Matériel bon marché pour serveur VPN : que choisir en 2026

Équipement bon marché pour un serveur VPN : que choisir en 2026

Si vous lisez ceci, vous avez probablement déjà essayé des VPN gratuits qui réduisent terriblement votre vitesse, ou des services payants qui fonctionnent de manière irrégulière. Votre propre infrastructure est un autre niveau de contrôle. Mais quel équipement bon marché pour un serveur VPN vaut vraiment la peine d'être acheté, et quel est un simple gaspillage d'argent ? Analysons cela concrètement : ordinateurs monocarte, mini-PC, routeurs, performances réelles et — ce qui est important pour la Russie — quel protocole ne sera pas bloqué par le RKN dans un mois.

Pourquoi configurer votre propre serveur VPN et quel équipement est nécessaire pour cela

Un service VPN payant est un serveur de quelqu'un d'autre, un protocole de quelqu'un d'autre et une adresse IP de quelqu'un d'autre. Vous ne contrôlez pas comment le trafic est masqué sous un HTTPS légitime, vous ne pouvez pas changer de protocole en réponse à de nouveaux blocages. Votre propre serveur vous donne une liberté totale de configuration.

C'est particulièrement important en Russie, où le DPI (inspection approfondie des paquets) des fournisseurs peut reconnaître et bloquer les signatures des protocoles populaires. Lorsque le RKN émet une directive — le fournisseur bloque le trafic via l'équipement TSPU. Si vous avez votre propre protocole avec le bon masquage, vous changez simplement la configuration sans attendre une mise à jour du service.

Votre propre serveur contre un VPN payant : quelle est la réelle différence

Un VPN payant vous donne un bouton et une application prête à l'emploi. Votre propre serveur nécessite 2 à 4 heures de configuration initiale et de compréhension de ce qui se passe. Mais l'adresse IP vous appartient uniquement — pas de "cette adresse est bloquée parce que 500 personnes l'ont utilisée sur un service".

Un autre point : les services VPN russes, sous la pression du RKN, quittent périodiquement le marché ou commencent à filtrer le trafic. Un service étranger, qui ne tombe pas sous la juridiction russe, peut également être bloqué. Votre propre serveur sur un VPS étranger est l'option optimale.

Exigences matérielles minimales pour WireGuard et VLESS/XRay

WireGuard est minimaliste : il fonctionne avec 256 Mo de RAM et un cœur de CPU. En réalité, WireGuard fonctionne sur un Orange Pi Zero avec 512 Mo de RAM sans problème, mais ne vous attendez pas à 1 Gbit/s.

VLESS/XRay avec Reality nécessite un peu plus : au minimum 512 Mo de RAM, de préférence 1 Go. XRay est écrit en Go, sans compilation JIT, mais il n'est pas particulièrement lourd. Sur un Raspberry Pi 4 avec 2 Go de RAM, il fonctionne très bien, la charge CPU avec un trafic actif est de 20 à 40 %.

Shadowsocks-2022 a une charge CPU à peu près équivalente à celle de WireGuard, mais ajoute des frais généraux pour le chiffrement. Sur un ancien ARM Cortex-A53 (Orange Pi Zero, ancien Pi), cela se fait sentir.

Où placer physiquement le serveur : à la maison, sur un VPS ou chez un fournisseur d'hébergement

À la maison : vous avez besoin d'une IP statique (ou DDNS) et de ports ouverts. De nombreux fournisseurs russes sont derrière un CGNAT — les connexions entrantes sont physiquement impossibles sans configuration supplémentaire. Vérifiez à l'avance : si votre IP externe commence par 100.64.x.x ou 10.x.x.x — vous avez un CGNAT.

VPS à l'étranger (Hetzner, DigitalOcean, Vultr) — l'option optimale. À partir de 3 à 5 dollars par mois pour un serveur de base en Allemagne ou en Finlande. IP statique incluse. Pas de problèmes avec le CGNAT et les connexions entrantes.

Équipement domestique + VPS étranger — une combinaison pour les paranoïaques et les perfectionnistes : toute la gestion est à vous, le trafic sortant passe par une IP étrangère.

Meilleures options d'équipement bon marché pour un serveur VPN

Parlons de dispositifs spécifiques avec des prix réels. Les prix sont actuels au début de 2025, référez-vous à Ozon/Wildberries/AliExpress — il y a des variations, mais l'ordre de grandeur est à peu près le même.

Ordinateurs monocarte : Raspberry Pi 4/5, Orange Pi, Banana Pi — prix et performances

Raspberry Pi 4 (2 Go) — environ 4000-5500 sur Ozon (en tenant compte des importations grises). Le processeur Cortex-A72 à 1,8 GHz donne ~400-600 Mbit/s avec WireGuard dans des conditions réelles. Ethernet gigabit disponible. Le soutien de la communauté est énorme — toute question reçoit une réponse en 5 minutes de recherche sur Google.

Raspberry Pi 5 (4 Go) — ~7000-9000. Cortex-A76, nettement plus rapide, mais nécessite un refroidissement actif séparé pour fonctionner 24/7. Certains anciens systèmes d'exploitation Pi 4 ne fonctionneront pas dessus — vérifiez la compatibilité de l'image OS avant de télécharger.

Orange Pi 3 LTS — 2500-3500. Allwinner H6, Cortex-A53. Les performances sont environ deux fois inférieures à celles du Pi 4 : WireGuard ~150-250 Mbit/s. Suffisant pour un ou deux utilisateurs. N'achetez que la version officielle — il y a des clones avec différents types de mémoire flash sur AliExpress, qui provoquent des blocages du système d'exploitation.

Banana Pi M5 — ~3500-4500. Amlogic S905X3, même classe Cortex-A55. Une alternative décente à Orange Pi, mais la documentation est moins bonne.

Mini-PC : N100, Celeron J4125 — le meilleur équilibre entre prix et performances

Intel N100 — c'est un autre niveau. Architecture x86, AES-NI dès la sortie de la boîte, ce qui permet un accélération matérielle pour OpenVPN et d'autres protocoles avec chiffrement AES. Les mini-PC N100 coûtent 8000-12000 sur Ozon (marques comme BMAX, MinisForum, Trigkey).

WireGuard sur N100 fournit 900+ Mbit/s — presque un gigabit. XRay avec VLESS+Reality — 400-600 Mbit/s même avec un TLS lourd. C'est déjà un serveur de niveau petit bureau, et pas simplement un VPN personnel.

Celeron J4125 — un peu plus ancien, ~6000-9000 pour un mini-PC prêt à l'emploi. Les performances sont légèrement inférieures à celles du N100, mais l'AES-NI est également présent. Une bonne option si vous le trouvez en promotion.

Un ancien ordinateur portable ou PC comme serveur VPN : quand cela est-il justifié

Si vous avez un ancien ordinateur portable avec un Core i3/i5 et 4 Go de RAM qui traîne sans rien faire — c'est un équipement gratuit pour un serveur VPN. La batterie intégrée sert de source d'alimentation sans interruption pendant une coupure de courant. Inconvénients : consommation de 15-45 W contre 3-5 W pour un Raspberry Pi, plus le bruit du ventilateur.

Pour un usage permanent, ce n'est pas économiquement viable — la différence de consommation d'énergie sur un an est de 1500-4000. Mais pour des tests ou un serveur temporaire — c'est excellent.

Routeurs avec OpenWRT : GL.iNet, TP-Link — l'option la plus compacte

GL.iNet Beryl AX (MT3000) — 6000-8000. MediaTek MT7981B, 256 Mo de RAM, WireGuard directement depuis la boîte dans l'interface web. Consommation ~5 W. Mais il y a une limitation : il a un port 2.5G, les autres sont 1G. Pour la plupart, ce n'est pas un problème.

Une limitation importante de tous les routeurs bon marché : si vous avez des ports Fast Ethernet (100 Mbit/s) — c'est la limite physique de vitesse, aucun logiciel ne pourra aider. Vérifiez les spécifications des ports avant d'acheter.

Le TP-Link Archer C7 et des appareils similaires sous OpenWRT fonctionnent, mais le processeur est faible — WireGuard atteindra un maximum de 50-80 Mbit/s. Pour un utilisateur, c'est acceptable, pour une famille — non.

Tableau comparatif : prix / consommation / vitesse WireGuard

Quel protocole choisir pour votre serveur face à la censure de Roskomnadzor

C'est la section la plus importante si vous vivez en Russie. Vous pouvez acheter du matériel idéal et bon marché pour un serveur VPN, mais si le protocole est bloqué dans deux semaines, tout cela est vain.

WireGuard : rapide, mais facilement bloqué par UDP

WireGuard est un protocole techniquement supérieur. Code minimaliste (environ 4000 lignes), cryptographie rapide Curve25519/ChaCha20, faible latence. Dans un monde sans DPI, c'est le choix idéal.

En Russie, c'est un problème. WireGuard fonctionne sur UDP et a des signatures caractéristiques dans les premiers paquets de la poignée de main. Le matériel DPI des fournisseurs le reconnaît et le bloque. De plus, certains fournisseurs appliquent une limitation UDP : ils ne bloquent pas explicitement, mais réduisent le trafic UDP à 5-10 Mbit/s. Vous penserez que tout fonctionne, juste lentement.

VLESS + XRay + Reality : le meilleur choix pour contourner le DPI en Russie

VLESS avec le transport Reality est actuellement l'option la plus résistante au DPI. Reality masque la connexion comme une véritable poignée de main TLS avec un domaine réel (par exemple, microsoft.com ou apple.com). Le DPI voit un HTTPS légitime sur le port 443 — rien à bloquer.

XRay est un fork de V2Ray avec des fonctionnalités supplémentaires, y compris Reality. Il s'installe en une seule commande via le script officiel. Sur un mini-PC avec N100, il fonctionne très bien. Sur Orange Pi Zero avec Cortex-A53, c'est lent, car il n'y a pas d'accélération matérielle AES, et XRay charge le CPU à 70-80 % avec un trafic de 100 Mbit/s.

Shadowsocks-2022 : un compromis entre vitesse et obfuscation

Shadowsocks-2022 est une version mise à jour de l'ancien protocole avec une cryptographie améliorée (AEAD-2022). L'obfuscation est moins bonne que celle de Reality, mais meilleure que celle du WireGuard classique. Le trafic ressemble à des données aléatoires, ce qui complique déjà l'analyse de la signature.

Le principal avantage pour le matériel faible : la charge CPU est inférieure à celle de XRay. Sur Orange Pi 3 LTS, la différence de charge CPU entre Shadowsocks-2022 et XRay peut atteindre 30-40 %. Si vous avez une carte ARM Cortex-A53, Shadowsocks-2022 est un choix plus pratique.

Amnezia VPN : une solution prête à l'emploi basée sur du matériel ordinaire

Amnezia est un projet russe open source qui prend WireGuard et ajoute des paquets poubelles avant la véritable poignée de main. Le DPI ne peut pas reconnaître la signature de WireGuard, car il voit une séquence de paquets non standard.

AmneziaWG fonctionne pratiquement sur n'importe quel matériel où WireGuard fonctionne — les frais généraux sont minimes. Les applications clientes sont disponibles pour Android, iOS, Windows, macOS. C'est une bonne solution si vous avez déjà configuré WireGuard et souhaitez rapidement ajouter une protection contre le DPI sans réinstaller tout.

OpenVPN et IKEv2 : quand cela a-t-il encore du sens de les utiliser

OpenVPN sur TCP sur le port 443 est un ancien schéma, mais fonctionnel. Le trafic ressemble à du HTTPS pour la plupart des fournisseurs sans analyse approfondie. La vitesse est de 30-50 % inférieure à celle de WireGuard, la charge CPU est plus élevée. Mais il fonctionne presque partout et est pris en charge par tous les clients.

IKEv2 — pour des scénarios d'entreprise et iOS (prise en charge intégrée). Dans le contexte de contournement des blocages de Roskomnadzor, c'est un choix faible : il est relativement facile à bloquer. Utilisez-le uniquement si vous avez besoin de compatibilité avec une solution d'entreprise spécifique.

Configuration étape par étape d'un serveur VPN sur du matériel bon marché

Installation du système d'exploitation : Debian/Ubuntu contre Alpine Linux pour économiser des ressources

Sur Raspberry Pi 4, utilisez Raspberry Pi OS Lite (64 bits) — c'est un Debian optimisé pour cette plateforme. Téléchargez-le sur le site officiel raspberrypi.com, version sans bureau (Lite). Écrivez-le avec Raspberry Pi Imager — il configure également SSH et le nom d'hôte avant le premier démarrage.

Pour un mini-PC x86 — Debian 12 Bookworm Minimal ou Ubuntu Server 24.04 LTS. Alpine Linux économise de la mémoire vive, mais les dépôts sont moins vastes, et certains paquets doivent être compilés manuellement. Pour un débutant, c'est un tracas supplémentaire.

Installation de WireGuard en 10 minutes : commandes et configuration

Sur Debian/Ubuntu :

apt update && apt install -y wireguard
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
chmod 600 /etc/wireguard/server_private.key

Configuration /etc/wireguard/wg0.conf:

[Interface]# Server private key
PrivateKey = <contents of server_private.key>
# Server address in VPN network
Address = 10.0.0.1/24
# Port — better non-standard, but if provider blocks UDP — it's a problem
ListenPort = 51820
# Enable traffic forwarding
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# Client public key
PublicKey = <client_public.key>
AllowedIPs = 10.0.0.2/32

Activez et démarrez :

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Si votre fournisseur bloque le trafic UDP sur des ports non standards, changez ListenPort en 53 (DNS) ou utilisez wstunnel pour encapsuler WireGuard dans WebSocket.

Installation de XRay/VLESS avec Reality sur un mini-PC ou un ordinateur à carte unique

Script d'installation officiel de XRay (version 1.8.x et supérieure) :

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Après l'installation, la configuration se trouve dans /usr/local/etc/xray/config.json. Pour Reality, vous devez générer une paire de clés :

xray x25519

Dans la configuration, vous indiquez "dest": "www.microsoft.com:443" — XRay redirigera les connexions non reconnues vers Microsoft, créant un camouflage convaincant.

Connexion des clients : Android, iPhone, Windows, routeur

WireGuard Android/iOS : l'application officielle WireGuard du Play Store/App Store. Générez un code QR de configuration avec qrencode -t ansiutf8 < client.conf, scannez-le avec votre téléphone.

VLESS/XRay sur Android : v2rayNG application (Google Play). Copiez le lien, comme vless://uuid@ip:443?..., collez-le dans l'application.

VLESS/XRay sur iOS : Streisand ou Shadowrocket application (payante, $2.99). Importez le même lien.

Windows : pour WireGuard — client officiel wireguard.com, importez le fichier .conf. Pour XRay — Nekoray ou Hiddify.

Surveillance et sécurité : fail2ban, mises à jour automatiques

Ensemble minimum de sécurité :

apt install -y fail2ban unattended-upgrades
systemctl enable fail2ban
dpkg-reconfigure -plow unattended-upgrades

Fail2ban bloque automatiquement les attaques par force brute SSH. Unattended-upgrades installe les correctifs de sécurité sans votre intervention. Changez le port SSH de 22 à quelque chose de non standard et désactivez l'authentification par mot de passe — uniquement des clés.

Ce qui ne fonctionne pas et erreurs typiques lors du choix du matériel

Pourquoi l'IP domestique ne convient pas pour un VPN en Russie

Même si vous avez résolu le problème de CGNAT et obtenu une IP statique de votre fournisseur — l'adresse IP domestique est problématique pour une autre raison. Les fournisseurs russes ont le droit et la possibilité technique de bloquer des adresses IP spécifiques de leurs utilisateurs sur demande. De plus, votre IP se trouve dans la plage d'un fournisseur russe — certains services étrangers la filtrent en plus.

Schéma correct : matériel domestique + VPS à l'étranger comme nœud de sortie. À la maison, il y a un Raspberry Pi ou un mini-PC, il se connecte via un tunnel à votre serveur en Allemagne, tout le trafic passe par une IP allemande. Ainsi, personne ne connaît votre adresse domestique.

Routeurs sans NAT matériel : goulet d'étranglement en vitesse

De nombreux routeurs économiques avec OpenWRT n'ont pas d'accélération NAT matérielle. Avec le trafic VPN, tous les transferts passent par le CPU, qui sur les routeurs MIPS de 2016-2018 est franchement faible. La vitesse réelle peut atteindre 20-40 Mbit/s alors que la théorie indique 300 Mbit/s pour le routeur.

GL.iNet sur MediaTek MT7621/MT7981 est meilleur — le Software Flow Offloading fonctionne là et offre un gain notable. Mais le matériel plus ancien que 2020 avec un processeur MIPS pour le serveur VPN — c'est de la poubelle, ne perdez pas de temps.

Ordinateurs monocarte avec Ethernet 100 Mbit/s — limitation cachée

Orange Pi Zero, Banana Pi M2 Zero, certains anciens Raspberry Pi — ils ont physiquement 100 Mbit/s Ethernet ou seulement WiFi. WireGuard peut fournir 300 Mbit/s via le CPU, mais le réseau sera un goulet d'étranglement à 100 Mbit/s. Vérifiez les spécifications avant d'acheter.

Raspberry Pi 4 et 5 — Ethernet gigabit. Orange Pi 3 LTS — également gigabit. C'est le minimum pour une utilisation normale.

Chaleur et stabilité : problèmes de fonctionnement 24/7 du matériel bon marché

Raspberry Pi 4 sans refroidissement sous charge constante réduit la fréquence de 1800 MHz à 600 MHz. C'est un vrai problème pour un serveur VPN 24/7. Achetez un boîtier avec un radiateur passif pour 300-500 — cela résout complètement le problème sans ventilateur.

Des mini-PC chinois bon marché, comme le "no-name N100", ont parfois un module WiFi instable et une alimentation médiocre. Connectez-vous via Ethernet, le WiFi n'est pas nécessaire pour le serveur. Obtenez une alimentation avec une marge — une bon marché 12V/1A sous charge peut avoir des chutes de tension.

Une autre histoire — des hébergements bon marché dans des endroits exotiques (1 dollar par mois pour un VPS en Moldavie ou au Kazakhstan) : coupures de courant, connexion instable, parfois simplement hors ligne pendant plusieurs heures. Hetzner, Contabo, DigitalOcean — payez 2 dollars de plus, mais dormez tranquille.

Une alternative à votre propre serveur : quand choisir un VPN prêt à l'emploi

Quand l'auto-hébergement n'est pas approprié

Votre propre serveur VPN sur du matériel bon marché pour VPN est un projet. Ce n'est pas une application, ni un abonnement, mais un projet avec une configuration initiale, un entretien périodique et la résolution de problèmes, comme "le serveur a planté à 3 heures du matin et tout le monde à la maison n'a pas Internet".

Calculons le TCO réel : Raspberry Pi 4 (~5000 roubles en une fois) + boîtier avec refroidissement (~500 roubles) + carte microSD (~600 roubles) = ~6100 roubles en une fois. Électricité : ~4 W × 24 h × 30 jours × 6 roubles/kWh = ~17 roubles par mois. VPS à l'étranger (Hetzner CX11, 2 Go de RAM, Allemagne) = ~$3.5 par mois ≈ 320 roubles. Total : ~6100 roubles en entrée + ~340 roubles par mois. Pour 6 mois, cela fait ~8100 roubles. Plus votre temps pour la configuration et l'entretien.

Un service VPN prêt à l'emploi avec un bon support pour contourner les blocages coûte entre 100 et 500 par mois. Pour 6 mois, cela représente entre 600 et 3000, zéro temps pour la configuration. Pour les utilisateurs non techniques, le choix est évident.

NvoVPN et d'autres services comme alternative prête à l'emploi sans matériel

Si vous ne souhaitez pas vous occuper des configurations et des mises à jour, un service prêt à l'emploi est un choix raisonnable. NvoVPN, par exemple, prend déjà en charge les protocoles modernes pour contourner le DPI et ne nécessite pas l'achat de matériel — il suffit de télécharger l'application et de se connecter.

Votre propre serveur a du sens si : vous avez des connaissances techniques et souhaitez contrôler chaque aspect, vous êtes prêt à investir du temps ou vous avez des exigences spécifiques (par exemple, une adresse IP de sortie spécifique pour travailler avec certains services). Dans d'autres cas, évaluez objectivement si cela en vaut la peine.

Ai-je besoin d'une IP statique pour mon propre serveur VPN ?