2026年自建VPN全教程：从买VPS到部署WireGuard/Trojan全套方案

为什么要自建VPN

机场虽然方便（比如自由猫这类 IEPL 专线，入门月付不到 ¥10），但很多人最终还是选择了自建。原因无非这几点：

隐私安全 — 自建服务器只有你自己用，不存在多人共用IP被封的问题
长期稳定 — 不会像机场一样突然跑路或涨价
完全可控 — 想用什么协议就用什么，想开什么端口就开什么
适合团队 — 一台服务器可以供全家或多设备使用，不限设备数

当然，自建也有缺点：需要一定的技术能力、服务器本身有月费成本、单个IP被封的后果比机场严重。不过只要方法得当，自建并没有想象中那么难。顺便分清两件事：搭一个自己用的节点，和「开一家机场」完全是两个量级——后者的带宽账、面板暴露面与法律边界，这篇把账算到了具体数字。

第一步：选购VPS

自建VPN的第一步是买一台VPS（虚拟专用服务器）。选VPS主要看以下几个指标：

指标	推荐	说明
线路	CN2 GIA / CN2 GT	回国线路质量决定速度
带宽	≥100Mbps	日常使用100M足够，看4K需要200M+
流量	≥500GB/月	一个人正常使用500GB-1TB
价格	¥30-100/月	线路好的贵一些，普通线路便宜
位置	日本/香港/新加坡/洛杉矶	离国内越近延迟越低

以下是几家常见VPS商家的对比，选哪家看你的预算和线路需求：

商家	线路特点	价位	适合人群
搬瓦工	CN2 GIA标杆，稳定	¥35/月起	追求稳定的老手
DMIT	高端三网优化线路	中高价	预算充足、要品质
HostDare	CN2 GIA平价之选	低价	想体验CN2的新手
RackNerd	性价比高，线路一般	年付¥100左右	练手首选
JTTI	韩国/日本线路	中价	要低延迟东亚节点
阿里云国际	香港节点延迟低	中价	习惯大厂、可接受实名
腾讯云国际	香港/硅谷节点	中价	同上

新手建议：先用RackNerd年付练手，跑通流程后再升级到搬瓦工/DMIT的CN2 GIA线路。

第二步：系统初始化

购买VPS后，使用SSH登录服务器进行初始化配置：

# SSH登录
ssh root@你的服务器IP

# 更新系统
apt update && apt upgrade -y   # Debian/Ubuntu
# 或
yum update -y                  # CentOS

# 安装常用工具
apt install -y curl wget git ufw

# 开启防火墙
ufw allow 22/tcp    # SSH端口
ufw allow 80/tcp    # HTTP
ufw allow 443/tcp   # HTTPS
ufw enable

第三步：部署WireGuard（推荐方式）

WireGuard是目前最推荐的VPN协议——代码量少、速度快、安全性高。安装非常简单：

# 一键安装WireGuard
curl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh
chmod +x wireguard-install.sh
./wireguard-install.sh

# 按照提示操作：
# 1. 输入端口（默认51820）
# 2. 输入客户端名称（如"phone"）
# 3. 等待安装完成

# 安装完成后，你会看到客户端配置文件路径：
# /root/wireguard-client-phone.conf

把这个配置文件传到你的手机/电脑上，用WireGuard客户端导入即可使用。

第四步：部署Trojan（进阶方案）

Trojan的优势在于流量伪装——它的流量和普通的HTTPS流量看起来一模一样，GFW很难识别和封锁。具体部署时的三条路线、TLS 证书怎么签发，以及被封之后怎么迁移，这篇完整指南给了逐条命令。

# 使用一键脚本安装Trojan
bash -c "$(curl -fsSL https://raw.githubusercontent.com/atrandys/trojan/master/trojan_mult.sh)"

# 安装过程中你需要：
# 1. 输入一个域名（需要提前把域名解析到服务器IP）
# 2. 等待Let's Encrypt自动申请SSL证书
# 3. 设置密码

# 安装完成后会显示客户端配置信息

第五步：配置CDN加速（推荐）

使用Cloudflare CDN可以隐藏你的真实服务器IP，降低被封风险：

把你的域名DNS托管到Cloudflare
开启Proxy（橙色云朵）模式
在CDN - Page Rules中设置缓存规则
Trojan的Websocket模式可以完美配合CDN

成本对比：自建 vs 机场

维度	自建VPN	机场
月费	¥30-100（VPS）	¥10-50
速度	取决于VPS线路	多人共享带宽
稳定性	单IP易被封	多节点自动切换
隐私	完全自主	依赖机场信任
技术门槛	需要动手能力	即买即用
维护	自己维护	商家维护

上面表格里"机场 ¥10-50"具体能买到什么？给你几个真实参考（数据来自本站机场库，点链接直达官网）：

机场	起步价	流量/月	设备	特点
自由猫	¥8/月	30GB	1台	老牌稳定，走自家客户端，普通设备日常使用方便
仙路湾	¥9.9/月	按套餐	多设备	原生/住宅IP纯净度高，适合对IP质量要求高的场景
瑶瑶领先	¥9.9/月	384GB	最高24台	入门低价大流量，最高1000Mbps速率

如果你的场景是"自建为主、机场兜底"，选个低价套餐当备用线路即可（比如瑶瑶领先的入门档，¥9.9/月 384GB）——VPS被封IP时切过去应急，比重新换IP省事得多。

总结

自建VPN适合有一定技术基础、对隐私要求高的用户。如果你只是想快速上网，机场仍然是更方便的选择。如果你决定试试自建，建议先用低价VPS练手，熟练后再考虑升级线路。

WireGuard vs OpenVPN vs IKEv2 协议对比

自建VPN的第一步是选择协议。目前主流的协议有三种，各自优缺点如下：

协议	速度	安全性	配置难度	抗封锁能力
WireGuard	⭐⭐⭐⭐⭐	⭐⭐⭐⭐⭐	⭐（最简单）	⭐⭐⭐
OpenVPN	⭐⭐⭐	⭐⭐⭐⭐⭐	⭐⭐⭐	⭐⭐⭐⭐
IKEv2	⭐⭐⭐⭐	⭐⭐⭐⭐	⭐⭐	⭐⭐

WireGuard是目前最推荐的方案——代码量仅4000行（OpenVPN有60万行），攻击面小，且已集成到Linux内核中。如果你对性能有要求，WireGuard是首选。

OpenVPN虽然成熟稳定，但配置复杂，速度不如WireGuard。只有在WireGuard被封的情况下才考虑。

IKEv2在移动设备上体验好（iOS/Android原生支持），但抗封锁能力一般。

服务器安全加固

VPS暴露在公网上，安全是第一位的。以下措施建议全部执行：

# 1. 修改SSH默认端口（不要用22）
sed -i 's/#Port 22/Port 22222/' /etc/ssh/sshd_config
systemctl restart sshd

# 2. 禁止root密码登录，使用密钥
ssh-keygen -t ed25519 -C "your_email"
ssh-copy-id -p 22222 root@你的服务器IP
sed -i 's/PermitRootLogin yes/PermitRootLogin prohibit-password/' /etc/ssh/sshd_config
sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config

# 3. 安装Fail2Ban防暴力破解
apt install fail2ban -y
systemctl enable fail2ban
systemctl start fail2ban

# 4. 开启自动更新
apt install unattended-upgrades -y
dpkg-reconfigure -plow unattended-upgrades

优化加速：BBR和优化参数

开启BBR拥塞控制算法可以显著提升速度：

# 开启BBR
echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p

# 验证是否生效
sysctl net.ipv4.tcp_congestion_control
# 输出应为：net.ipv4.tcp_congestion_control = bbr

# 其他优化参数
echo "net.ipv4.tcp_fastopen=3" >> /etc/sysctl.conf
echo "net.ipv4.tcp_slow_start_after_idle=0" >> /etc/sysctl.conf
sysctl -p

日常维护

检查流量使用：使用 vnstat 查看流量，避免超量
监控服务器状态：htop 看CPU/内存，df -h 看磁盘
定期更新：apt update && apt upgrade
日志清理：journalctl --vacuum-size=100M 限制日志大小
备份配置：/etc/wireguard/ 目录定期备份（换 VPS 时的完整迁移与灾难重建清单见这篇）

自建VPN的局限性

如果不想花时间维护VPS，或者需要一个多节点的方案作为补充，直接使用现成的机场服务也是一个好选择。¥9.9/月 384GB 这类低价大流量入门档就够当备用线路，也不用自己维护服务器。

虽然自建VPN有很多优势，但也不是万能的：

IP容易被封：单个IP被识别后整台服务器报废，需要换IP
速度波动：VPS线路质量取决于机房，晚高峰可能会掉速
没有多节点：机场有几十个节点可以选择，自建只有一个
维护耗时：出了故障需要自己排查，不像机场有客服

算下来如果觉得不划算，直接用机场可能更省心——可以回看上面的机场对比表，低价套餐就够日常用了。

如果你已经会用机场，自建可以作为补充方案——平时用机场，关键时刻用自建。如果你对网络技术感兴趣，自建是一个很好的学习项目。