AmneziaWG

Keywords

Self-Host an AmneziaWG VPN Server — Complete Guide

AmneziaWG is a protocol designed to solve a specific problem: how do you get WireGuard’s speed when the networks you’re connecting through actively try to block it? It’s a fork of WireGuard built by the Amnezia VPN team, and it does one thing that the original doesn’t — it randomizes the transport layer so Deep Packet Inspection systems can’t fingerprint it. The encryption underneath stays exactly the same. What changes is how the packets look on the wire.

The broader landscape of VPN obfuscation has been an arms race for years. Tools like Shadowsocks, VLESS+Reality, and OpenVPN with obfs4 all attempt to disguise traffic in different ways — some as proxies, some as full tunnels, some with heavy performance costs. AmneziaWG sits in a specific niche: it’s a full VPN tunnel with WireGuard-level performance and built-in DPI resistance, all in one package. And since it’s open-source, you can self-host it on your own server.

But here’s the problem that makes this necessary. You set up WireGuard. It works perfectly — fast, clean, reliable. Then one day it stops. No error message, no timeout, no connection refused. The packets just vanish. That’s what DPI blocking looks like in practice: your tunnel is still running, your config is still correct, and nothing gets through. This is the reality in Russia (where WireGuard has roughly a 12% success rate), Iran (98% packet loss), and a growing list of countries including China, Egypt, UAE, Turkey, Belarus, Uzbekistan, Kazakhstan, Myanmar, and Pakistan.

Traditional alternatives don’t fully solve this. Shadowsocks is a proxy, not a full VPN tunnel — your DNS and non-TCP traffic still leak. OpenVPN with obfs4 works but carries roughly 25% performance overhead. VLESS+Reality offers strong obfuscation but is proxy-based and complex to configure. AmneziaWG fills the gap: a complete VPN tunnel with WireGuard’s speed and DPI resistance baked in.

This guide walks you through deploying a fully functional AmneziaWG 2.0 server on any KVM VPS in under 15 minutes using a single community installer script. By the end, you’ll have a working VPN tunnel you can connect to from any device. The steps are provider-agnostic — they work on any VPS with root SSH access, whether that’s from AlexHost, AvaHost, or elsewhere. This is written for intermediate tech users who are comfortable with SSH and basic Linux commands.

One clarification before we start: AmneziaWG is the protocol. AmneziaVPN is the client app that connects to it. They’re related but distinct — like TLS is to your browser. You’ll need the app to connect, but the protocol is what runs on your server.

But before we deploy anything, you need to understand what makes AmneziaWG different from WireGuard — and why that difference matters when DPI is watching.

What Is AmneziaWG? (The Mental Model)

WireGuard is elegant by design. It has a small codebase, uses modern cryptography, and runs in the Linux kernel for near-native performance. But that elegance comes with a visibility problem: every WireGuard packet carries the same fixed header structure, the same fixed packet sizes, and the same handshake pattern. To a Deep Packet Inspection system, a WireGuard tunnel has a signature as clear as a barcode. Once a DPI box learns that signature, it can drop every packet without blocking the port or closing the connection.

Think of it this way. WireGuard is like a courier who always wears the same uniform — fast, reliable, and efficient. But anyone watching the road learns to recognize that uniform and can stop the courier at any checkpoint. AmneziaWG is the same courier carrying the same packages, but they change uniforms at every checkpoint. Same person, same cargo, completely different appearance.

The version history matters here. AmneziaWG 1.x introduced custom headers that differed from WireGuard’s fixed values — it helped for a while, but DPI systems adapted. AmneziaWG 2.0, released in late 2025, randomizes everything: headers change per packet, padding varies per message, and decoy packets mimic other protocols before the real handshake begins. There is no universal signature to detect because every AmneziaWG 2.0 server generates its own unique parameter set. Each server speaks its own dialect.

When all obfuscation parameters are set to zero, AmneziaWG behaves identically to WireGuard — it’s fully backward compatible at the protocol level. But with parameters active (which is the default), it becomes something WireGuard cannot be: a fast VPN tunnel that DPI systems struggle to identify.

So how exactly does AmneziaWG scramble its traffic? Let’s look at the four obfuscation layers that make DPI blind — and why they add almost no speed cost.

How AmneziaWG Hides From DPI (Without Losing Speed)

AmneziaWG 2.0 uses four layered obfuscation techniques that work together. Each one targets a different way DPI systems identify VPN traffic. Together, they make every server’s traffic look unique.

Dynamic Headers (H1–H4)

WireGuard uses fixed 32-bit message type identifiers:

• 1 — for initiation
• 2 — for response
• 3 — for cookie reply
• 4 — for data

A DPI box scanning traffic just looks for these values. AmneziaWG 2.0 replaces each fixed value with a random number drawn from a configured range. The initiation header (H1) might be any value between 234567 and 345678. The response header (H2) might be between 3456789 and 4567890. These ranges never overlap — the protocol still needs to distinguish packet types internally — but to an outside observer, there’s no single header value to latch onto. Every packet looks different from the last.

Random Padding (S1–S4)

WireGuard’s initiation packet is always exactly 148 bytes. Its response is always exactly 92 bytes. These fixed sizes are another fingerprint. AmneziaWG adds random padding to each packet type: the initiation becomes 148+S1 bytes, the response becomes 92+S2 bytes, the cookie reply becomes 64+S3 bytes, and every data packet gets S4 bytes of padding. S3 and S4 are new in version 2.0 — and S4 is the most significant addition because it touches every single data packet, making session-wide traffic analysis much harder.

There’s one critical constraint: S1+56 must not equal S2. Since the original size difference between initiation and response is 56 bytes (148−92), if the padding values happened to compensate for exactly that difference, the two padded packets would end up the same size — recreating the fingerprint AmneziaWG is trying to eliminate. The installer’s parameter generator enforces this constraint automatically.

Custom Protocol Signature (I1–I5)

Before the real WireGuard handshake begins, the AmneziaWG client sends up to five decoy packets that mimic other protocols — QUIC, DNS, SIP, or custom byte patterns. The server ignores these packets entirely. It just waits for the real handshake.

• A simple configuration: Sends 128 random bytes <r 128>.
• A sophisticated configuration: Sends bytes that look like a QUIC connection initiation (<b 0xc000000001><r 64><t>), complete with a Unix timestamp.

To a DPI system watching the session start, the first packets look like normal web traffic.

Junk Packets (Jc, Jmin, Jmax)

After the decoy packets, the client fires a configurable number of junk packets — pure noise with random sizes between Jmin and Jmax. These blur the timing and size profile of the session start, making it harder for DPI systems to identify where the real handshake begins.

The Speed Question

There’s a number that’s been circulating online: AmneziaWG has 65% overhead. That figure is real, but it refers to the userspace Go implementation — not the kernel module. The community installer used in this guide builds a DKMS kernel module, and the kernel module adds less than 12% overhead total — closer to 3% in real-world benchmarks. On an uncensored network, you’d see roughly 95 Mbps through WireGuard and 92 Mbps through AmneziaWG 2.0. In a censored network, the comparison is 92 Mbps versus zero.

The following table summarizes the parameters the installer generates automatically:

Jc

6

Jmin

55

Jmax

380

S1

72

S2

56

S3

32

S4

16

H1

234567-345678

H2

3456789-4567890

H3

56789012-67890123

H4

456789012-567890123

I1

<r N>

<r 128>

You don’t need to set any of these manually. The installer generates cryptographically random, constraint-valid values every time.

Now that you know how the obfuscation works, let’s see how AmneziaWG stacks up against the alternatives you might be considering.

AmneziaWG vs Alternatives — Quick Decision Guide

The decision rules are straightforward:

• No DPI in your country? Use plain WireGuard. It’s simpler and has a larger ecosystem.
• Need maximum DPI resistance and OK with a proxy? VLESS+Reality is the strongest option for obfuscation, but it’s not a full tunnel.
• Want both speed and a full tunnel with obfuscation? AmneziaWG 2.0 is the only option that delivers WireGuard-grade performance with real DPI resistance in a complete VPN tunnel.
• Already using OpenVPN+obfs4 and it still works? No urgent need to switch, but AmneziaWG will be noticeably faster.

This article focuses on AmneziaWG because it’s the only protocol that gives you a full tunnel, kernel-level performance, and built-in obfuscation — all configured by a single script.

If AmneziaWG is the right choice for your situation, here’s exactly what you need before we start deploying.

What You’ll Need Before Starting

Before running the installer, make sure your environment meets these requirements:

curl pre-installed.

⚠️ Warning: LXC containers are not supported. If your VPS uses LXC virtualization, the DKMS kernel module build will fail. You must use KVM or bare-metal. Check with your provider if you’re unsure.

⚠️ Warning: If your SSH runs on a non-standard port (anything other than 22), you must open it in UFW before running the installer:

sudo ufw allow YOUR_PORT/tcp

Replace

YOUR_PORT

with your actual SSH port. The installer enables UFW with a default-deny policy — if your SSH port isn’t allowed, you’ll be locked out immediately.

💡 Tip: Wait 5–10 minutes after creating your VPS before running the installer. Cloud-init and background initialization processes can conflict with the

apt-get

calls the installer makes.

With your VPS ready and prerequisites confirmed, let’s deploy AmneziaWG 2.0 using the community installer script — the fastest and most transparent method.

Keywords

Self-Host an AmneziaWG VPN Server — Complete Guide

AmneziaWG is a protocol designed to solve a specific problem: how do you get WireGuard’s speed when the networks you’re connecting through actively try to block it? It’s a fork of WireGuard built by the Amnezia VPN team, and it does one thing that the original doesn’t — it randomizes the transport layer so Deep Packet Inspection systems can’t fingerprint it. The encryption underneath stays exactly the same. What changes is how the packets look on the wire.

The broader landscape of VPN obfuscation has been an arms race for years. Tools like Shadowsocks, VLESS+Reality, and OpenVPN with obfs4 all attempt to disguise traffic in different ways — some as proxies, some as full tunnels, some with heavy performance costs. AmneziaWG sits in a specific niche: it’s a full VPN tunnel with WireGuard-level performance and built-in DPI resistance, all in one package. And since it’s open-source, you can self-host it on your own server.

But here’s the problem that makes this necessary. You set up WireGuard. It works perfectly — fast, clean, reliable. Then one day it stops. No error message, no timeout, no connection refused. The packets just vanish. That’s what DPI blocking looks like in practice: your tunnel is still running, your config is still correct, and nothing gets through. This is the reality in Russia (where WireGuard has roughly a 12% success rate), Iran (98% packet loss), and a growing list of countries including China, Egypt, UAE, Turkey, Belarus, Uzbekistan, Kazakhstan, Myanmar, and Pakistan.

Traditional alternatives don’t fully solve this. Shadowsocks is a proxy, not a full VPN tunnel — your DNS and non-TCP traffic still leak. OpenVPN with obfs4 works but carries roughly 25% performance overhead. VLESS+Reality offers strong obfuscation but is proxy-based and complex to configure. AmneziaWG fills the gap: a complete VPN tunnel with WireGuard’s speed and DPI resistance baked in.

This guide walks you through deploying a fully functional AmneziaWG 2.0 server on any KVM VPS in under 15 minutes using a single community installer script. By the end, you’ll have a working VPN tunnel you can connect to from any device. The steps are provider-agnostic — they work on any VPS with root SSH access, whether that’s from AlexHost, AvaHost, or elsewhere. This is written for intermediate tech users who are comfortable with SSH and basic Linux commands.

One clarification before we start: AmneziaWG is the protocol. AmneziaVPN is the client app that connects to it. They’re related but distinct — like TLS is to your browser. You’ll need the app to connect, but the protocol is what runs on your server.

But before we deploy anything, you need to understand what makes AmneziaWG different from WireGuard — and why that difference matters when DPI is watching.

What Is AmneziaWG? (The Mental Model)

WireGuard is elegant by design. It has a small codebase, uses modern cryptography, and runs in the Linux kernel for near-native performance. But that elegance comes with a visibility problem: every WireGuard packet carries the same fixed header structure, the same fixed packet sizes, and the same handshake pattern. To a Deep Packet Inspection system, a WireGuard tunnel has a signature as clear as a barcode. Once a DPI box learns that signature, it can drop every packet without blocking the port or closing the connection.

Think of it this way. WireGuard is like a courier who always wears the same uniform — fast, reliable, and efficient. But anyone watching the road learns to recognize that uniform and can stop the courier at any checkpoint. AmneziaWG is the same courier carrying the same packages, but they change uniforms at every checkpoint. Same person, same cargo, completely different appearance.

The version history matters here. AmneziaWG 1.x introduced custom headers that differed from WireGuard’s fixed values — it helped for a while, but DPI systems adapted. AmneziaWG 2.0, released in late 2025, randomizes everything: headers change per packet, padding varies per message, and decoy packets mimic other protocols before the real handshake begins. There is no universal signature to detect because every AmneziaWG 2.0 server generates its own unique parameter set. Each server speaks its own dialect.

When all obfuscation parameters are set to zero, AmneziaWG behaves identically to WireGuard — it’s fully backward compatible at the protocol level. But with parameters active (which is the default), it becomes something WireGuard cannot be: a fast VPN tunnel that DPI systems struggle to identify.

So how exactly does AmneziaWG scramble its traffic? Let’s look at the four obfuscation layers that make DPI blind — and why they add almost no speed cost.

How AmneziaWG Hides From DPI (Without Losing Speed)

AmneziaWG 2.0 uses four layered obfuscation techniques that work together. Each one targets a different way DPI systems identify VPN traffic. Together, they make every server’s traffic look unique.

Dynamic Headers (H1–H4)

WireGuard uses fixed 32-bit message type identifiers:

• 1 — for initiation
• 2 — for response
• 3 — for cookie reply
• 4 — for data

A DPI box scanning traffic just looks for these values. AmneziaWG 2.0 replaces each fixed value with a random number drawn from a configured range. The initiation header (H1) might be any value between 234567 and 345678. The response header (H2) might be between 3456789 and 4567890. These ranges never overlap — the protocol still needs to distinguish packet types internally — but to an outside observer, there’s no single header value to latch onto. Every packet looks different from the last.

Random Padding (S1–S4)

WireGuard’s initiation packet is always exactly 148 bytes. Its response is always exactly 92 bytes. These fixed sizes are another fingerprint. AmneziaWG adds random padding to each packet type: the initiation becomes 148+S1 bytes, the response becomes 92+S2 bytes, the cookie reply becomes 64+S3 bytes, and every data packet gets S4 bytes of padding. S3 and S4 are new in version 2.0 — and S4 is the most significant addition because it touches every single data packet, making session-wide traffic analysis much harder.

There’s one critical constraint: S1+56 must not equal S2. Since the original size difference between initiation and response is 56 bytes (148−92), if the padding values happened to compensate for exactly that difference, the two padded packets would end up the same size — recreating the fingerprint AmneziaWG is trying to eliminate. The installer’s parameter generator enforces this constraint automatically.

Custom Protocol Signature (I1–I5)

Before the real WireGuard handshake begins, the AmneziaWG client sends up to five decoy packets that mimic other protocols — QUIC, DNS, SIP, or custom byte patterns. The server ignores these packets entirely. It just waits for the real handshake.

• A simple configuration: Sends 128 random bytes <r 128>.
• A sophisticated configuration: Sends bytes that look like a QUIC connection initiation (<b 0xc000000001><r 64><t>), complete with a Unix timestamp.

To a DPI system watching the session start, the first packets look like normal web traffic.

Junk Packets (Jc, Jmin, Jmax)

After the decoy packets, the client fires a configurable number of junk packets — pure noise with random sizes between Jmin and Jmax. These blur the timing and size profile of the session start, making it harder for DPI systems to identify where the real handshake begins.

The Speed Question

There’s a number that’s been circulating online: AmneziaWG has 65% overhead. That figure is real, but it refers to the userspace Go implementation — not the kernel module. The community installer used in this guide builds a DKMS kernel module, and the kernel module adds less than 12% overhead total — closer to 3% in real-world benchmarks. On an uncensored network, you’d see roughly 95 Mbps through WireGuard and 92 Mbps through AmneziaWG 2.0. In a censored network, the comparison is 92 Mbps versus zero.

The following table summarizes the parameters the installer generates automatically:

Jc

6

Jmin

55

Jmax

380

S1

72

S2

56

S3

32

S4

16

H1

234567-345678

H2

3456789-4567890

H3

56789012-67890123

H4

456789012-567890123

I1

<r N>

<r 128>

You don’t need to set any of these manually. The installer generates cryptographically random, constraint-valid values every time.

Now that you know how the obfuscation works, let’s see how AmneziaWG stacks up against the alternatives you might be considering.

AmneziaWG vs Alternatives — Quick Decision Guide

The decision rules are straightforward:

• No DPI in your country? Use plain WireGuard. It’s simpler and has a larger ecosystem.
• Need maximum DPI resistance and OK with a proxy? VLESS+Reality is the strongest option for obfuscation, but it’s not a full tunnel.
• Want both speed and a full tunnel with obfuscation? AmneziaWG 2.0 is the only option that delivers WireGuard-grade performance with real DPI resistance in a complete VPN tunnel.
• Already using OpenVPN+obfs4 and it still works? No urgent need to switch, but AmneziaWG will be noticeably faster.

This article focuses on AmneziaWG because it’s the only protocol that gives you a full tunnel, kernel-level performance, and built-in obfuscation — all configured by a single script.

If AmneziaWG is the right choice for your situation, here’s exactly what you need before we start deploying.

What You’ll Need Before Starting

Before running the installer, make sure your environment meets these requirements:

curl pre-installed.

⚠️ Warning: LXC containers are not supported. If your VPS uses LXC virtualization, the DKMS kernel module build will fail. You must use KVM or bare-metal. Check with your provider if you’re unsure.

⚠️ Warning: If your SSH runs on a non-standard port (anything other than 22), you must open it in UFW before running the installer:

sudo ufw allow YOUR_PORT/tcp

Replace

YOUR_PORT

with your actual SSH port. The installer enables UFW with a default-deny policy — if your SSH port isn’t allowed, you’ll be locked out immediately.

💡 Tip: Wait 5–10 minutes after creating your VPS before running the installer. Cloud-init and background initialization processes can conflict with the

apt-get

calls the installer makes.

With your VPS ready and prerequisites confirmed, let’s deploy AmneziaWG 2.0 using the community installer script — the fastest and most transparent method.

Mots-clés

🔄 Mise à jour (juillet 2026) : Ce guide conserve sa procédure pas à pas originale, mais la balise d’installateur épinglée affichée ci-dessous, v5.8.1, n’est plus à jour. La dernière version de amneziawg-installer est v5.18.4, qui ajoute la prise en charge de Debian 12 et 13, les modules noyau ARM64 et Raspberry Pi prêts à l’emploi, Ubuntu 25.10 et 26.04, le mode cascade et d’autres améliorations de sécurité.

Si vous suivez ce guide aujourd’hui, remplacez la commande épinglée plus ancienne par wget https://raw.githubusercontent.com/bivlked/amneziawg-installer/v5.18.4/install_amneziawg_en.sh ou vérifiez la balise actuelle sur la page de la dernière version avant de déployer.

Déploiement autonome du serveur VPN AmneziaWG — Guide complet

AmneziaWG est un protocole conçu pour résoudre un problème spécifique : comment atteindre les vitesses de WireGuard lorsque les réseaux auxquels vous vous connectez tentent activement de le bloquer ? C’est un fork de WireGuard créé par l’équipe Amnezia VPN, et il fait ce que l’original ne fait pas — il randomise la couche transport afin que les systèmes d’inspection approfondie des paquets ne puissent pas l’identifier. Le chiffrement reste exactement le même. Seule l’apparence des paquets sur le réseau change.

Le large paysage de l’obfuscation VPN a été une course aux armements au fil des années. Des outils comme Shadowsocks, VLESS+Reality et OpenVPN avec obfs4 tentent de déguiser le trafic de diverses manières — certains en tant que proxies, d’autres en tant que tunnels complets, certains avec des coûts de performance élevés. AmneziaWG occupe une niche spécifique : c’est un tunnel VPN complet avec des performances au niveau de WireGuard et une protection DPI intégrée, le tout en un seul paquet. Et puisqu’il est open-source, vous pouvez le déployer sur votre propre serveur.

Mais voici le problème qui rend cela nécessaire. Vous configurez WireGuard. Cela fonctionne parfaitement — rapide, propre, fiable. Puis un beau jour, cela s’arrête. Aucun message d’erreur, aucun délai d’attente, aucun refus de connexion. Les paquets disparaissent simplement. C’est à quoi ressemble le blocage DPI en pratique : votre tunnel est toujours opérationnel, votre configuration est toujours correcte, et rien ne passe. C’est déjà la réalité dans certains pays.

Les alternatives traditionnelles ne résolvent pas entièrement ce problème. Shadowsocks est un proxy, pas un tunnel VPN complet — votre DNS et votre trafic non-TCP fuiront toujours. OpenVPN avec obfs4 fonctionne mais a environ 25 % de surcharge de performance. VLESS+Reality offre une obfuscation forte mais est basé sur proxy et complexe à configurer. AmneziaWG comble le vide : c’est un tunnel VPN complet avec des performances au niveau de WireGuard et une protection DPI intégrée.

Ce guide vous guidera dans le déploiement d’un serveur AmneziaWG 2.0 entièrement fonctionnel sur n’importe quel VPS KVM en moins de 15 minutes en utilisant un seul script d’installation communautaire. À la fin, vous aurez un tunnel VPN fonctionnel auquel vous pourrez vous connecter à partir de n’importe quel appareil. Les étapes sont agnostiques du fournisseur — elles fonctionnent sur n’importe quel VPS avec accès SSH et privilèges root, qu’il provienne d’AvaHost ou d’un autre. Ceci est écrit pour les utilisateurs ayant un niveau de compétence technique intermédiaire qui sont à l’aise avec SSH et les commandes Linux de base.

Une clarification avant de commencer : AmneziaWG est un protocole. AmneziaVPN est une application client qui s’y connecte. Ils sont liés mais distincts — comme TLS pour votre navigateur. Vous aurez besoin d’une application pour vous connecter, mais le protocole est ce qui s’exécute sur votre serveur.

Mais avant de déployer quoi que ce soit, vous devez comprendre ce qui rend AmneziaWG différent de WireGuard — et pourquoi cette différence est importante lorsque DPI vous surveille.

Qu’est-ce qu’AmneziaWG ? (Modèle Mental)

WireGuard est élégant dans sa conception. Il possède une petite base de code, utilise la cryptographie moderne et s’exécute dans le noyau Linux pour une performance quasi native. Mais cette élégance pose un problème de visibilité : chaque paquet WireGuard porte la même structure d’en-tête fixe, les mêmes tailles de paquet fixes et le même motif de handshake. Pour un système d’inspection approfondie des paquets, le tunnel WireGuard a une signature aussi claire qu’un code-barres. Une fois qu’un appareil DPI apprend cette signature, il peut supprimer chaque paquet sans bloquer le port ni fermer la connexion.

AmneziaWG est un fork de WireGuard-Go créé par l’équipe Amnezia VPN. Il a hérité de la simplicité architecturale de WireGuard — le même échange de clés Curve25519, le même chiffrement ChaCha20-Poly1305, le même handshake Noise IK. Toute la cryptographie reste inchangée et est également vérifiée. Ce qu’AmneziaWG change, c’est la couche transport : les en-têtes de paquet, les tailles de paquet et les motifs de timing.

Pensez-y de cette façon. WireGuard est comme un coursier qui porte toujours le même uniforme — rapide, fiable et efficace. Mais quiconque observe la route apprend à reconnaître cet uniforme et peut arrêter le coursier à chaque point de contrôle. AmneziaWG est le même coursier transportant les mêmes colis, mais il change d’uniforme à chaque point de contrôle. La même personne, la même cargaison, une apparence complètement différente.

L’historique des versions est important. AmneziaWG 1.x a introduit des en-têtes personnalisés qui différaient des valeurs fixes de WireGuard — cela a aidé pendant un temps, mais les systèmes DPI se sont adaptés. AmneziaWG 2.0, publié fin 2025, randomise tout : les en-têtes changent de paquet en paquet, le remplissage varie de message en message, et les paquets de substitution imitent d’autres protocoles avant le véritable handshake. Il n’y a pas de signature universelle pour la détection car chaque serveur AmneziaWG 2.0 génère son propre ensemble unique de paramètres. Chaque serveur parle son propre dialecte.

Lorsque tous les paramètres d’obfuscation sont définis à zéro, AmneziaWG se comporte de manière identique à WireGuard — il est entièrement rétrocompatible au niveau du protocole. Mais avec des paramètres actifs (ce qui est le paramètre par défaut), il devient ce que WireGuard ne peut pas être : un tunnel VPN rapide que les systèmes DPI ont du mal à identifier.

Alors, comment exactement AmneziaWG chiffre-t-il son trafic ? Examinons les quatre niveaux d’obfuscation qui rendent le DPI aveugle — et pourquoi ils ajoutent presque aucun coût de vitesse.

Comment AmneziaWG se cache des systèmes DPI (sans perte de vitesse)

AmneziaWG 2.0 utilise quatre niveaux d’obfuscation qui fonctionnent ensemble. Chacun cible une méthode différente utilisée par les systèmes DPI pour identifier le trafic VPN. Ensemble, ils rendent le trafic de chaque serveur unique.

En-têtes dynamiques (H1–H4)

WireGuard utilise des identifiants de type de message fixes de 32 bits :

• 1 — pour l’initiation
• 2 — pour la réponse
• 3 — pour la réponse avec cookie
• 4 — pour les données

Un appareil DPI analysant le trafic cherche simplement ces valeurs. AmneziaWG 2.0 remplace chaque valeur fixe par un nombre aléatoire choisi dans une plage spécifiée. L’en-tête d’initiation (H1) peut être n’importe quelle valeur entre 234567 et 345678. L’en-tête de réponse (H2) peut être entre 3456789 et 4567890. Ces plages ne se chevauchent jamais — le protocole doit toujours distinguer les types de paquets en interne — mais pour un observateur extérieur, il n’existe pas de valeur d’en-tête unique sur laquelle se fixer. Chaque paquet semble différent du précédent.

Remplissage aléatoire (S1–S4)

Le paquet d’initiation de WireGuard fait toujours exactement 148 octets. Sa réponse fait toujours exactement 92 octets. Ces tailles fixes constituent une autre empreinte numérique. AmneziaWG ajoute un remplissage aléatoire à chaque type de paquet : l’initiation devient 148+S1 octets, la réponse devient 92+S2 octets, la réponse avec cookie devient 64+S3 octets, et chaque paquet de données reçoit S4 octets de remplissage. S3 et S4 sont nouveaux dans la version 2.0 — et S4 est l’ajout le plus significatif, car il affecte chaque paquet de données, rendant l’analyse du trafic au niveau de la session beaucoup plus difficile.

Il existe une contrainte critique : S1+56 ne doit pas être égal à S2. Puisque la différence de taille originale entre l’initiation et la réponse est de 56 octets (148−92), si les valeurs de remplissage compensent aléatoirement exactement cette différence, deux paquets remplis se retrouveront de la même taille — recréant l’empreinte qu’AmneziaWG essaie d’éliminer. Le générateur de paramètres du programme d’installation garantit automatiquement cette contrainte.

Signature de protocole personnalisée (I1–I5)

Avant que la poignée de main réelle ne commence, le client AmneziaWG envoie jusqu’à cinq paquets de substitution qui imitent d’autres protocoles — QUIC, DNS, SIP ou des motifs d’octets personnalisés. Le serveur ignore complètement ces paquets. Il attend simplement la vraie poignée de main.

• Configuration simple : Envoie 128 octets aléatoires <r 128>.
• Configuration complexe : Envoie des octets qui ressemblent à l’initiation d’une connexion QUIC (<b 0xc000000001><r 64><t>), avec un horodatage Unix.

Pour un système DPI observant le début de la session, les premiers paquets ressemblent à du trafic web ordinaire.

Paquets de remplissage (Jc, Jmin, Jmax)

Après les paquets de substitution, le client envoie un nombre personnalisable de paquets de remplissage — du bruit pur avec des tailles aléatoires entre Jmin et Jmax. Ces paquets brouillent le profil de synchronisation et de taille du début de la session, rendant plus difficile pour les systèmes DPI d’identifier où commence la vraie poignée de main.

Question de vitesse

Il y a un chiffre qui circule sur Internet : AmneziaWG a 65 % de surcharge. Ce chiffre est réel, mais il fait référence à l’implémentation Go en espace utilisateur — pas au module noyau. Le programme d’installation communautaire utilisé dans ce guide construit un module noyau DKMS, et le module noyau ajoute moins de 12 % de surcharge globale — plus proche de 3 % dans les tests réels. Sur un réseau non censuré, vous verriez environ 95 Mbps via WireGuard et 92 Mbps via AmneziaWG 2.0. Sur un réseau censuré, la comparaison est 92 Mbps contre zéro.

Le tableau suivant résume les paramètres que le programme d’installation génère automatiquement :

Vous n’avez besoin de définir aucun de ces paramètres manuellement. Le programme d’installation génère des valeurs aléatoires cryptographiquement sécurisées qui respectent les contraintes à chaque fois.

Maintenant que vous savez comment fonctionne l’obfuscation, voyons comment AmneziaWG se compare aux alternatives que vous pourriez envisager.

AmneziaWG vs Alternatives — Guide de prise de décision rapide

Les règles de prise de décision sont simples :

• Pas de DPI dans votre pays ? Utilisez WireGuard standard. C’est plus simple et dispose d’un écosystème plus large.
• Besoin d’une protection DPI maximale et vous ne craignez pas les proxies ? VLESS+Reality est l’option la plus puissante pour l’obfuscation, mais ce n’est pas un tunnel complet.
• Vous voulez à la fois la vitesse et un tunnel complet avec obfuscation ? AmneziaWG 2.0 est la seule option qui offre les performances au niveau de WireGuard avec une véritable protection DPI dans un tunnel VPN complet.
• Vous utilisez déjà OpenVPN+obfs4 et cela fonctionne toujours ? Aucun besoin urgent de changer, mais AmneziaWG sera notablement plus rapide.

Cet article se concentre sur AmneziaWG car c’est le seul protocole qui vous offre un tunnel complet, des performances au niveau du noyau et une obfuscation intégrée — le tout configuré avec un seul script.

Si AmneziaWG est le bon choix pour votre situation, voici ce dont vous avez besoin avant de commencer le déploiement.

Ce dont vous avez besoin avant de commencer

Avant d’exécuter l’installateur, assurez-vous que votre environnement répond à ces exigences :

⚠️ Avertissement : Les conteneurs LXC ne sont pas supportés. Si votre VPS utilise la virtualisation LXC, la compilation du module kernel DKMS échouera. Vous devez utiliser KVM ou bare-metal. Vérifiez auprès de votre fournisseur si vous n’êtes pas sûr.

⚠️ Avertissement : Si votre SSH s’exécute sur un port non-standard (autre que 22), vous devez l’ouvrir dans UFW avant d’exécuter l’installateur :
sudo ufw allow YOUR_PORT/tcp
Remplacez YOUR_PORT par votre port SSH réel. L’installateur inclut UFW avec une politique par défaut — si votre port SSH n’est pas autorisé, vous serez immédiatement bloqué.

💡 Conseil : Attendez 5–10 minutes après la création de votre VPS avant d’exécuter l’installateur. Les processus cloud-init et d’initialisation en arrière-plan peuvent entrer en conflit avec les appels apt-get que l’installateur effectue.

Avec votre VPS prêt et les prérequis confirmés, déployons AmneziaWG 2.0 en utilisant le script d’installateur communautaire — la méthode la plus rapide et la plus transparente.

Méthode 1 — Déployer avec le programme d’installation CLI (Recommandé)

C’est la méthode d’installation principale. Vous téléchargerez un script d’installation avec version épinglée, l’exécuterez en tant que root, suivrez huit étapes automatisées (avec deux redémarrages attendus), et vous vous retrouverez avec un serveur AmneziaWG 2.0 entièrement configuré. Le programme d’installation gère tout : installation des paquets, compilation du module noyau, configuration du pare-feu, génération des paramètres et démarrage du service.

6.1 — Connectez-vous à votre VPS via SSH

Ouvrez votre terminal et connectez-vous à votre serveur :

ssh root@<SERVER_IP>

Remplacez <SERVER_IP> par l’adresse IP publique réelle de votre VPS. Si votre fournisseur vous a donné un utilisateur non-root, connectez-vous avec cet utilisateur, puis escaladez :

ssh <username>@<SERVER_IP>
sudo -i

Vous devriez voir la bannière de bienvenue Ubuntu 24.04 suivie d’une invite root :

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.8.0-xx-generic x86_64)
...
root@vps:~#

6.2 — Télécharger et exécuter le programme d’installation

Téléchargez le script d’installation, rendez-le exécutable et exécutez-le :

wget https://raw.githubusercontent.com/bivlked/amneziawg-installer/v5.8.1/install_amneziawg_en.sh

chmod +x install_amneziawg_en.sh

sudo bash ./install_amneziawg_en.sh

L’URL est épinglée à la version v5.8.1 — la dernière version en date d’avril 2026. C’est une sécurité de la chaîne d’approvisionnement : cela garantit que le script téléchargé correspond à la version testée, même si le référentiel a été mis à jour depuis.

Le programme d’installation commence par vérifier votre système :

============================================
AmneziaWG 2.0 Installer v5.8.1
============================================
Checking system requirements...
OS: Ubuntu 24.04 LTS — OK
Virtualization: KVM — OK
RAM: 1024 MB — OK
Disk: 25 GB free — OK

Si une vérification échoue, le programme d’installation s’arrête et vous indique pourquoi. Corrigez le problème et réexécutez la commande.

6.3 — Parcourir les invites du programme d’installation

Le programme d’installation est une machine à états à huit étapes avec support de reprise après redémarrage. Il enregistre sa progression dans /root/awg/awgsetup_cfg.init, donc si le serveur redémarre, vous exécutez simplement la même commande à nouveau et il reprend là où il s’était arrêté.

Étape 0 : Initialisation — Le programme d’installation vérifie votre système d’exploitation, le type de virtualisation, la RAM et l’espace disque. Il crée le répertoire de travail /root/awg/ et configure un fichier de verrouillage pour éviter les exécutions parallèles.

Étape 1 : Mise à jour du système et installation des paquets — Le programme d’installation exécute apt-get update && apt-get upgrade -y. Ensuite, il installe AmneziaWG, DKMS, les en-têtes Linux, UFW, Fail2Ban, les outils de génération de codes QR et d’autres dépendances.

📝 Remarque : Le programme d’installation supprime également plusieurs services d’arrière-plan qui consomment des ressources sur les instances VPS minimales : snapd, modemmanager, networkd-dispatcher, unattended-upgrades, packagekit, lxd-agent-loader et udisks2. C’est intentionnel et sûr pour les nœuds VPN minimaux, mais peut casser les environnements à usage général.

Lorsque l’étape 1 est terminée, le programme d’installation demande un redémarrage :

Reboot required. Reboot now? [y/n]:

Tapez y et appuyez sur Entrée. Une fois que le serveur est revenu, connectez-vous à nouveau via SSH et réexécutez la même commande :

sudo bash ./install_amneziawg_en.sh

Le script lit son état enregistré et continue à l’étape 2 sans redemander d’invites.

Étape 2 : Compilation du module noyau DKMS — Le programme d’installation compile le module noyau AmneziaWG par rapport à votre noyau actuel et l’enregistre auprès de DKMS pour une reconstruction automatique lors des futures mises à jour du noyau :

Step 2: Building AmneziaWG kernel module via DKMS...
Creating symlink /var/lib/dkms/amneziawg/2.0/source -> /usr/src/amneziawg-2.0
DKMS: add completed.
Kernel preparation completed.
Building module:
make -C /lib/modules/6.8.0-xx-generic/build M=/var/lib/dkms/amneziawg/2.0/build modules
DKMS: build completed.
DKMS: install completed.

Un deuxième redémarrage est demandé. Tapez y et appuyez sur Entrée.

📝 Remarque : Deux redémarrages lors de l’installation sont normaux et attendus. Le premier charge les nouveaux en-têtes du noyau, le second active le module noyau nouvellement construit. Le script enregistre l’état entre les redémarrages — rien n’est perdu.

Après le deuxième redémarrage, connectez-vous à nouveau via SSH et exécutez le programme d’installation une fois de plus :

sudo bash ./install_amneziawg_en.sh

Étape 3 : Vérification du module après redémarrage — Le script vérifie que le module noyau est chargé (lsmod | grep amneziawg). Si la compilation DKMS a échoué pour une raison quelconque, elle bascule vers l’implémentation Go en espace utilisateur avec un avertissement concernant la surcharge plus élevée.

Étape 4 : Configuration du pare-feu — UFW est activé avec une politique d’entrée par défaut-refuser. Le programme d’installation ajoute une règle de limitation de débit SSH sur le port 22, ouvre votre port VPN pour le trafic UDP et configure les règles de routage pour l’interface awg0.

Étape 5 : Téléchargement des scripts de gestion — Les scripts de gestion des clients (manage_amneziawg.sh et awg_common.sh) sont téléchargés dans /root/awg/ avec des autorisations réservées au propriétaire (700). Ceux-ci sont également épinglés à la version v5.8.1.

Étape 6 : Configuration interactive — Le programme d’installation pose maintenant quatre questions :

• Port UDP (par défaut : 39743, plage 1024–65535). La valeur par défaut est un port UDP aléatoire élevé — conservez-la à moins que votre FAI soit connu pour bloquer les ports UDP élevés.
• Sous-réseau de tunnel (par défaut : 10.9.9.1/24). C’est votre réseau VPN interne. Le serveur obtient .1, les clients obtiennent .2 à .254, supportant jusqu’à 253 clients.
• Désactiver IPv6 (par défaut : Y). Recommandé — désactiver IPv6 empêche le trafic de fuir en dehors du tunnel sur les routes IPv6.
• Mode de routageChoisissez 1 pour tout le trafic, 2 pour Amnezia List + DNS (recommandé), ou 3 pour les réseaux personnalisés. Le mode 2 achemine uniquement les plages d’adresses IP publiques bloquées et le DNS via le VPN, gardant votre accès au réseau local rapide et direct.

💡 Conseil : Le MTU est défini à 1280 par défaut. C’est le MTU IPv6 minimum et c’est critique pour les réseaux mobiles et cellulaires. iOS est strict concernant Path MTU Discovery, et les réseaux cellulaires ont souvent un MTU effectif inférieur à la valeur par défaut de WireGuard de 1420. Laissez ceci à 1280.

Étape 7 : Démarrage du service — Le programme d’installation génère la configuration du serveur à /etc/amnezia/amneziawg/awg0.conf, crée deux configurations client par défaut (my_phone et my_laptop) à /root/awg/, génère des codes QR et démarre le service systemd awg-quick@awg0.

Étape 8 : Achèvement — Vous verrez le message de succès :

Le programme d’installation génère automatiquement tous les paramètres d’obfuscation AmneziaWG 2.0. Vous n’avez pas besoin de les toucher. Chaque serveur obtient un ensemble unique de valeurs — il n’y a pas d’empreinte digitale universelle pour que les systèmes DPI détectent.

6.4 — Gestion des clients après l’installation

Le script de gestion à /root/awg/manage_amneziawg.sh gère toutes les opérations du cycle de vie des clients. Voici les commandes essentielles :

Ajouter un nouveau client :

sudo bash /root/awg/manage_amneziawg.sh add my_desktop

Cela génère un fichier .conf, un code QR et un fichier .vpnuri pour le nouveau client. La configuration du serveur est rechargée à chaud — aucun redémarrage du service n’est nécessaire.

Ajouter un client temporaire à expiration automatique :

sudo bash /root/awg/manage_amneziawg.sh add guest --expires=7d

Un travail cron vérifie toutes les cinq minutes et supprime automatiquement le client à son expiration. La configuration, les clés et l’entrée du serveur sont tous nettoyés.

Lister tous les clients :

sudo bash /root/awg/manage_amneziawg.sh list

Clients:
  my_phone     (10.9.9.2/32)
  my_laptop    (10.9.9.3/32)
  my_desktop   (10.9.9.4/32)
  guest        (10.9.9.5/32) [expires in 6d 23h]

Ajoutez l’indicateur -v pour des détails supplémentaires incluant les clés publiques et les dates de création.

Supprimer un client :

sudo bash /root/awg/manage_amneziawg.sh remove guest

Vérifier l’état complet du serveur :

sudo bash /root/awg/manage_amneziawg.sh check

Cela affiche l’état du service, le port ouvert, tous les paramètres AWG 2.0, l’état du module noyau, l’état d’UFW et l’état de Fail2Ban en une seule vue.

Afficher les statistiques de trafic par client :

sudo bash /root/awg/manage_amneziawg.sh stats

Client          Received        Sent            Latest handshake
───────────────────────────────────────────────────────────────────
my_phone        1.24 GiB        356.7 MiB       2 minutes ago
my_laptop       892.3 MiB       128.4 MiB       15 seconds ago
my_desktop      0 B             0 B             (none)

Créer une sauvegarde :

sudo bash /root/awg/manage_amneziawg.sh backup

Cela crée une archive compressée à /root/awg/backups/ contenant votre configuration du serveur, les configurations des clients, les clés et les données d’expiration.

📝 Remarque : Les commandes add et remove utilisent awg syncconf pour le rechargement à chaud. La configuration du serveur se met à jour instantanément sans redémarrer le service. Utilisez uniquement restart lors de la modification des paramètres côté serveur comme le port ou le MTU.

6.5 — Vérifier que le serveur est en cours d’exécution

Parcourez ces vérifications pour confirmer que tout fonctionne :

Vérifier le service systemd :

sudo systemctl status awg-quick@awg0

● awg-quick@awg0.service - AmneziaWG Quick via awg-quick(8) for awg0
     Loaded: loaded (/lib/systemd/system/awg-quick@.service; enabled)
     Active: active (exited) since Thu 2026-04-09 14:32:01 UTC

Vérifier l’état et les paramètres d’AmneziaWG :

sudo awg show awg0

Vérifier le pare-feu :

sudo ufw status verbose

Status: active
Default: deny (incoming), allow (outgoing)
22/tcp                     LIMIT IN    Anywhere
39743/udp                  ALLOW IN    Anywhere

Vérifier Fail2Ban :

sudo fail2ban-client status sshd

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  `- Total failed: 0
`- Actions
   |- Currently banned: 0
   `- Banned IP list:

Vérifier le module noyau DKMS :

dkms status

amneziawg/1.0.0, 6.8.0-110-generic, x86_64: installed

Si les cinq vérifications réussissent, votre serveur AmneziaWG 2.0 est en cours d’exécution et prêt à accepter les connexions.

Votre serveur est en cours d’exécution et vérifié. Si vous préférez une approche basée sur l’interface graphique au lieu du terminal, voici la méthode alternative utilisant l’application AmneziaVPN.

Méthode 2 — Déployer avec l’application AmneziaVPN (Alternative)

L’application de bureau AmneziaVPN peut installer automatiquement AmneziaWG sur votre serveur via SSH. Elle utilise le même script d’installation que la méthode CLI, mais l’enveloppe dans une interface guidée. C’est idéal si vous souhaitez une expérience d’installation sans intervention manuelle.

1. Téléchargez AmneziaVPN depuis amnezia.org/en/downloads. Elle est disponible pour Windows, macOS, Linux, Android et iOS.
2. Ouvrez l’application et cliquez sur le ➕ (icône plus) ou Commencer.
3. Sélectionnez « VPN auto-hébergé » parmi les options présentées.
4. Entrez vos identifiants serveur :
   • Adresse IP du serveur (et port si SSH n’est pas sur 22, par ex. 203.0.113.10:2221)
   • Nom d’utilisateur SSH (par ex. root)
   • Mot de passe ou clé privée SSH
5. Choisissez le type d’installation :
   • Automatique — installe uniquement AmneziaWG (recommandé)
   • Manuel — choisissez un protocole spécifique dans la liste
6. Cliquez sur « Installer » — l’application se connecte à votre serveur via SSH et exécute l’installation automatiquement. Vous verrez un indicateur de progression.
7. Après l’installation, l’application crée un profil de connexion VPN prêt à l’emploi.

Notes post-installation :

• L’application installe AmneziaWG avec un port aléatoire par défaut. Certains fournisseurs d’accès Internet bloquent l’UDP sur les ports élevés. L’application recommande de passer à un port inférieur à 9999 (comme 585 ou 1234). Pour le modifier : cliquez sur l’icône d’engrenage à côté de la connexion → onglet Gestion → modifiez le numéro de port.
• Si votre serveur dispose déjà d’un logiciel Amnezia installé, cliquez sur « Ignorer la configuration » lors de la création de la connexion, puis utilisez « Vérifier le serveur pour les services Amnezia précédemment installés » dans l’onglet Gestion.

Voici comment les deux méthodes se comparent :

Que vous ayez utilisé la CLI ou l’application, votre serveur est prêt. Connectons maintenant votre premier appareil.

Connexion de votre premier client

Après l’installation, vous avez trois façons d’importer la configuration du client dans l’application Amnezia VPN. Choisissez celle qui correspond à votre appareil.

Méthode A : Code QR (Mobile)

L’installateur a généré un code QR à /root/awg/my_phone.png. Téléchargez-le sur votre ordinateur :

scp root@<SERVER_IP>:/root/awg/my_phone.png .

Ouvrez le fichier PNG sur votre écran. Sur votre téléphone, ouvrez l’application Amnezia VPN, appuyez sur « Ajouter VPN » → « Scanner le code QR », et pointez votre caméra vers le code QR affiché sur votre écran. La connexion s’importe automatiquement.

Méthode B : URI vpn:// (Client Amnezia)

Affichez l’URI compressée sur votre serveur :

cat /root/awg/my_phone.vpnuri

Copiez l’intégralité de la chaîne vpn://… et envoyez-la à vous-même — via Telegram, email ou une application de notes. Sur votre téléphone, ouvrez l’application Amnezia VPN, appuyez sur « Ajouter VPN » → « Coller depuis le presse-papiers ». La configuration s’importe en une seule étape.

L’URI est une version compressée en zlib et encodée en Base64 du fichier de configuration complet. Elle est compacte et conçue pour un partage rapide.

Méthode C : Fichier .conf (Bureau/Windows)

Téléchargez le fichier de configuration :

scp root@<SERVER_IP>:/root/awg/my_phone.conf .

Ouvrez le client AmneziaWG pour Windows ou l’application AmneziaVPN pour bureau, cliquez sur « Importer le(s) tunnel(s) à partir d’un fichier », et sélectionnez le fichier .conf.

Vérifier la connexion

Une fois connecté, vérifiez que le tunnel achemine votre trafic via le serveur :

curl ifconfig.me

Le résultat doit afficher l’adresse IP publique de votre serveur, pas celle locale : 203.0.113.1

Pour plus de détails, y compris la localisation géographique du serveur :

curl -s https://ipinfo.io/json

{
  "ip": "203.0.113.1",
  "city": "Amsterdam",
  "region": "North Holland",
  "country": "NL",
  ...
}

⚠️ Avertissement : Le client WireGuard standard ne fonctionne pas avec les configurations AmneziaWG 2.0. Vous devez utiliser l’application Amnezia VPN (version 4.8.12.7 ou ultérieure) ou un client AmneziaWG natif (version 2.0.0 ou ultérieure sur Windows/Android/iOS).

⚠️ Avertissement : Si vous voyez « Invalid key: s3 » sur Windows, votre client AmneziaWG pour Windows est obsolète (version inférieure à 2.0.0). Mettez à jour vers la version 2.0.0+ ou basculez vers l’application Amnezia VPN.

💡 Conseil : Si vous êtes connecté mais n’avez pas d’internet, vérifiez que votre configuration client a MTU = 1280 dans la section [Interface]. C’est la cause la plus courante de « la poignée de main réussit mais pas de trafic » sur les réseaux mobiles.

Félicitations ! Votre tunnel VPN fonctionne.

Étapes suivantes — Extension de votre configuration

Vous disposez maintenant d’un tunnel VPN résistant à l’inspection approfondie des paquets fonctionnant sur votre propre serveur, sous votre contrôle, avec une vitesse équivalente à WireGuard. La mort silencieuse des paquets qui tuait votre connexion WireGuard n’est plus un problème — votre trafic ressemble à quelque chose qu’un système DPI ne peut pas identifier de manière fiable.

Voici les choses les plus utiles que vous pouvez faire ensuite :

1. Ajouter des clients pour votre famille ou votre équipe — utilisez le script de gestion pour générer des configurations pour chaque appareil qui a besoin d’accès.
2. Configurer le tunneling fractionné si vous n’avez pas besoin d’un routage en tunnel complet — cela maintient le trafic local rapide et réduit la bande passante sur votre VPS.
3. Sauvegarder vos configurations — exécutez la commande de sauvegarde et stockez l’archive quelque part en sécurité. Si votre serveur doit être reconstruit, c’est ce qui vous sauve de recommencer à zéro.

Configurer le tunneling fractionné si vous n’avez pas besoin que tout le trafic soit acheminé via le VPN. C’est particulièrement utile dans les pays avec une censure partielle — acheminez uniquement les sites bloqués via le tunnel et gardez le trafic local direct :

sudo bash /root/awg/manage_amneziawg.sh modify my_phone AllowedIPs "192.168.1.0/24,10.0.0.0/8"

Modifier le DNS de votre client si vous préférez des résolveurs différents :

sudo bash /root/awg/manage_amneziawg.sh modify my_phone DNS "8.8.8.8,1.0.0.1"

Ajuster PersistentKeepalive si vous êtes sur une configuration NAT agressive. La valeur par défaut de 33 secondes maintient la session UDP via NAT — la réduire à 25 peut aider sur les réseaux qui abandonnent rapidement les sessions UDP inactives :

sudo bash /root/awg/manage_amneziawg.sh modify my_phone PersistentKeepalive 25

Installer sur votre routeur pour une couverture de tout le réseau. AmneziaWG est pris en charge sur les routeurs Keenetic via AWG Manager et sur les routeurs ASUS exécutant Asuswrt-Merlin via AmneziaWG pour Merlin.

Sauvegarder votre configuration maintenant, avant que quoi que ce soit ne change :

sudo bash /root/awg/manage_amneziawg.sh backup

Si vous devez jamais migrer vers un nouveau serveur, exécutez une installation nouvelle, puis :

sudo bash /root/awg/manage_amneziawg.sh restore
sudo bash /root/awg/manage_amneziawg.sh regen

La commande restore restaure vos configurations et clés, et regen met à jour les configurations client avec la nouvelle adresse IP du serveur.

Pour une documentation plus approfondie, la documentation officielle d’Amnezia se trouve sur docs.amnezia.org et la communauté est active sur Telegram.

Conclusion

Après avoir parcouru l’intégralité de la configuration, ce qui ressort d’AmneziaWG 2.0 n’est pas seulement que cela fonctionne—mais pourquoi cela fonctionne de manière fiable là où d’autres échouent. En préservant le noyau cryptographique éprouvé de WireGuard tout en changeant fondamentalement l’apparence du trafic sur le réseau, il contourne les faiblesses exactes que l’inspection approfondie des paquets exploite. Le résultat est une configuration qui se sent aussi rapide et simple que WireGuard en pratique, mais bien plus résiliente dans les environnements hostiles. Une fois déployée, la valeur devient évidente : vous n’exécutez pas seulement un VPN—vous en exécutez un qui est conçu pour survivre aux blocages du monde réel.

Si vous recherchez un VPS fiable pour héberger votre serveur AmneziaWG — ou si vous avez besoin de monter en charge avec des points de terminaison supplémentaires pour les membres de l’équipe — AvaHost fournit la virtualisation KVM avec accès root complet, le stockage NVMe et le support Ubuntu 24.04 que cette configuration nécessite. Leur infrastructure est conçue spécifiquement pour les déploiements auto-hébergés que ce guide couvre.