# Настройка AmneziaWG на VPS

> Настройка AmneziaWG на VPS — WireGuard с маскировкой трафика: ключи, конфиг и запуск, чтобы стабильно работали зарубежные AI-сервисы (ChatGPT, Claude).

Источник: https://vpn-ne-rabotaet.ru/nastrojka/amneziawg/
Страница обновлена: 2026-07-04

---

**AmneziaWG — это протокол на базе WireGuard, который добавляет к зашифрованному каналу слой маскировки, чтобы соединение внешне выглядело как обычный поток данных.** Собственный защищённый канал на своём сервере чаще всего настраивают, чтобы стабильно работали зарубежные онлайн-сервисы, которые ограничивают доступ из России на своей стороне, — в первую очередь AI-сервисы: ChatGPT, Claude, Cursor, Perplexity, Gemini, Midjourney. Это геоблокировка со стороны самих сервисов, а не блокировка РКН. Тот же канал шифрует трафик в недоверенных сетях и даёт безопасный удалённый доступ к вашей инфраструктуре, а слой маскировки AmneziaWG дополнительно скрывает характерный сетевой «отпечаток» WireGuard. Ниже — пошаговая настройка на сервере с Ubuntu, от установки до проверки.

> **Коротко.** Арендуете VPS на Ubuntu → добавляете PPA-репозиторий Amnezia и ставите пакеты `amneziawg` и `amneziawg-tools` → генерируете ключи и набор параметров маскировки → поднимаете интерфейс `awg0` → подключаете клиент с теми же параметрами. В результате получаете стабильное подключение из поддерживаемого региона для зарубежных AI-сервисов и зашифрованный канал для остального трафика. Всё занимает 20–30 минут.

## Что такое AmneziaWG и когда нужен

AmneziaWG — это форк [WireGuard](/nastrojka/wireguard/): он использует то же ядро шифрования и ту же криптографию, но добавляет обфускацию — маскировку трафика. В чём разница:

- **Обычный WireGuard** передаёт данные с узнаваемой сетевой сигнатурой: фиксированный формат рукопожатия и характерные размеры пакетов легко распознаются системами анализа трафика (DPI).
- **AmneziaWG** добавляет к соединению «мусорные» (junk) пакеты случайной длины и модифицирует заголовки рукопожатия. В результате поток внешне не отличается от произвольных зашифрованных данных — сетевой профиль WireGuard не проявляется.

Чаще всего такой канал поднимают, чтобы стабильно работали зарубежные [AI-сервисы](/ai/):

- **Стабильная работа AI-сервисов из РФ.** ChatGPT, Claude, Cursor, Perplexity, Gemini, Midjourney определяют регион по IP и не обслуживают подключения из России — доступ ограничивает сам сервис. Собственный канал даёт устойчивое подключение из поддерживаемого региона, а слой маскировки AmneziaWG помогает соединению оставаться стабильным там, где трафик агрессивно фильтруется по сигнатурам, — то есть меньше обрывов сессии при работе с [Claude](/ai/claude/) или ChatGPT. Важная оговорка: зарубежные AI-сервисы ограничивают доступ из РФ на своей стороне (геоблокировка по IP), это не блокировка со стороны РКН — их сайты не внесены в реестр.

Практические сценарии те же, что у любого средства шифрования канала:

- **Защита трафика в публичных сетях.** В открытом Wi-Fi (кафе, аэропорт, отель) трафик виден владельцу точки и соседям по сети. AmneziaWG шифрует его на участке «устройство — ваш сервер».
- **Безопасный удалённый доступ** к своей домашней или рабочей инфраструктуре — базам данных, панелям, файловым хранилищам — по зашифрованному каналу.
- **Единая приватная сеть** между вашими устройствами с маскировкой соединения.

AmneziaWG стоит выбирать вместо чистого WireGuard, когда сеть, в которой вы находитесь, агрессивно фильтрует трафик по сигнатурам. Если такой фильтрации нет — достаточно обычного [WireGuard](/nastrojka/wireguard/), он проще в настройке.

## Что понадобится

- VPS на **Ubuntu 22.04 или 24.04** с доступом по SSH и правами root/sudo. Как арендовать — см. [выбор VPS](/server/vps-sravnenie/).
- Клиентское устройство (компьютер или смартфон) с приложением AmneziaWG или AmneziaVPN.
- 20–30 минут.

Общий обзор настройки защищённого канала — в разделе [«Настройка»](/nastrojka/).

## Настройка AmneziaWG на VPS: пошагово

### Шаг 1. Подготовка сервера и установка AmneziaWG 

Подключитесь к серверу по SSH и обновите систему:

```bash
sudo apt update && sudo apt upgrade -y
```

Установите вспомогательные пакеты и заголовки текущего ядра (нужны для сборки модуля):

```bash
sudo apt install -y software-properties-common python3-launchpadlib \
  gnupg2 linux-headers-$(uname -r)
```

Подключите официальный PPA-репозиторий Amnezia и установите протокол вместе с утилитами:

```bash
sudo add-apt-repository -y ppa:amnezia/ppa
sudo apt update
sudo apt install -y amneziawg amneziawg-tools
```

Пакет `amneziawg` — это модуль ядра, `amneziawg-tools` — набор утилит `awg` и `awg-quick` (аналоги `wg` и `wg-quick` у WireGuard). Проверьте, что модуль встал:

```bash
sudo modprobe amneziawg && echo "OK"
```

Включите пересылку пакетов (IP forwarding) — без неё сервер не будет маршрутизировать трафик клиентов:

```bash
echo "net.ipv4.ip_forward = 1" | sudo tee /etc/sysctl.d/99-amneziawg.conf
sudo sysctl --system
```

### Шаг 2. Генерация ключей и параметров маскировки 

Создайте каталог конфигурации и сгенерируйте пару ключей сервера:

```bash
sudo mkdir -p /etc/amnezia/amneziawg && cd /etc/amnezia/amneziawg
umask 077
awg genkey | sudo tee server_private.key | awg pubkey | sudo tee server_public.key
```

Сгенерируйте пару ключей для клиентского устройства:

```bash
awg genkey | sudo tee client_private.key | awg pubkey | sudo tee client_public.key
```

Теперь придумайте набор **параметров маскировки** — это и есть ключевое отличие от WireGuard. Они должны быть **одинаковыми на сервере и на клиенте**. Рекомендуемые диапазоны:

- `Jc` — число «мусорных» пакетов (4–12), например `4`;
- `Jmin` / `Jmax` — размер мусорных пакетов в байтах, например `8` и `80`;
- `S1` / `S2` — байты, добавляемые перед рукопожатием (15–150), например `50` и `40`;
- `H1`–`H4` — числовые метки заголовков (большие уникальные числа, не должны совпадать между собой).

Запишите выбранные значения — они понадобятся и в конфигурации клиента.

### Шаг 3. Конфигурация сервера awg0.conf 

Определите имя внешнего сетевого интерфейса (обычно `eth0`):

```bash
ip route show default | awk '/default/ {print $5; exit}'
```

Создайте файл `/etc/amnezia/amneziawg/awg0.conf`. Подставьте приватный ключ сервера, публичный ключ клиента, ваши параметры маскировки и имя интерфейса из предыдущей команды:

```ini
[Interface]
Address = 10.9.9.1/24
ListenPort = 39743
PrivateKey = <SERVER_PRIVATE_KEY>

# Параметры маскировки — должны совпадать с клиентом
Jc = 4
Jmin = 8
Jmax = 80
S1 = 50
S2 = 40
H1 = 1234567890
H2 = 2345678901
H3 = 3456789012
H4 = 4012345678

# NAT и пересылка (замените eth0 на своё имя интерфейса)
PostUp = iptables -I FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <CLIENT_PUBLIC_KEY>
AllowedIPs = 10.9.9.2/32
```

Ограничьте права на файлы с ключами и конфигом:

```bash
sudo chmod 600 /etc/amnezia/amneziawg/*.key /etc/amnezia/amneziawg/awg0.conf
```

Поднимите интерфейс и добавьте автозапуск при перезагрузке:

```bash
sudo awg-quick up awg0
sudo systemctl enable awg-quick@awg0
```

### Шаг 4. Подключение устройства и запуск 

На стороне клиента создайте конфигурацию `awg0.conf` с **теми же** параметрами маскировки. Подставьте приватный ключ клиента, публичный ключ сервера и публичный IP вашего VPS:

```ini
[Interface]
Address = 10.9.9.2/32
DNS = 1.1.1.1
PrivateKey = <CLIENT_PRIVATE_KEY>

Jc = 4
Jmin = 8
Jmax = 80
S1 = 50
S2 = 40
H1 = 1234567890
H2 = 2345678901
H3 = 3456789012
H4 = 4012345678

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = <SERVER_IP>:39743
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
```

Импортируйте этот файл в приложение AmneziaWG (или AmneziaVPN) на компьютере или смартфоне и активируйте подключение. Значение `AllowedIPs = 0.0.0.0/0` направляет весь трафик устройства в зашифрованный канал; чтобы шифровать только доступ к своей сети, укажите вместо этого конкретную подсеть, например `10.9.9.0/24`.

## Как проверить, что подключение работает?

Готовность подключения проверяют на сервере одной командой `sudo awg show` — она покажет статус интерфейса и рукопожатие с клиентом:

```bash
sudo awg show
```

В выводе должна появиться строка `latest handshake` для вашего пира — это значит, что зашифрованный туннель с маскировкой установлен. Если строки нет, чаще всего причина в **несовпадении параметров маскировки** (Jc/Jmin/Jmax/S1/S2/H1–H4) между сервером и клиентом — сверьте их байт в байт.

Проверьте с клиента, что трафик идёт через сервер: узнайте внешний IP-адрес (например, командой `curl ifconfig.me` или через сайт проверки IP). Он должен совпадать с адресом вашего VPS. Убедитесь также, что не происходит утечки DNS.

## Безопасность сервера

- **Ключи.** Приватный ключ сервера остаётся только на сервере (права `600`), приватный ключ клиента — только на устройстве. По сети передаются лишь публичные ключи. Никогда не пересылайте приватные ключи открытыми каналами.
- **SSH.** Отключите вход по паролю, оставьте только авторизацию по ключу: параметр `PasswordAuthentication no` в `/etc/ssh/sshd_config`, затем `sudo systemctl restart ssh`.
- **Файрвол.** Разрешите только нужные порты — SSH (обычно 22) и UDP-порт AmneziaWG (в примере 39743):

```bash
sudo ufw allow 22/tcp
sudo ufw allow 39743/udp
sudo ufw enable
```

- **Обновления.** Держите систему и пакеты AmneziaWG актуальными: `sudo apt update && sudo apt upgrade`. Включите автоматические обновления безопасности через `unattended-upgrades`.
- **Смена параметров.** Параметры маскировки — не секрет в криптографическом смысле, но их периодическая смена (с одновременным обновлением на всех клиентах) повышает приватность профиля соединения.

## Как упростить добавление новых устройств?

Ручной работы здесь меньше, чем кажется: основная часть делается один раз. Набор параметров маскировки (`Jc`, `Jmin`, `Jmax`, `S1`, `S2`, `H1`–`H4`) придумывается единожды и переносится во все клиентские конфигурации без изменений — менять его от устройства к устройству не нужно и нельзя. Новое устройство добавляется двумя действиями: сгенерировать ему пару ключей командой `awg genkey` и дописать в `awg0.conf` ещё один блок `[Peer]` со своим `AllowedIPs` (например, `10.9.9.3/32`), после чего перечитать конфигурацию интерфейса. Готовый клиентский файл удобно переносить на телефон целиком, а не набирать ключи руками: если приложение умеет импорт сканированием, конфигурацию можно вывести QR-кодом прямо в терминале утилитой `qrencode`. VPN здесь — это технология шифрования: она защищает данные в канале, чтобы их не перехватили по дороге и не взломали устройство в открытой сети.

## Частые вопросы

Короткие ответы на типовые вопросы собраны ниже — этот же блок размечен для поисковых систем и AI-ассистентов.