Cara Membuat VPN Sendiri: WireGuard di VPS Bayar Monero

VPN self-hosted adalah server WireGuard di VPS kecil yang Anda sewa: ponsel dan laptop Anda tersambung lewat tunnel ke server itu, dan situs yang Anda kunjungi melihat alamat server, bukan koneksi rumah Anda. Membuat VPN sendiri hanya butuh beberapa perintah dan sekitar €3 sampai $10 per bulan, dan jika dibayar dengan Monero ke penyedia yang paling banyak hanya meminta email, tagihannya tidak memuat nama. VPN ini tidak membuat Anda anonim, dan dari kompromi itulah panduan ini dimulai.

Diperiksa pada 1 Oktober 2026.

VPS vs VPN: apa yang disembunyikan masing-masing

VPS (virtual private server) adalah mesin virtual yang Anda sewa; VPS saja tidak menyembunyikan apa pun. VPN (virtual private network) adalah tunnel terenkripsi dari perangkat Anda ke sebuah server: jaringan Anda melihat paket terenkripsi menuju satu alamat, dan situs melihat server itu, bukan Anda.

Pasang perangkat lunak VPN di VPS dan Anda punya VPN sendiri; berlangganan Mullvad atau IVPN dan Anda memakai VPN mereka bersama pelanggan lain. Siapa melihat apa:

Siapa melihat apa	Tanpa VPN	VPN sendiri di VPS	VPN komersial bersama
ISP Anda atau Wi-Fi kafe	Setiap situs yang Anda kunjungi	UDP terenkripsi ke satu server	Lalu lintas terenkripsi ke server VPN
Situs yang Anda kunjungi	IP rumah Anda	IP server Anda, hanya dipakai oleh Anda	IP yang dipakai bersama banyak pelanggan
Pengelola server	Tidak ada server yang terlibat	Penyedia hosting Anda bisa melihat volume trafik dan IP yang tersambung	Perusahaan VPN, sesuai kebijakan log-nya

Kapan VPN self-hosted masuk akal, dan kapan VPN bersama lebih baik

Sebelum membuat VPN sendiri, tentukan dulu dari siapa Anda ingin bersembunyi. VPN buatan sendiri unggul jika ancamannya adalah jaringan tempat Anda tersambung: Wi-Fi hotel, ISP yang mencatat riwayat browsing Anda, filter kantor. VPN ini juga memberi Anda alamat keluar yang tetap, tanpa perusahaan VPN yang harus dipercaya.

VPN ini kalah jika ancamannya ada di ujung yang lain. IP keluar yang hanya Anda pakai berfungsi seperti sidik jari: begitu Anda login ke satu akun atas nama Anda, alamat itu ikut terhubung dengan nama Anda. Penyedia hosting Anda juga tahu bahwa hanya ada satu pelanggan di balik IP itu dan, jika penyedia itu menyimpan catatan aliran trafik (flow records), tahu alamat mana yang tersambung ke sana setiap pagi: rumah Anda.

VPN bersama menyembunyikan Anda di tengah keramaian: setiap alamat keluar mengarah ke perusahaan VPN, bukan ke satu orang tertentu. Kategori VPN & proxy kami mencantumkan VPN bersama yang menerima Monero. Untuk anonimitas terhadap situs itu sendiri, keduanya tidak bisa menggantikan Tor Browser.

Yang Anda butuhkan: VPS KVM, lokasi, pembayaran Monero

KVM, bukan container. VPS KVM punya kernel Linux sendiri yang sudah memuat WireGuard; VPS container (OpenVZ, LXC) memakai bersama kernel milik penyedia dan mungkin tidak mengizinkan Anda memuat WireGuard.

Kecil sudah cukup. Server VPN pribadi hanya butuh sedikit CPU dan memori; yang perlu diperhatikan justru kuota trafiknya. Satu terabyte per bulan setara dengan sekitar 3 Mbit/s tanpa henti 24 jam sehari.

Lokasi yang dekat dengan Anda, karena jarak menambah latensi. Yurisdiksi menentukan siapa yang bisa meminta catatan dari penyedia; panduan offshore kami membahasnya.

Pendaftaran yang tidak membatalkan manfaat pembayaran. Monero membuat nama Anda tidak tercantum di tagihan, tetapi nomor telepon atau verifikasi identitas memunculkannya lagi. Langkah pemesanan selengkapnya ada di panduan tanpa KYC kami.

Pilihan VPS untuk WireGuard yang menerima Monero, diurutkan menurut abjad, berdasarkan halaman resmi masing-masing penyedia:

Penyedia	Paket terkecil	Trafik	Yang diminta saat daftar	Catatan
1984 Hosting	€8,72 / bulan (1 CPU, 1 GB RAM)	1 TB	Email, telepon opsional	Islandia; image WireGuard siap pakai
Cockbox	$10 / bulan (0,5 vCPU, 1 GB RAM)	"Unlimited" di Moldova	Email (tidak diverifikasi) dan kata sandi	Moldova, Rumania; Bitcoin atau Monero
Kyun	Sekitar €3,10 / bulan (1 core, 1 GiB, 10 GB, satu IPv4)	Tidak dipublikasikan	Kata sandi dan teka-teki proof-of-work	Hanya Monero; AS, Belanda, Rumania
Servers Guru	€4,99 / bulan (1 vCPU, 2 GB RAM)	20 TB keluar, masuk tidak dihitung	Email	Belanda, Finlandia, Singapura, Kanada
SporeStack	$4 / bulan (Slow Servers, 768 MiB, IPv4)	0,375 TiB	Tidak ada: Anda mengisi saldo sebuah token	Slow Servers berada di Spokane (AS) dan butuh hingga 48 jam untuk aktif; server DigitalOcean dan Vultr aktif dalam hitungan menit, mulai $7,50 per 30 hari

Mynymbox (mulai €4 per bulan, cukup email) mengizinkan layanan VPN dalam kebijakan penggunaannya (acceptable use policy), tetapi semua paket VPS-nya tertulis stok habis pada hari pemeriksaan. Selengkapnya di kategori VPS.

Cara membuat VPN sendiri: pasang WireGuard di VPS

WireGuard adalah bagian dari kernel Linux sejak versi 5.6, yang dirilis pada Maret 2020 (pengumuman), jadi di Debian 12 atau 13, atau di Ubuntu 24.04 ke atas, tidak ada yang perlu dikompilasi. Login sebagai root dengan kunci SSH Anda, lalu pilih salah satu cara.

Opsi A: WireGuard biasa dengan wg-quick

Server WireGuard lengkap, dikonfigurasi secara manual. Jalankan ip route show default dan catat kata setelah dev (sering kali eth0 atau ens3): gunakan nama itu di mana pun eth0 muncul di bawah ini.

apt update && apt install -y wireguard iptables qrencode
cd /etc/wireguard
umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee phone.key | wg pubkey > phone.pub

Buat /etc/wireguard/wg0.conf:

[Interface]
Address = 10.66.66.1/24
ListenPort = 51820
PrivateKey = <contents of server.key>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <contents of phone.pub>
AllowedIPs = 10.66.66.2/32

Lalu file kliennya, phone.conf:

[Interface]
PrivateKey = <contents of phone.key>
Address = 10.66.66.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = <contents of server.pub>
Endpoint = <server IP>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0, ::/0 mengirim semua lalu lintas ke dalam tunnel; karena server ini hanya meneruskan IPv4, IPv6 akan gagal alih-alih bocor di luar tunnel. Jalankan server dan tampilkan konfigurasi klien sebagai kode QR untuk aplikasi WireGuard:

systemctl enable --now wg-quick@wg0
qrencode -t ansiutf8 < phone.conf

Setiap perangkat tambahan berarti sepasang kunci dan satu blok [Peer] lagi (10.66.66.3/32 dan seterusnya), lalu systemctl restart wg-quick@wg0. Setelah sebuah perangkat menerima konfigurasinya, hapus file .key dan .conf miliknya dari server.

Opsi B: wg-easy di Docker, dengan antarmuka web

wg-easy membungkus WireGuard dalam sebuah container dengan UI web untuk menambah klien dan menampilkan kode QR. Halaman GitHub-nya menunjukkan lisensi AGPL-3.0-only, rilis 15.4.0 dari Agustus 2026, dan commit pada akhir September 2026. Pasang Docker dan unduh file compose-nya:

curl -sSL https://get.docker.com | sh
mkdir -p /etc/docker/containers/wg-easy
cd /etc/docker/containers/wg-easy
curl -o docker-compose.yml https://raw.githubusercontent.com/wg-easy/wg-easy/master/docker-compose.yml

File itu menjalankan ghcr.io/wg-easy/wg-easy:15, dengan WireGuard di UDP 51820 dan UI web di TCP 51821, terbuka ke internet. Proyek ini menyarankan reverse proxy HTTPS untuk mengakses UI dari luar; untuk satu pengguna saja, lebih sederhana menjaga UI tetap privat. Ubah baris port-nya menjadi "127.0.0.1:51821:51821/tcp", lalu hapus tanda komentar pada baris environment: dan baris INSECURE di bawahnya, dengan nilai true. HTTP biasa bisa diterima di sini hanya karena tidak ada apa pun dari luar yang bisa menjangkaunya, dan itulah syarat yang ditetapkan panduan tanpa reverse proxy milik proyek tersebut. Jalankan docker compose up -d, lalu buat tunnel dari komputer Anda dan buka http://localhost:51821 di browser:

ssh -L 51821:127.0.0.1:51821 root@<server IP>

Jangan mengandalkan ufw sebagai cara lain untuk menyembunyikan port tersebut: dokumentasi Docker memperingatkan bahwa port yang dipublikasikan lolos dari aturan ufw.

IP forwarding, firewall, dan DNS

Opsi A memerlukan penerusan paket (file compose wg-easy mengaturnya untuk container-nya), lalu firewall yang hanya mengizinkan SSH dan WireGuard. Ganti 22 jika SSH Anda berjalan di port lain, dan jawab y saat ufw enable memberi peringatan tentang SSH:

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl --system
apt install -y ufw
ufw allow 22/tcp
ufw allow 51820/udp
ufw route allow in on wg0 out on eth0
ufw enable

Baris DNS = menentukan siapa yang menjawab kueri DNS Anda. Dengan 9.9.9.9 (Quad9), kueri melintasi tunnel, sehingga ISP Anda tidak lagi melihatnya, tetapi Quad9 melihatnya. Agar tidak melibatkan pihak ketiga, jalankan resolver seperti Unbound di server, atur agar menerima kueri di 10.66.66.1, buka aksesnya untuk tunnel dengan ufw allow in on wg0 to any port 53, lalu arahkan DNS = ke sana.

Untuk menguji, buka halaman cek IP mana pun saat tunnel aktif: halaman itu seharusnya menampilkan alamat server.

Di jaringan yang disensor: AmneziaWG, Outline, dan VLESS

WireGuard tidak menyamarkan dirinya: dokumentasinya menyerahkan penyamaran (obfuscation) ke lapisan di atasnya, dan WireGuard tidak punya mode TCP (keterbatasan yang diketahui). Jaringan yang memeriksa paket bisa mengenalinya lalu membuangnya. Tiga proyek open source menyasar kasus itu, semuanya berjalan di VPS sejenis:

• AmneziaWG, fork dari WireGuard-Go buatan proyek Amnezia, mengirim paket sampah sebelum handshake, mengganti header pesan WireGuard yang tetap dengan nilai pilihan Anda, dan menambahkan padding pada paket agar ukurannya tidak lagi cocok. Jika opsi-opsi itu dimatikan, AmneziaWG tetap kompatibel dengan WireGuard (dokumentasi). Aplikasi AmneziaVPN memasangnya di server Anda lewat SSH.
• Outline menjalankan server Shadowsocks yang dikelola dari aplikasi desktop. Diluncurkan pada 2018 oleh Jigsaw, inkubator di dalam Google, Outline dialihkan ke Outline Foundation yang independen pada 2026 (FAQ).
• VLESS adalah protokol transport ringan dari proyek Xray (spesifikasi), yang sering dijalankan di port 443 lewat TLS atau REALITY milik Xray agar koneksinya mirip HTTPS biasa.

Alat-alat ini ada karena sejumlah negara membatasi VPN. Per 1 Oktober 2026, sebagai ringkasan dan bukan nasihat hukum:

• Tiongkok: pemberitahuan Kementerian Industri dan Teknologi Informasi pada Januari 2017 melarang pembangunan atau penyewaan saluran VPN untuk kegiatan lintas batas tanpa persetujuan (teks resmi).
• Rusia: Undang-Undang Federal No. 281-FZ tanggal 31 Juli 2025, yang berlaku sejak 1 September 2025, mengenakan denda kepada siapa pun yang mengiklankan alat untuk mengakses sumber daya yang diblokir, seperti VPN, dan kepada siapa pun yang dengan sengaja mencari dan membuka materi yang tercantum dalam daftar resmi materi ekstremis, dengan atau tanpa alat semacam itu.
• Iran: pada Februari 2024, Dewan Tertinggi Ruang Siber mengumumkan resolusi yang melarang VPN tanpa izin yang sah; sekretarisnya kemudian mengatakan resolusi itu ditujukan kepada lembaga negara, bukan masyarakat umum, sehingga cakupannya tetap tidak jelas.

Aturan dan penegakannya bisa berubah. Periksa hukum yang berlaku saat ini di tempat Anda.

Jaga agar server tidak bocor

1. SSH hanya dengan kunci. Tulis PasswordAuthentication no di /etc/ssh/sshd_config.d/10-keys.conf, jalankan systemctl reload ssh, dan pastikan di jendela kedua bahwa kunci Anda masih bisa dipakai untuk masuk. Gunakan kunci yang dibuat khusus untuk server ini saja.

2. Pembaruan keamanan otomatis. apt install -y unattended-upgrades, lalu dpkg-reconfigure -plow unattended-upgrades untuk mengaktifkannya.

3. Log di memori. wg show menyimpan alamat terakhir setiap peer di RAM, dan SSH mencatat setiap login beserta IP asalnya. Simpan juga journal sistem di RAM:

   mkdir -p /etc/systemd/journald.conf.d
   printf '[Journal]\nStorage=volatile\n' > /etc/systemd/journald.conf.d/volatile.conf
   systemctl restart systemd-journald
   

   Journal kemudian berada di /run/log/journal dan hilang saat reboot. Jika rsyslog terpasang, program itu tetap menulis file lognya sendiri di /var/log.

4. SSH lewat tunnel. Setelah Opsi A berjalan, jalankan ufw allow in on wg0 to any port 22 proto tcp dan ufw delete allow 22/tcp, lalu sambungkan ke 10.66.66.1. Jika suatu saat tunnel putus, konsol web atau konsol serial dari penyedia, bila tersedia, menjadi jalan Anda untuk masuk kembali.

5. Satu identitas per server. Jangan pakai ulang email, kunci SSH, atau nama pengguna dari akun-akun Anda yang lain.

Berapa biayanya dibandingkan Mullvad atau IVPN

Opsi	Per bulan	Perangkat	Alamat keluar
VPS sendiri (tabel di atas)	Sekitar €3,10 sampai $10	Sebanyak yang Anda konfigurasikan	Hanya milik Anda
Mullvad	€5, sama untuk durasi berapa pun	5	Dipakai bersama
IVPN Standard	$6 ($2 per minggu, $60 per tahun)	5	Dipakai bersama
cryptostorm	$6	1	Dipakai bersama

Ketiga layanan itu menerima Monero. Server termurah lebih murah daripada mereka, tetapi ada harga lain yang Anda bayar: pemasangan, pembaruan rutin, dan alamat keluar yang selalu menunjuk ke Anda seorang. Anda juga bisa memakai keduanya: server sendiri untuk Wi-Fi hotel, VPN bersama untuk apa pun yang tidak boleh terlacak ke satu pengguna.

FAQ

Apakah bisa membuat VPN sendiri?

Bisa. VPS Linux mana pun dengan KVM dan alamat IPv4 publik bisa menjalankan WireGuard, yang menjadi bagian dari kernel sejak Linux 5.6. Opsi A di atas adalah seluruh caranya, dan wg-easy menambahkan antarmuka web. Raspberry Pi di rumah juga bisa, tetapi alamat keluarnya adalah IP rumah Anda.

Apakah VPS lebih aman daripada VPN?

Keduanya hal yang berbeda: VPS adalah server, VPN adalah tunnel. VPN sendiri di VPS berarti tidak ada perusahaan VPN yang perlu dipercaya, tetapi Anda satu-satunya pengguna alamat keluar itu dan Anda pula yang harus memasang patch-nya. Untuk berbaur dengan pengguna lain, VPN bersama tanpa log yang dibayar dengan Monero adalah alat yang lebih tepat.

Bisakah VPS saya dipakai sebagai VPN?

Biasanya bisa: paket KVM dengan IP forwarding yang diaktifkan sudah cukup, asalkan aturan penyedia mengizinkannya. Kebijakan penggunaan Mynymbox mengizinkan layanan VPN, halaman VPS Monero milik Servers Guru menyebut VPN sebagai salah satu peruntukannya, Cockbox mengizinkan apa pun yang legal di Rumania, dan 1984 Hosting menawarkan image WireGuard siap pakai. Server SporeStack juga harus mematuhi aturan DigitalOcean atau Vultr. Perhatikan kuota trafiknya.

Apa kekurangan VPN WireGuard?

WireGuard sama sekali tidak berusaha menyamarkan diri dan tidak punya mode TCP, jadi jaringan yang memblokirnya atau hanya mengizinkan TCP akan menghentikannya. Server menyimpan alamat IP terakhir setiap peer di memori. Secara default, protokol ini tidak tahan terhadap komputer kuantum (post-quantum), meski pre-shared key menambah satu lapisan perlindungan.

Apakah menggunakan VPN ilegal di AS?

Tidak ada undang-undang federal yang melarangnya, dan Federal Trade Commission menerbitkan tips memilih aplikasi VPN (Februari 2018). Apa yang Anda lakukan lewat tunnel tunduk pada hukum yang sama seperti tanpa tunnel, dan ketentuan sebuah situs web tetap bisa melarang akses lewat VPN. Ini ringkasan, bukan nasihat hukum.

Ringkasnya

Sewa VPS KVM kecil dan bayar dengan Monero, pasang WireGuard dengan wg-quick atau wg-easy, tutup semuanya kecuali SSH dan UDP 51820, lalu simpan log di RAM dan letakkan SSH di balik tunnel. Hasilnya adalah privasi dari jaringan tempat Anda tersambung. Privasi di tengah keramaian adalah yang ditawarkan VPN bersama, dan anonimitas adalah tugas Tor.