你的是一致的数字身份，而一致性恰恰是“混群”不想要的东西——先想清楚自己买的是哪一个。

指望一个工具同时干两份活，正是这里的失败模式：既要个人出口的稳定身份，又要人群的匿名性。这是两种不同的属性，由两种不同的架构产生，混淆它们的结果是花钱买了一台没法隐身的 VPS 和一份没法办网银的订阅。先拆分用例，再给每个用例配上工具，这场比较就不再是争吵。

自建服务器的赢面在哪

首要场景是日常主力：向 ISP 或校园网要隐私。加密通道把你的 DNS 查询和浏览元数据，从一门心思靠它们变现的运营商手里，挪到一台唯一读者是你自己的机器上。大多数人的真实威胁模型——防本地网络和运营商，而不是防国家——靠这一步就完全覆盖，代价是一台小服务器加十五分钟。

第二个场景是为那些标记共享地址段的服务准备一个稳定的单人地址：银行门户、公司 API、店铺后台，以及一切把人群 IP 当作“有罪推定”的对象。第三个场景是连回自己的设备做站点到站点路由——家庭实验室、NAS、办公室资源——消费级订阅对此完全无能为力，因为舰队里没有哪台机器坐在你的机架上。当这条链路升级为有真实吞吐需求的办公室网关时，租用 Forge：刊例价 $49/月，年付 $39.20，让整颗核心和 2 x 1 TB NVMe 来扛流量。

WireGuard 的漫游能力在日常使用中名不虚传：每台设备一套密钥对，再加一行 PersistentKeepalive = 25，手机和笔记本就能在网络切换时保持连接，省去老协议那一套重连仪式。每设备一对密钥、服务器上每设备一行 AllowedIPs，你的“舰队”就正好等于家里的人口——没有席位授权，没有设备数上限，没有加购弹窗。

陷阱在于：默认把所有流量都路由过去——把 0.0.0.0/0 交给一台网关，它就成了全家网络连接的单点故障。分割隧道只路由私网地址段或指定目标，出口主机重启时全家照样在线。逐台设备决定谁真正需要加密通道；全量路由只是一个默认值，不是一个决定。

订阅仍然赢的场合

流媒体分区换片这门 gymnastics，依然是订阅的主场。商业地址池维护着一份平台方或容忍或整段封禁的地址名录，而对抗平台检测、持续更新这份名录是服务商的全职工作，不是你的。数据中心地址上的自建网关看起来就是它本来的样子，被归类为 hosting 的地址在地域限定片库里就会被区别对待——这是诚实且意料之中的结果。

差旅值得单独说句实话。酒店和机场网络有的只是爱窥探，有的则主动使坏，而订阅类 App 能在陌生操作系统上一键连上，它的价值正是在这种地方兑现的。WireGuard 客户端在路上的表现并不差，但它默认路线图装在你脑子里——配置文件、密钥备份，以及某台酒店电视的强制门户导入失败时的预案。两者都备好，当下再选择，这场比较就不再意识形态化；工具之争在机场休息室里很难有结论，而冗余备份能。

人群隐匿是第二个正当的赢面。隐入租户人海会让你的流量看起来和所有人一样，而一个每天使用的独立地址是一致的、可归因的模式。对于“在众人之中不显眼”这个狭义目标，共享出口或路由到 .onion 服务才是正确的架构，VPS 配置堆得再大也替代不了人海本身。

第三个理由是纯粹的务实：商业 App 把节点、更新和移动端集成全都打理好，零运维，细致到在不稳定的移动网络上把链路 MTU 保持为 1420。这种便利是真实的，为了流媒体这一层常常值回票价。至于对身份敏感的流量——银行、工作、管理后台——留给自建通道；两者在同一台笔记本上可以共存不冲突。

这一节的隐患正好是上一节的反面：指望订阅提供隐私而不是便利。它的架构是一台带政策文件的共享可信中间盒，对“一纸政策够用”的活儿来说这就够了。这类活儿交给它，敏感的留在你亲自 root 的那台机器上，别再逼任何一方工具去干另一方的活。

十五分钟的隧道

WireGuard 的搭建循环能塞进一杯咖啡的时间。下单买机器，用 SSH 密钥登录，安装 wireguard 工具，照着快速上手的几条命令走，再通过 sysctl 用 net.ipv4.ip_forward=1 打开转发。用 wg genkey 和 wg pubkey 给每个客户端生成密钥对，写好 /etc/wireguard/wg0.conf，然后 wg-quick up wg0 把接口拉起来。

诚实地预算这刻钟，这件事教给你的功课才是对的：两分钟下单，三分钟首次登录，剩下十分钟给密钥、转发和配置文件。整个流程不需要事先学过网络课程；快速上手假定的读者只需会改文件、会重启服务，仅此而已。如果第一次尝试在收尾处卡住，下面的排错笔记点名了两个惯犯。一周后再安排一遍重来——不看书、从零重建整个隧道，才是把菜谱变成手艺的那一步。

配置文件就是全部产品：链路内网的 Address，惯例上设为 51820/udp 的 ListenPort，私钥，以及每个客户端一个 [Peer] 块，写明它的公钥和 AllowedIPs。客户端配置把同样的字段镜像反写。如果你对转发和 NAT 那几行陌生，Linux 的 ip(8) 手册有解释，安装页则覆盖你带得来的所有平台上的工具。

把网关放在 Core 上：刊例价 $6/月，年付 $4.80，硬件之争到此为止——2 vCPU 和 4 GB DDR5 加密的数据量远超一个家庭的产出，带宽不限流量，上限是 1 Gbps 端口而非任何配额。账单入账后约一分钟即完成开通，这也是为什么刻钟的承诺把下单这一步也算在内。

最经典的首次翻车，是防火墙从未放行 51820/udp，却被诊断成“WireGuard 坏了”，而真相只是链路根本收不到握手。第二经典是忘了转发和 NAT 规则：握手成功，却没有流量通过。按这个顺序排查——先端口，后转发——几分钟就能闭环，而不是耗掉一整个晚上。

把密钥交给朋友

共享网关在技术上毫无难度——生成密钥对、发出去即可——但它把一条私人链路变成了一张小型信任网络。每个 peer 的流量都从你的地址出去，他们的行为就成了你的 AUP（可接受使用政策）敞口：某个 peer 的滥用，在滥用处理流水线里记在你头上。发密钥要像借车一样，只借给那些你的驾驶表现你敢作保的人。

规模化会带来一些小小的算术。每多一个 peer，吊销面就扩大一分；用户超过个位数之后，具名屏蔽清单就该按任何生产配置的标准来对待——进版本控制、每条注释说明、每季度修剪一次。家庭规模很少需要这种仪式感；学习小组和小团队一年之内就会长到需要。到五个 peer 时就想清楚自己要做哪类运营者，因为四个人够用的习惯，到十四个人时会悄无声息地失效，而且往往坏在全员出差的那一周。

日常运维卫生其实很轻。一人一对密钥，wg0.conf 里的 [Peer] 块全部具名，并养成吊销的习惯——删掉对应块，再用 wg syncconf 应用——设备一丢、合作一结束就执行。由于每个 peer 密钥各不相同，各用户之间的流量大小在接口统计里对你可见，足以让你察觉某个人的使用模式突然不像他自己了。

共享的家庭网关还集中了故障：机器一挂，所有人的加密通道一起挂。家庭规模下这可以接受，团队规模下就值得写进维护须知。可接受使用的规则简短易读——攻击流量、垃圾邮件、钓鱼及其他恶意行为，与其他任何服务一样明令禁止——而AUP 页面就是每个拿到密钥的 peer 一并继承的契约，无论他们读没读过。

头号大错是匿名分发密钥：把一份配置扔进群聊，你的地址就成了公共 VPN，你的账户就成了责任主体。你叫不出名字的 peer，就是你无法作保的 peer，滥用处理流程会替你作答。发密钥时绑定姓名，保持清单更新，这张信任网络才会维持在你原本设定的大小。

出口位置：延迟第一，法律第二

对一条个人链路来说，延迟就是全部用户体验：每一次页面加载都要多付一跳，一个遥远的出口能把快连接拖成慢连接。把机器放在离你近的地方。除公布的溢价站点外，十二个站点统一一个刊例价——冰岛和挪威 +20%，瑞士 +35%，卢森堡 +15%——所以选最近的城市不加一分钱，却在每一个请求上都有回报。

实测胜过假设：从你常用的网络到每个入围站点做一分钟探测——一个简单的 ping，在你实际上网的时间段重复——胜过任何海底电缆地图。自家最后一公里的晚高峰拥塞，往往比跨大西洋光纤更要紧，数字会告诉你这一点。粗略按每千公里三十毫秒作下限，再加上一点对等互联的运气，四十毫秒以内在日常使用中基本无法区分。最优站点常常是那个二线知名城市，比头条城市低半档，成本完全相同。

当出口兼任服务主机时，司法管辖权才登场——同一个地址上跑着邮件中继、网站或 API，或者你的威胁模型在意法律环境时。先选司法管辖权的指南为这个决策排了序，五眼九眼十四眼解读讲清了情报共享的速记符号，而离岸 VPS 指南则为法律敏感度较高的负载描绘了更完整的国旗与法律图景。

双栈在这里悄悄帮忙。每台 VPS 都包含一个 IPv4 地址外加一个 IPv6 /64，WireGuard 在同一条链路上无需额外配置即可承载两个协议族。放在对等互联良好站点上的网关——阿姆斯特丹接 AMS-IX，法兰克福接 DE-CIX——对大多数欧洲用户来说，多出来的那一跳几乎不可见，这正是一条好隧道该有的感觉：被遗忘。

错误的方向，是按司法管辖的坊间传说选出口，然后每天都在为此多付往返延迟。法律决定这台机器“是什么”；至于它对你的浏览“做了什么”，物理规律第一个投票，而且是全票。刻意地选——纯隧道选最近站点，中继承载更多业务时才把法律纳入考量——并把自己用了哪套推理写下来。

不用银行卡结账

结算只收加密货币，共十九种：BTC 和 XMR 领跑，ETH、SOL、LTC、BNB、TRX 随后，然后是 XRP、DOGE、DASH、ADA，服务 Telegram 系生态的 GRAM，以及七条网络上的 USDT——TRC-20、ERC-20、BEP-20、SPL、Polygon、Arbitrum、Optimism。账单按实时汇率换算，年付选项的八折优惠在换汇前先作用于美元总额，这让 USDT 成为美元稳定的那条路。

几条实操提示能替新手省下大麻烦：从自己掌控的钱包按精确金额一次性转账——交易所提币被抽走手续费后常常欠付，卡在人工审核里。记住报价的有效期，实时汇率账单会过期，广播太慢可能意味着付两次。确认时间因币种和网络拥堵而异，从几秒到将近一小时；开通计时从到账开始，而不是从你广播开始。这些都不难，但每一步都有第一次，而这些提示正是为第一次准备的。

身份始终只是凭据形态：注册用一个令牌（token），或邮箱加 12 位密码，全流程不出现护照、手机号或银行卡。加密货币购买指南把结算从头到尾走一遍，门罗币（XMR）指南讲最安静的通道，USDT（泰达币）指南讲稳定币那条，加密货币 VPS 常见问题回答最高频的账单问题。

对一条打算长期使用的链路，年付是无聊但正确的选择：一张账单管十二个月，无自动扣款，无论机器是 VPS 还是独立服务器金属，折扣一视同仁。最小化数据结算指南说明了账户档案里有什么、没有什么，比特币（BTC）支付指南则为偏好直白可预期的人讲清最易读的那条通道。

把支付隐私当成账户卫生的替身，是一切账单讨论跑偏的地方。币种决定公开账本上写着什么，而结算方式决定服务商档案里写着什么，这是两个独立的表面，各有各的指南——匿名性指南把两者的关系画得清清楚楚。按账本选币种，让账户保持凭据形态，两个表面就谁也不会惊扰谁。

WireGuard 隧道：按这个顺序执行

按这个顺序执行，每一步都在验证上一步。第一，拆分用例：哪些流量每天走你的网关，哪些——如果有的话——留给订阅 App 去看流媒体片库、混人群。第二，选位置：为延迟选最近的站点，或者，如果出口还要承载邮件或网站，就按法律选。第三，下单买机器，用 SSH 密钥登录，永远不用密码。

第四，安装 wireguard 工具并生成服务器密钥对；打开 net.ipv4.ip_forward=1，并加上把链路流量伪装出公网接口的 NAT 规则。第五，写好 /etc/wireguard/wg0.conf，每个客户端一个 peer 块，然后 wg-quick up wg0 拉起接口。第六，在防火墙放行 51820/udp，并从你自己网络之外的一台设备确认真实握手成功。

第七，分发客户端配置，一台设备一份，除非你真心要把全部流量都路由到出口，否则用分割隧道的 AllowedIPs。第八，把 peer 清单和吊销流程写成文档——删块、重载——让“注销一台丢失的笔记本”是十秒钟的活儿，而不是一起事故。第九，把无聊的维护排上日程：软件包更新，每季度一次恢复演练，每月确认网关还在应答。

第十，也是最不体面的一步：写回滚方案。一条人人依赖的链路，需要一份写下来的“说不”的方式——哪条防火墙规则能停用它，哪处 DNS 改动能把流量挪走，要通知谁。家庭会跳过这一步直到第一次失败的更新，团队会跳过它直到第一次宕机，两者后悔的是同一段被省略的文字。花十分钟写个文本文件，每次变更后回看一遍，出口就始终是资产，而不是一个没有关闭开关的单点故障。

按这个顺序保持下去，搭建始终是一刻钟的项目，背后是数年的安静运行。网关只干一件事——搬运你的数据包——上面每一个决定，都是为了让这件事保持小巧、可检视、且属于你。当用例变了，从头再跑一遍这个顺序；第二次走这些步骤，成本很低。这就是“拥有出口”的全部论证：这套活儿装得进你的脑子。