--- canonical: https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/ language: vi generated: 2026-10-21T13:34:46.487Z --- [Trang chủ](https://koalavps.com/vi/) / [Khám phá](https://koalavps.com/vi/resources/) / Ghi chú thực địa KoalaVPS Ghi chú thực địa KoalaVPS # Một đường hầm riêng tư với mục đích rõ ràng. WireGuard có thể kết nối các thiết bị của bạn với một máy chủ hoặc mạng riêng. Lợi ích của nó phụ thuộc vào định tuyến chính xác, DNS và bảo mật điểm cuối. [Tìm VPS của bạn](https://koalavps.com/vi/vps/) ## TRONG TÀI LIỆU NÀY [Xác định tuyến](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-1)[Giữ một khóa cho mỗi thiết bị](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-2)[Cấu hình chuyển tiếp và DNS](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-3)[Hiểu sự dịch chuyển niềm tin](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-4)[Sử dụng trình lắng nghe rõ ràng và kiểm tra bắt tay](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-5)[Chỉ dùng keepalive khi mạng cần đến chúng](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-6)[Chọn thiết kế chia tách đường hầm hoặc toàn bộ đường hầm](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-7)[Khởi tạo một tunnel nhỏ trước khi thêm định tuyến internet](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-8)[Kiểm tra đường dẫn mong đợi và một đường dẫn bị cấm](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-9)[Làm cho hành vi thu hồi và khởi động lại có thể lặp lại](https://koalavps.com/vi/guides-wireguard-vpn-on-a-vps/#section-10)[Cơ sở kiến thức](https://koalavps.com/vi/resources/) ## Xác định tuyến Quyết định xem đường hầm chỉ mang lưu lượng dịch vụ riêng tư hay toàn bộ lưu lượng internet. Cấu hình các tuyến được phép một cách có chủ đích và tính đến cả IPv4 và IPv6. Thiết lập split-tunnel và full-tunnel có các cân nhắc khác nhau về rò rỉ và khả năng tiếp cận. ## Giữ một khóa cho mỗi thiết bị Tạo khóa riêng tư trên thiết bị khi thực tế và không bao giờ công bố chúng. Sử dụng danh tính ngang hàng riêng biệt để một thiết bị bị mất có thể bị thu hồi mà không cần thay thế mọi máy khách. Lưu cấu hình máy chủ với quyền được bảo vệ. ## Cấu hình chuyển tiếp và DNS Thiết lập quy tắc chuyển tiếp và tường lửa một cách có chủ đích. Kiểm tra phân giải tên, MTU và đường trả về. Kiểm tra địa chỉ công khai hiệu lực và hành vi DNS từ phía máy khách thay vì giả định rằng một bắt tay thành công nghĩa là mọi lưu lượng đều đi theo tuyến dự định. ## Hiểu sự dịch chuyển niềm tin VPN tự lưu trữ có thể bảo vệ lưu lượng trên mạng cục bộ, nhưng VPS và upstream vẫn thấy siêu dữ liệu và bất kỳ lưu lượng chưa mã hóa nào. Nó không làm cho phiên trình duyệt trở nên ẩn danh hoặc ghi đè chính sách của các dịch vụ bạn truy cập. ## Sử dụng trình lắng nghe rõ ràng và kiểm tra bắt tay UDP 51820 là lựa chọn cấu hình WireGuard phổ biến, không phải chính sách bắt buộc hay được đảm bảo của máy chủ. Chỉ mở cổng UDP đã chọn và giữ quyền quản trị được hạn chế riêng. Lệnh wg show có thể báo cáo thông tin bắt tay và truyền tải của peer mà không yêu cầu bạn công bố khóa riêng tư. - Xác minh một lần bắt tay gần đây - Kiểm tra dịch vụ riêng tư dự định - Chỉ kiểm tra các tuyến internet và DNS nếu dự định dùng đường hầm đầy đủ ``` wg show ``` Tài liệu chính thức: [Bắt đầu nhanh với WireGuard](https://www.wireguard.com/quickstart/) ## Chỉ dùng keepalive khi mạng cần đến chúng Một máy ngang hàng sau NAT có thể cần lưu lượng keepalive định kỳ để duy trì ánh xạ cho các gói tin đến. Cấu hình phù hợp phụ thuộc vào mạng. Hãy giữ cấu hình có chủ đích; đừng sao chép một công thức đường hầm đầy đủ nếu mục tiêu chỉ là truy cập một ứng dụng riêng. ## Chọn thiết kế chia tách đường hầm hoặc toàn bộ đường hầm Bắt đầu với mục tiêu thực tế. Một đường hầm chia tách chỉ có thể mang một mạng con riêng hoặc dịch vụ quản trị; một đường hầm đầy đủ cũng cần chuyển tiếp internet, quy tắc egress và một kế hoạch DNS. Chọn địa chỉ đường hầm không chồng lấn và quyết định cách xử lý IPv6. UDP51820 là một cổng phổ biến, không phải cổng bắt buộc. Xác nhận chính sách của máy chủ đã chọn và giữ quyền truy cập console/quản trị viên trong khi thay đổi tuyến hoặc quy tắc tường lửa. - Cấp cho mỗi thiết bị một cặp khóa duy nhất và danh tính ngang hàng hẹp. - Giữ khóa riêng tư trên các thiết bị dự định và tránh xa các tệp công khai hoặc chia sẻ QR. - Coi các điểm cuối công khai và việc chuyển vùng của máy khách là một phần của thiết kế mạng. Tài liệu chính thức: [Bắt đầu nhanh với WireGuard](https://www.wireguard.com/quickstart/) ## Khởi tạo một tunnel nhỏ trước khi thêm định tuyến internet Làm theo quy trình cài đặt hệ điều hành được hỗ trợ và tạo khóa với quyền truy cập tệp hạn chế. Cấu hình giao diện máy chủ, một peer và trình lắng nghe UDP đã chọn. Một peer phía máy chủ thông thường nên có địa chỉ đường hầm riêng trong AllowedIPs thay vì một địa chỉ bắt tất cả chồng lấn được gán cho nhiều client. Bắt đầu với quyền truy cập vào địa chỉ đường hầm, sau đó thêm chuyển tiếp được phê duyệt và các tuyến đích. Một bắt tay thành công chứng minh liên lạc với peer, không chứng minh rằng DNS hoặc lưu lượng ra internet là đúng. ``` # Inspection examples; these do not reveal a private key: wg show ip address show dev wg0 ip route get 10.44.0.1 ``` Tài liệu chính thức: [Cấu hình giao diện và peer WireGuard](https://www.wireguard.com/quickstart/) ## Kiểm tra đường dẫn mong đợi và một đường dẫn bị cấm Từ máy khách, xác minh một bắt tay gần đây và một dịch vụ riêng tư được phép. Thử một đích đến lẽ ra phải bị từ chối. Nếu dùng đường hầm đầy đủ, hãy kiểm tra tuyến công khai hiệu lực, trình phân giải DNS và hành vi IPv6 từ máy khách đó; lưu lượng chia đường hầm nên giữ đường dẫn cục bộ dự định. Lặp lại sau khi mạng máy khách thay đổi. Chỉ dùng keepalive NAT khi mạng của đối tác cần, và giữ khoảng thời gian nhất quán với thiết kế đã ghi tài liệu. - Không bắt tay: kiểm tra endpoint DNS, khả năng tiếp cận UDP, khóa và ánh xạ peer. - Bắt tay nhưng không có dịch vụ: kiểm tra AllowedIPs, tường lửa, chuyển tiếp và tuyến trả về. - Một số trang bị treo: hãy điều tra MTU đường dẫn trước khi áp dụng một giá trị cố định ngẫu nhiên. ## Làm cho hành vi thu hồi và khởi động lại có thể lặp lại Xóa khóa ngang hàng của thiết bị bị mất và xác nhận rằng nó không còn có thể thiết lập quyền truy cập dự định. Giữ các bản sao lưu cấu hình được mã hóa và một bản kiểm kê cho biết khóa công khai nào thuộc về thiết bị nào. Kiểm tra xem giao diện và các quy tắc định tuyến cần thiết có trở lại sau khi khởi động lại bình thường không. VPN chuyển sự tin cậy về phía VPS và thượng nguồn của nó; nó không loại bỏ các định danh ứng dụng, cookie tài khoản hay nhu cầu về HTTPS đến đích cuối cùng. Tài liệu chính thức: [Hướng dẫn thủ công WireGuard wg-quick](https://git.zx2c4.com/wireguard-tools/about/src/man/wg-quick.8) TIẾP TỤC KHÁM PHÁ ## Tiếp tục đọc. [Các trường hợp sử dụng ### Điểm cuối WireGuard của riêng bạn. Kết nối thiết bị với dịch vụ riêng tư hoặc định tuyến lưu lượng qua máy chủ bạn quản trị, với ranh giới tin cậy được hiểu rõ.…](https://koalavps.com/vi/use-cases-wireguard-vpn-server/)[Mạng ### Một mạng lưới nên tự giải thích. Hiểu các lựa chọn khu vực Bắc Âu, sự khác biệt giữa tốc độ cổng và thông lượng thực tế, và bằng chứng mà mạng lưu trữ nên công bố.…](https://koalavps.com/vi/network/)[Pháp lý ### Chính sách quyền riêng tư — ít hồ sơ hơn, lý do rõ ràng. Hiểu hồ sơ tài khoản, thanh toán và kỹ thuật, lý do chúng có thể cần thiết và câu hỏi nào cần đặt về quyền truy cập và lưu giữ. Ch…](https://koalavps.com/vi/privacy/) CẤU HÌNH HẠ TẦNG CỦA BẠN ## Nắm quyền kiểm soát. Triển khai theo cách của bạn. Không giấy tờ danh tính. Toàn quyền quản trị viên. Thanh toán thuần tiền mã hóa. [Chọn một cấu hình](https://koalavps.com/vi/vps/)