एक कमर्शियल VPN विश्वास की समस्या को एक प्रदाता की ओर सरका देता है। KYC-मुक्त Nordic VPS पर WireGuard सेल्फ-होस्ट करने से विश्वास की जगह गणित ले लेता है — आपकी keys, आपका बॉक्स, आपका exit IP, और किसी का भी recurring क्रेडिट-कार्ड शुल्क नहीं।
मिलीसेकंड से भी कम विलंबता वाला kernel-native WireGuard — कोई userspace ब्रिज नहीं, कोई TUN अड़चन नहीं, प्रति कोर कई गीगाबिट plaintext।
नॉर्डिक एग्ज़िट IP जिन पर आपके डिवाइस सचमुच भरोसा कर सकते हैं — Stockholm, Helsinki, Oslo या Reykjavík, ऐसे न्यायक्षेत्र जहाँ होस्टरों पर डेटा-रिटेंशन की कोई बाध्यता नहीं है।
$3.90/माह VPS पर निर्मित जो किसी को पहचान का ऋणी नहीं है — Bitcoin या Monero में भुगतान, कोई कार्ड फ़ाइल पर नहीं, कोई आवर्ती ऑटो-चार्ज नहीं।
एक कमर्शियल VPN प्रदाता आपको एक वादा बेचता है: "हम लॉग नहीं करते"। आप उस वादे की जाँच उनकी मार्केटिंग साइट पढ़कर, उनके पिछले ऑडिट (यदि कोई हुआ हो) को देखकर, और यह भरोसा करके करते हैं कि न तो कंपनी और न ही उसकी मूल कंपनी तब से हाथ बदली है। यह वादा बाहर से सत्यापित नहीं किया जा सकता — "कोई लॉग नहीं" की पुष्टि केवल वही कर सकता है जिसे इसे स्वीकार करने से सबसे अधिक नुकसान होगा।
एक सेल्फ-होस्टेड WireGuard सर्वर वादे की जगह संरचना लेता है। आप daemon इंस्टॉल करते हैं, आप keys जनरेट करते हैं, आप peer list लिखते हैं। Keys कभी भी बॉक्स से बाहर नहीं जाती। कुछ भी लॉग करने के लिए कोई अपस्ट्रीम प्रदाता नहीं है क्योंकि कोई अपस्ट्रीम प्रदाता है ही नहीं — एक Linux kernel module और एक single config file है।
समझौता परिचालन का है। on-call आप ख़ुद बन जाते हैं। अगर VPS रीबूट होता है और आपकी wg0 unit बूट पर सक्षम नहीं है, तो आपकी टनल आपके बिना वापस नहीं आती। अगर कोई कर्नेल अपडेट किसी sysctl डिफ़ॉल्ट को बदल देता है, तो उसे आप डिबग करते हैं। एक व्यक्ति और मुट्ठी-भर डिवाइस के लिए यह 90 मिनट का सेटअप और हर तिमाही ~10 मिनट का रखरखाव है; पाँच लोगों के परिवार या एक छोटी टीम के लिए भी हिसाब आपके पक्ष में ही रहता है।
सही सवाल अमूर्त रूप में "सेल्फ़-होस्ट या व्यावसायिक" नहीं है — सवाल यह है कि "क्या मुझे किसी मार्केटिंग पेज से ज़्यादा भरोसा SSH key के साथ ख़ुद पर है"। अगर जवाब हाँ है, तो इस पेज का बाक़ी हिस्सा उसकी विधि है।
एक निजी VPN के लिए — आपका लैपटॉप, आपका फ़ोन, एक टैबलेट, कुछ डिवाइस जो हमेशा टनल में रहते हैं — Sentinel ($3.90/mo, 2 vCPU, 4 GB) सबसे उपयुक्त विकल्प है। WireGuard का in-kernel डेटा पाथ इतना हल्का है कि CPU बाधा नहीं है; बाधा है 1 Gbps अनमीटर्ड अपलिंक, जो एक घर-परिवार के लिए भरपूर है।
टनल पर पाँच या अधिक डिवाइस, साथी या परिवार जो भी उसी के पीछे रहते हैं, या ऐसा उपयोग जिसमें भारी डाउनलोड वॉल्यूम हो (बैकअप खींचता कोई homelab, टनल में रहने वाला कोई torrent क्लाइंट) — तब Garrison ($7.90/mo, 4 vCPU, 8 GB) अपनी क़ीमत वसूल करता है। अतिरिक्त RAM WireGuard के लिए नहीं है — वह उन चीज़ों के लिए है जो आप अनिवार्य रूप से उसी मशीन पर साथ में होस्ट करेंगे (एक Pi-hole, एक छोटा Mastodon, एक Uptime-Kuma)।
एक छोटी टीम — 10–25 peers, निरंतर road-warriors, homelab से site-to-site लिंक — Ravelin ($16.90/mo, 8 vCPU, 16 GB) चाहती है। उसके बाद, बाधा VPS नहीं बल्कि 1 Gbps uplink खुद बन जाती है, और सही कदम bastion-region अपग्रेड करना या दो regional gateways में विभाजित करना है।
इनमें से कोई भी जो नहीं है: हज़ार-पीयर वाला कॉर्पोरेट कंसंट्रेटर। NordBastion एक ऐसे ऑपरेटर के लिए बना है जिसके अपने डिवाइस हों और जो अपने लोगों को सचमुच जानता हो — अजनबियों को सब्सक्रिप्शन बेचने के लिए नहीं।
A skeleton sketch — the full step-by-step guide covers the firewall, the per-device QR codes, and the kill-switch reading list.
Debian/Ubuntu इमेज, प्रत्येक NordBastion VPS पर पूर्व-निर्मित। एक apt लाइन, कोई अतिरिक्त repos नहीं।
# VPS पर, root के रूप मेंapt install wireguardसर्वर के लिए एक private key, प्रत्येक peer के लिए एक। Private key कभी भी उस बॉक्स को नहीं छोड़ती जिसका वह है।
wg genkey | tee privkey \
| wg pubkey > pubkeyinterface वाला हिस्सा: सर्वर की private key, listen port 51820, और 10.66.66.0/24 टनल सबनेट जो आप पीयर्स को बाँटेंगे।
nano /etc/wireguard/wg0.conf
# [Interface] Address, PrivateKey,
# ListenPort, PostUp NAT rulesपैकेज के साथ आने वाली systemd unit। रीबूट और panel से शुरू किए गए rescue चक्रों के बाद भी बनी रहती है।
systemctl enable \
--now wg-quick@wg0प्रति डिवाइस एक [Peer] ब्लॉक, उस डिवाइस की public key और उसे आवंटित टनल IP के साथ। लाइव-रीलोड, किसी रीस्टार्ट की ज़रूरत नहीं।
wg set wg0 peer <PUBKEY> \
allowed-ips 10.66.66.2/32हम आपको ईमेल + पासवर्ड से साइन अप करते हैं, आप Bitcoin या Monero में टॉप-अप करते हैं, आप एक VPS बूट करते हैं। बीच में कोई क्रेडिट-कार्ड जारीकर्ता नहीं जिसने आपका KYC किया हो, कोई PSP नहीं जो आपकी बिलिंग पहचान को आपके अभी-अभी चालू किए IP से मिलाए। मशीन "इस ईमेल के नीचे के प्रीपेड बैलेंस" की है, और कड़ी यहीं ख़त्म हो जाती है।
स्वीडन, फ़िनलैंड, नॉर्वे और आइसलैंड में होस्टरों पर डेटा-रिटेंशन की कोई बाध्यता नहीं है — यहाँ UK के Investigatory Powers Act जैसा कुछ नहीं है जो हमसे "बस एहतियातन" कनेक्शन लॉग रखने को कहे। इस क़ानूनी आधार के ऊपर हम हर महीने एक PGP-हस्ताक्षरित warrant canary और एक निरंतर अद्यतन पारदर्शिता रिपोर्ट प्रकाशित करते हैं; लॉग की अनुपस्थिति ऑडिट-योग्य है, महज़ दावा नहीं।
कोई ट्रांसफ़र सीमा नहीं, बैंडविड्थ ओवरेज की कोई लाइन नहीं, चुपके से बढ़ती कोई fair-use सीमा नहीं। Sentinel में वही 1 Gbps अपलिंक मिलता है जो डेडिकेटेड टियरों में — यानी आपका VPN थ्रूपुट WireGuard के कर्नेल डेटा पाथ (प्रति कोर कई Gbps) और upstream peering से सीमित होता है, किसी अकाउंटेंट की स्प्रेडशीट से नहीं।
WireGuard VPN को स्वयं होस्ट करना उन सबसे असरदार कामों में से है जो आप एक छोटे VPS पर कर सकते हैं। एक व्यावसायिक VPN सब्सक्रिप्शन की क़ीमत में आपको एक सामान्य-उपयोग वाली नॉर्डिक Linux मशीन मिलती है जो साथ ही आपके हर डिवाइस के लिए कर्नेल-गति वाली एन्क्रिप्टेड टनल भी उपलब्ध कराती है।
NordBastion इस ख़ास काम के लिए मायने रखने वाले हिस्सों पर स्पष्ट राय रखता है — बिना KYC साइनअप, केवल-क्रिप्टो बिलिंग, नॉर्डिक न्यायक्षेत्र, अनमीटर्ड अपलिंक — और बाक़ी सब में जान-बूझकर साधारण है। VPS एक VPS है। कर्नेल एक कर्नेल है। WireGuard वैसे ही चलता है जैसे कहीं और चलता; फ़र्क़ बस इतना है कि दूसरे छोर पर कौन है, इस बारे में विनम्र सवाल कौन पूछ सकता है।
If you are coming from a commercial VPN, the migration is one afternoon. If you are starting from scratch, the step-by-step guide picks up where this editorial leaves off.
वे आठ सवाल जो ऑपरेटर नॉर्डिक VPS पर अपना WireGuard VPN खड़ा करने से पहले सचमुच पूछते हैं।
एक कमर्शियल VPN विश्वास की समस्या को एक कदम किनारे सरका देता है: अपने ISP पर भरोसा करने की बजाय, आप VPN प्रदाता पर भरोसा करते हैं कि वह लॉग नहीं करेगा, सम्मन का शिकार नहीं होगा, और किसी ऐसी कंपनी द्वारा नहीं खरीदा जाएगा जो करे। KYC-मुक्त Nordic VPS पर सेल्फ-होस्टिंग उस विश्वास की जगह गणित ले लेती है — बॉक्स पर shell केवल आपके पास है, बॉक्स के लिए भुगतान करने वाले केवल आप हैं, और होस्ट (NordBastion) यह नहीं जानता कि वह "आप" पहले स्थान पर कौन हैं। इसका दूसरा पहलू यह है कि आप ऑपरेटर बन जाते हैं: जब रविवार की रात 23:00 बजे यह टूटता है, तो on-call rotation में केवल एक ही व्यक्ति होता है।
आराम से। WireGuard Linux कर्नेल में चलता है, जिसका अर्थ है कि एक Sentinel कोर (Intel Xeon, 3.4 GHz बूस्ट) CPU के बाधा बनने से पहले लाइन रेट पर 5–8 Gbps क्रम के प्लेनटेक्स्ट को एन्क्रिप्ट और फॉरवर्ड कर सकता है। पाँच समवर्ती डिवाइस, यहाँ तक कि सभी 4K स्ट्रीमिंग करते हुए भी, लोड औसत पर दर्ज नहीं होंगे। अपग्रेड करने का कारण थ्रूपुट नहीं है — यह है कि VPS कुछ और भी होस्ट कर रहा है (Pi-hole, मीडिया सर्वर, Matrix सर्वर) जो खुद के लिए कोर चाहता है।
हाँ — Netflix और कुछ स्ट्रीमिंग सेवाएँ ASN के आधार पर geofence करती हैं, और "यह IP एक होस्टिंग नेटवर्क का है" इतना ही आपको क्षेत्रीय कैटलॉग या captive 403 पर भेज देने के लिए काफ़ी है। बैंक ज़्यादा सूक्ष्म हैं: ज़्यादातर कनेक्शन स्वीकार कर लेते हैं, लेकिन fraud-score बढ़ा देते हैं और step-up MFA प्रॉम्प्ट ट्रिगर कर सकते हैं। अगर आपके VPN का काम ब्राउज़िंग और काम के लिए निजता + नॉर्डिक egress है, तो यह आपको दिखेगा भी नहीं। अगर उसका काम Netflix-US है, तो सेल्फ़-होस्टेड VPS उसे हल नहीं करेगा — कोई व्यावसायिक VPN भी इसे भरोसेमंद ढंग से हल नहीं करता; यह चूहे-बिल्ली का खेल किसी की भी deploy pipeline से तेज़ चलता है।
अनिवार्य है, और यह VPS का काम नहीं है। क्लाइंट की तरफ़ कॉन्फ़िगर करें: Linux/Android पर wg-quick के post-up फ़ायरवॉल hooks (या एक सरल iptables/nftables नियम जो wg0 से बाहर न जाने वाले default-route ट्रैफ़िक को रोक दे); iOS/macOS पर आधिकारिक WireGuard ऐप "On-Demand" + "Exclude routes" उपलब्ध कराता है; Windows पर आधिकारिक क्लाइंट में "Block untunneled traffic (kill-switch)" टॉगल है। VPS कुंजियाँ रखता है और पैकेट आगे भेजता है; टनल बंद होने पर लीक न होने देना क्लाइंट का काम है।
$3.90/माह पर एक Sentinel की मासिक लागत लगभग एक कमर्शियल VPN सब्सक्रिप्शन (NordVPN, Mullvad, IVPN सभी $5–12/माह की सीमा में हैं) के बराबर है। जो बदलता है वह है कार्यक्षेत्र: आपको 50 देशों की बजाय एक Nordic एग्ज़िट IP मिलता है, और केवल एक टनल एंडपॉइंट की बजाय एक पूर्ण सामान्य-उद्देश्य Linux बॉक्स मिलता है। अगर आपकी एकमात्र ज़रूरत "जियोब्लॉक को बाईपास करने के लिए किसी अन्य देश से दिखना" है, तो कमर्शियल सही टूल है। अगर आप एक ऐसा प्राइवेट VPN चाहते हैं जो आपका जम्प-होस्ट, मॉनिटरिंग बॉक्स और पर्सनल Pi-hole भी हो, तो VPS बेहतर है।
नहीं — और यह संरचनात्मक है, कोई वादा नहीं। WireGuard हर IP पैकेट को आपकी private key से बने ChaCha20-Poly1305 लिफ़ाफ़े में लपेट देता है, और वह key कभी आपके VPS से बाहर नहीं जाती। NordBastion को वही दिखता है जो आपके ISP को अपने अपलिंक पर दिखता है: दो IP के बीच एन्क्रिप्टेड UDP। बीच में कोई डिक्रिप्शन बिंदु नहीं, कोई managed-VPN सेवा-प्लेन नहीं, कोई key-escrow नहीं। warrant canary और प्रकाशित पारदर्शिता रिपोर्ट बताते हैं कि अगर कोई हमसे इसे डिक्रिप्ट करवाने की कोशिश करे तो क्या होगा (हम कर ही नहीं सकते)।
हाँ, और यह एक आम पैटर्न है: WireGuard आपके प्रवेश बिंदु के रूप में UDP/51820 पर सुनता है, VPS चुने हुए ट्रैफ़िक को onion-egress कामों के लिए एक स्थानीय Tor SOCKS5 (पोर्ट 9050) में रूट करता है, और बाक़ी सब सामान्य नॉर्डिक IP से बाहर निकलता है। Sentinel पर्याप्त है; एकमात्र परिचालन सलाह यह है कि Tor को उसकी अपनी systemd unit दें और उसे rate-limit करें ताकि Tor के सर्किट बर्स्ट VPN का थ्रूपुट न खा जाएँ। Garrison टियर ($7.90/mo, 4 vCPU/8 GB) इस संयोजन का आरामदायक ठिकाना है।
NordBastion सिद्धांततः केवल नॉर्डिक है — Stockholm, Helsinki, Oslo, Reykjavík। अगर उपयोग के मामले में "सिंगापुर से दिखना" या "ब्राज़ील से दिखना" ज़रूरी है, तो उस ख़ास एग्ज़िट के लिए NordBastion VPS ग़लत औज़ार है। यहाँ पहुँचने वाले ज़्यादातर लोग इसका उल्टा चाहते हैं — एक स्थिर, अच्छी peering वाला, कम log-दबाव वाला नॉर्डिक egress — और प्लेटफ़ॉर्म ठीक इसी के लिए अनुकूलित है।
निजी होस्टिंग, उत्तर में निर्मित।