Fer bon marché pour serveur VPN : que choisir en 2025

Si vous lisez ceci, vous avez probablement déjà essayé des VPN gratuits qui réduisent la vitesse de manière honteuse, ou des services payants qui fonctionnent par intermittence. Votre propre infrastructure, c'est un autre niveau de contrôle. Mais quel matériel bon marché pour serveur VPN vaut vraiment la peine d'être acheté, et quoi jeter l'argent par les fenêtres ? Analysons concrètement : cartes mères monoplaques, mini-PC, routeurs, chiffres réels de performance et — ce qui est important pour la Russie — quel protocole le RKN ne bloquera pas dans un mois.

Pourquoi mettre en place votre propre serveur VPN et quel matériel est nécessaire

Un service VPN payant, c'est un serveur étranger, un protocole étranger et une adresse IP étrangère. Vous ne contrôlez pas comment le trafic est masqué en HTTPS légitime, vous ne pouvez pas changer le protocole en réponse aux nouveaux blocages. Votre propre serveur, c'est une liberté de configuration complète.

C'est particulièrement important en Russie, où l'inspection de paquets profonds (DPI) des fournisseurs d'accès sait reconnaître et bloquer les signatures des protocoles populaires. Quand le RKN émet une ordonnance, le fournisseur ferme le trafic via l'équipement TSPU. Si vous avez votre propre protocole avec le bon masquage, vous changez simplement la configuration sans attendre que le service se mette à jour.

Votre propre serveur vs VPN payant : quelle est la vraie différence

Un VPN payant vous donne un clic et une application prête à l'emploi. Votre propre serveur nécessite 2-4 heures de configuration initiale et une compréhension de ce qui se passe. En revanche, l'adresse IP vous appartient uniquement — pas de "cette adresse est bloquée parce que 500 personnes l'utilisaient sur le même service".

Un autre point : les services VPN russes, sous la pression du RKN, quittent périodiquement le marché ou commencent à filtrer le trafic. Un service étranger n'est pas sous juridiction russe, mais peut être bloqué lui-même. Votre propre serveur sur un VPS étranger, c'est l'or fin.

Exigences matérielles minimales pour WireGuard et VLESS/XRay

WireGuard est minimaliste : fonctionne avec 256 Mo de RAM et un noyau de processeur. Vraiment, sur Orange Pi Zero avec 512 Mo de RAM, WireGuard démarre sans problème, ne vous attendez juste pas à 1 Gbit/s.

VLESS/XRay avec Reality nécessite un peu plus : 512 Mo de RAM minimum, mieux 1 Go. XRay est écrit en Go, pas de compilation JIT, mais ce n'est pas très lourd. Sur Raspberry Pi 4 avec 2 Go de RAM, cela fonctionne parfaitement, la charge CPU avec un trafic actif est de 20-40 %.

Shadowsocks-2022 par charge CPU est à peu près comme WireGuard, mais ajoute une surcharge de chiffrement. Sur faibles ARM Cortex-A53 (Orange Pi Zero, anciens Pi), c'est notable.

Où héberger physiquement le serveur : à la maison, sur VPS ou chez un hébergeur

À la maison : vous avez besoin d'une adresse IP statique (ou DDNS) et de ports ouverts. De nombreux fournisseurs russes sont derrière CGNAT — les connexions entrantes sont physiquement impossibles sans configuration supplémentaire. Vérifiez à l'avance : si votre adresse IP externe commence par 100.64.x.x ou 10.x.x.x — vous avez CGNAT.

VPS à l'étranger (Hetzner, DigitalOcean, Vultr) — l'option optimale. À partir de 3-5 $/mois pour un serveur de base en Allemagne ou en Finlande. L'adresse IP statique est incluse. Aucun problème avec CGNAT et les connexions entrantes

ями.

Домашнее железо + зарубежный VPS — комбо для параноиков и перфекционистов: всё управление у вас, выходной трафик через зарубежный IP.

Топ дешёвых вариантов железа для VPN-сервера

Поговорим о конкретных устройствах с реальными ценами. Цены актуальны на начало 2025 года, ориентируйтесь на Ozon/Wildberries/AliExpress — разброс есть, но порядок цифр примерно такой.

Одноплатники: Raspberry Pi 4/5, Orange Pi, Banana Pi — цены и производительность

Raspberry Pi 4 (2 ГБ) — около 4000-5500 рублей на Ozon (с учётом серых поставок). Процессор Cortex-A72 на 1.8 ГГц даёт ~400-600 Мбит/с с WireGuard в реальных условиях. Гигабитный Ethernet есть. Поддержка сообщества огромная — любой вопрос решается за 5 минут гугления.

Raspberry Pi 5 (4 ГБ) — ~7000-9000 рублей. Cortex-A76, заметно быстрее, но требует отдельного активного охлаждения для 24/7 работы. Некоторые старые образы для Pi 4 на нём не запускаются — проверяйте совместимость образа ОС перед скачиванием.

Orange Pi 3 LTS — 2500-3500 рублей. Allwinner H6, Cortex-A53. Производительность ниже Pi 4 примерно вдвое: WireGuard ~150-250 Мбит/с. Для одного-двух пользователей вполне хватает. Покупайте только официальный вариант — на AliExpress встречаются клоны с другими чипами флеш-памяти, у которых зависает ОС.

Banana Pi M5 — ~3500-4500 рублей. Amlogic S905X3, тот же Cortex-A55 класс. Неплохая альтернатива Orange Pi, но документация хуже.

Мини-ПК: N100, Celeron J4125 — лучший баланс цены и мощности

Intel N100 — это другой уровень. x86-архитектура, AES-NI из коробки, что даёт аппаратное ускорение для OpenVPN и других протоколов с AES-шифрованием. Мини-ПК на N100 стоят 8000-12000 рублей на Ozon (бренды типа BMAX, MinisForum, Trigkey).

WireGuard на N100 выдаёт 900+ Мбит/с — почти гигабит. XRay с VLESS+Reality — 400-600 Мбит/с даже с тяжёлым TLS. Это уже сервер уровня небольшого офиса, не просто личный VPN.

Celeron J4125 — чуть старше, ~6000-9000 рублей за готовый мини-ПК. Производительность немного ниже N100, но AES-NI тоже есть. Хороший вариант если нашли по скидке.

Старый ноутбук или ПК как VPN-сервер: когда это оправдано

Если у вас дома валяется ноутбук с Core i3/i5 и 4 ГБ RAM — это бесплатное железо для VPN-сервера. Встроенный аккумулятор работает как UPS при отключении электричества. Минусы: 15-45 Вт потребления против 3-5 Вт у Raspberry Pi, плюс шум вентилятора.

Для постоянного использования это невыгодно экономически — за год разница в электричестве набегает 1500-4000 рублей. Но для тестирования или временного сервера — отлично.

Роутеры с OpenWRT: GL.iNet, TP-Link — самый компактный вариант

GL.iNet Beryl AX (MT3000) — 6000-8000 рублей. MediaTek MT7981B, 256 МБ RAM, WireGuard прямо из коробки в веб-интерфейсе. Потребление ~5 Вт. Но есть нюанс: порт 2.5G там один, остальные — 1G. Длpour la plupart ce n'est pas un problème.

Une limitation importante de tous les routeurs bon marché : si vous avez des ports Fast Ethernet (100 Mbit/s) — c'est le plafond physique de la vitesse, aucun logiciel ne peut aider. Consultez les spécifications des ports avant d'acheter.

TP-Link Archer C7 et similaires sur OpenWRT fonctionnent, mais le CPU y est faible — WireGuard atteindra 50-80 Mbit/s maximum. Pour un utilisateur c'est acceptable, pour une famille non.

Tableau comparatif : prix / consommation / vitesse WireGuard

Appareil	Prix (rub.)	CPU	RAM	WireGuard (Mbit/s)	Consommation
Orange Pi 3 LTS	2500–3500	Cortex-A53 × 4	2 Go	~150–250	~3 W
Raspberry Pi 4 (2 Go)	4000–5500	Cortex-A72 × 4	2 Go	~400–600	~4 W
Raspberry Pi 5 (4 Go)	7000–9000	Cortex-A76 × 4	4 Go	~700–900	~5–8 W
GL.iNet Beryl AX	6000–8000	MT7981B × 2	256 Mo	~300–400	~5 W
Mini-PC N100	8000–12000	Intel N100 × 4 (x86)	8–16 Go	~900+	~10–15 W
Mini-PC J4125	6000–9000	Celeron J4125 × 4	4–8 Go	~700–800	~8–12 W

Quel protocole choisir pour votre serveur face aux blocages de RKN

C'est la section la plus importante si vous vivez en Russie. Vous pouvez acheter du matériel serveur VPN bon marché idéal, mais si le protocole est bloqué au bout de 2 semaines — tout est perdu.

WireGuard : rapide, mais facile à bloquer via UDP

WireGuard — un protocole techniquement supérieur. Code minimaliste (environ 4000 lignes), cryptographie rapide Curve25519/ChaCha20, faible ping. Dans un monde sans DPI — un choix idéal.

En Russie — c'est un problème. WireGuard fonctionne en UDP et a des signatures caractéristiques dans les premiers paquets de la poignée de main. L'équipement TSPU des fournisseurs le reconnaît et le bloque. De plus, certains FAI appliquent l'étranglement UDP : ils ne bloquent pas explicitement, mais réduisent le trafic UDP à 5-10 Mbit/s. Vous penserez que tout fonctionne, juste lentement.

VLESS + XRay + Reality : le meilleur choix pour contourner le DPI en Russie

VLESS avec transport Reality — est actuellement l'option la plus résistante au DPI. Reality masque la connexion sous une véritable poignée de main TLS avec un vrai domaine (par exemple, microsoft.com ou apple.com). Le DPI voit un HTTPS légitime sur le port 443 — rien à bloquer.

XRay — c'est un fork de V2Ray avec des fonctionnalités supplémentaires, y compris Reality. Il s'installe en une seule com

посредством официального скрипта. На мини-ПК с N100 работает отлично. На Orange Pi Zero с Cortex-A53 — медленно, потому что нет аппаратного ускорения AES, и XRay нагружает CPU на 70-80% при 100 Мбит/с трафика.

Shadowsocks-2022 : компромисс между скоростью и маскировкой

Shadowsocks-2022 — обновлённая версия старого протокола с улучшенной криптографией (AEAD-2022). Маскировка хуже чем у Reality, но лучше чем у чистого WireGuard. Трафик выглядит как случайные данные, что уже затрудняет сигнатурный анализ.

Главный плюс для слабого железа: нагрузка на CPU меньше чем у XRay. На Orange Pi 3 LTS разница в загрузке CPU между Shadowsocks-2022 и XRay может достигать 30-40%. Если у вас ARM Cortex-A53 плата — Shadowsocks-2022 более практичный выбор.

Amnezia VPN : готовое решение поверх обычного железа

Amnezia — российский open-source проект, который берёт WireGuard и добавляет к нему мусорные пакеты (junk packets) перед реальным хэндшейком. DPI не может распознать сигнатуру WireGuard, потому что видит нестандартную последовательность пакетов.

AmneziaWG работает практически на любом железе где работает обычный WireGuard — накладные расходы минимальные. Клиентские приложения есть для Android, iOS, Windows, macOS. Хорошее решение если вы уже настроили WireGuard и хотите быстро добавить защиту от DPI без переустановки всего.

OpenVPN и IKEv2 : когда их ещё имеет смысл использовать

OpenVPN по TCP на порту 443 — старая, но рабочая схема. Трафик выглядит как HTTPS для большинства провайдеров без глубокого анализа. Скорость ниже WireGuard на 30-50%, CPU нагрузка выше. Зато работает почти везде и поддерживается абсолютно всеми клиентами.

IKEv2 — для корпоративных сценариев и iOS (встроенная поддержка). В контексте обхода блокировок РКН — слабый выбор: блокируется относительно легко. Используйте только если нужна совместимость с конкретным корпоративным решением.

Пошаговая настройка VPN-сервера на дешёвом железе

Установка ОС : Debian/Ubuntu vs Alpine Linux для экономии ресурсов

На Raspberry Pi 4 используйте Raspberry Pi OS Lite (64-bit) — это оптимизированный Debian для этой платформы. Скачивайте с официального raspberrypi.com, версию без десктопа (Lite). Записывайте через Raspberry Pi Imager — он же настраивает SSH и hostname до первого запуска.

Для мини-ПК на x86 — Debian 12 Bookworm Minimal или Ubuntu Server 24.04 LTS. Alpine Linux экономит RAM, но репозитории беднее и некоторые пакеты нужно собирать вручную. Для новичка это лишняя головная боль.

Установка WireGuard за 10 минут : команды и конфиг

На Debian/Ubuntu:

apt update && apt install -y wireguard
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
chmod 600 /etc/wireguard/server_private.key

Конфиг /etc/wireguard/wg0.conf:

[Interface]

# Clé privée du serveur PrivateKey = <contenu server_private.key> # Adresse du serveur dans le réseau VPN Address = 10.0.0.1/24 # Port — de préférence non standard, mais si le fournisseur bloque UDP — c'est un problème ListenPort = 51820 # Activer le forwarding du trafic PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE [Peer] # Clé publique du client PublicKey = <client_public.key> AllowedIPs = 10.0.0.2/32

Activer et démarrer :

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Si votre fournisseur bloque le trafic UDP sur des ports non standard — changez ListenPort à 53 (DNS) ou utilisez wstunnel pour encapsuler WireGuard dans WebSocket.

Installation de XRay/VLESS avec Reality sur mini-PC ou carte unique

Script d'installation officiel de XRay (version 1.8.x et supérieure) :

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Après l'installation, la configuration se trouve dans /usr/local/etc/xray/config.json. Pour Reality, vous devez générer une paire de clés :

xray x25519

Dans la configuration, vous spécifiez "dest": "www.microsoft.com:443" — XRay redirigera les connexions non reconnues vers Microsoft, créant un camouflage convaincant.

Connexion des clients : Android, iPhone, Windows, routeur

WireGuard Android/iOS : application WireGuard officielle du Play Store/App Store. Vous générez un code QR de la configuration avec la commande qrencode -t ansiutf8 < client.conf, vous le scannez avec votre téléphone.

VLESS/XRay sur Android : application v2rayNG (Google Play). Vous copiez un lien de la forme vless://uuid@ip:443?..., vous le collez dans l'application.

VLESS/XRay sur iOS : application Streisand ou Shadowrocket (payant, $2.99). Importation du même lien.

Windows : pour WireGuard — client officiel wireguard.com, importation du fichier .conf. Pour XRay — Nekoray ou Hiddify.

Surveillance et sécurité : fail2ban, mises à jour automatiques

Ensemble minimal pour la sécurité :

apt install -y fail2ban unattended-upgrades
systemctl enable fail2ban
dpkg-reconfigure -plow unattended-upgrades

Fail2ban ferme automatiquement les tentatives de brute force SSH. Unattended-upgrades installe les correctifs de sécurité sans votre intervention. Changez le port SSH de 22 à quelque chose de non standard et désactivez l'authentification par mot de passe — clés uniquement.

Ce qui ne fonctionne pas et erreurs typiques lors du choix du matériel

Pourquoi une adresse IP domestique ne convient pas pour un VPN en Russie

Même si vous avez résolu le problème CGNAT et obtenu une adresse IP statique auprès de votre fournisseur — l'adresse IP domestique est problématique pour une autre raison.

Les fournisseurs russes ont le droit et les capacités techniques de bloquer des adresses IP spécifiques de leurs utilisateurs sur demande. De plus, votre IP est dans la plage d'un fournisseur russe — certains services étrangers le filtrent davantage.

Schéma correct : matériel maison + VPS à l'étranger comme nœud de sortie. À la maison, il y a un Raspberry Pi ou un mini-PC, il se connecte par tunnel à votre serveur en Allemagne, tout le trafic passe par l'IP allemande. Ainsi, personne ne connaît votre adresse personnelle.

Routeurs sans NAT matériel : goulot d'étranglement en vitesse

De nombreux routeurs budgétaires avec OpenWRT n'ont pas d'accélération matérielle NAT. Avec le trafic VPN, tout le forwarding passe par le CPU, qui sur les routeurs MIPS de 2016-2018 est franchement faible. La vitesse réelle peut être de 20-40 Mbit/s avec un théorique de 300 Mbit/s du routeur.

GL.iNet sur MediaTek MT7621/MT7981 est meilleur — Software Flow Offloading y fonctionne et donne un gain notable. Mais le matériel plus ancien que 2020 avec processeur MIPS pour serveur VPN — c'est de la camelote, ne perdez pas de temps.

Cartes mères avec Ethernet 100 Mbit/s — limite cachée

Orange Pi Zero, Banana Pi M2 Zero, certains anciens Raspberry Pi — ils ont physiquement 100 Mbit/s Ethernet ou seulement WiFi. WireGuard peut fournir 300 Mbit/s en CPU, mais le réseau sera un goulot d'étranglement à 100 Mbit/s. Vérifiez les spécifications avant d'acheter.

Raspberry Pi 4 et 5 — Ethernet gigabit. Orange Pi 3 LTS — aussi gigabit. C'est le minimum pour une utilisation normale.

Chaleur et stabilité : problèmes de fonctionnement 24/7 du matériel bon marché

Raspberry Pi 4 sans refroidissement sous charge continue s'étouffe de 1800 MHz à 600 MHz. C'est un vrai problème pour un serveur VPN 24/7. Achetez un boîtier avec radiateur passif pour 300-500 roubles — cela résout complètement le problème sans un seul ventilateur.

Les petits PC chinois bon marché du type « no-name N100 » ont parfois un module WiFi instable et une alimentation médiocre. Connectez via Ethernet, le WiFi n'est pas du tout nécessaire pour un serveur. Achetez une alimentation avec une marge — une alimentation bon marché 12V/1A sous charge peut présenter des chutes.

Chapitre à part — les hébergeurs bon marché dans des endroits exotiques (1 $/mois pour un VPS en Moldavie ou au Kazakhstan) : pannes de courant, connexion instable, parfois simplement hors ligne pendant plusieurs heures. Hetzner, Contabo, DigitalOcean — payez 2 $ de plus, mais vous dormirez tranquille.

Alternative à votre propre serveur : quand choisir un VPN prêt

Quand l'hébergement indépendant n'est pas rentable

Votre propre serveur VPN sur du matériel serveur VPN bon marché — c'est un projet. Pas une application, pas un abonnement, mais exactement un projet avec une configuration initiale, une maintenance périodique et la résolution de problèmes comme « le serveur a gelé à 3 heures du matin et tout le monde à la maison n'a pas d'Internet ».

Calculons le TCO réel : Raspberry Pi 4 (~5000 roubles une fois) + boîtier avec refroidissement (~500 roubles) + carte microSD (~600 roubles) = ~6100 roubles d'une seule fois. Électricité : ~4 W × 24 h × 30 jours × 6 roubles/kWh = ~17 roubles par mois. VPS à l'étranger (Hetzner CX11, 2 Go RAM, Allemagne) = ~3,5 $/mois ≈ 320 roubles.Total : ~6100 roubles d'entrée + ~340 roubles/mois. En 6 mois, c'est ~8100 roubles. Plus votre temps pour la configuration et le support.

Un service VPN prêt à l'emploi avec un support normal du contournement des blocages coûte 100-500 roubles par mois. En 6 mois — 600-3000 roubles, zéro temps de configuration. Pour les utilisateurs non techniques, le choix est évident.

NvoVPN et autres services comme alternative prête à l'emploi sans matériel

Si vous ne voulez pas vous embêter avec les configs et les mises à jour, un service prêt à l'emploi est un choix raisonnable. NvoVPN, par exemple, supporte déjà les protocoles modernes pour contourner le DPI et ne nécessite l'achat d'aucun matériel — téléchargez simplement l'application et connectez-vous.

Votre propre serveur a du sens si : vous avez des connaissances techniques et le désir de contrôler chaque aspect, vous êtes prêt à investir du temps, ou vous avez des exigences spécifiques (par exemple, une adresse IP de sortie spécifique pour travailler avec certains services). Dans les autres cas — évaluez sobrement si ça en vaut la peine.