WG-Easy

WG-Easy est le moyen le plus simple d’exécuter un VPN WireGuard avec une interface d’administration web. Il vous permet de créer et de gérer des clients VPN, de consulter les statistiques de connexion, ainsi que de télécharger ou de scanner les configurations clientes depuis un navigateur, le tout reposant sur le protocole WireGuard rapide et moderne. L’interface web fonctionne sur le port 51821/tcp et le VPN lui-même sur le port 51820/udp.

Logiciels inclus

Composant	Version
WG-Easy	15
Ubuntu	24.04 LTS

Variables d’environnement

Définissez-les facultativement lors du déploiement depuis la marketplace. Laissez un champ vide pour qu’une valeur sécurisée soit générée.

Variable	Description
`WIREGUARD_HOST`	Hôte public WireGuard
`WIREGUARD_PASSWORD`	Mot de passe administrateur WireGuard

Démarrage

1. Se connecter à votre VM

ssh ubuntu@<your-vm-ip>

2. Attendre la configuration du premier démarrage

Au premier démarrage, un script de configuration génère un certificat TLS autosigné, recharge Nginx et lance WG-Easy avec Docker Compose. Suivez la progression :

sudo journalctl -u wg-easy-first-boot.service -f

Le message de connexion (MOTD) confirme que WG-Easy est prêt. Vous pouvez également vérifier le conteneur et Nginx :

cd /data/wg-easy && docker compose ps
systemctl status nginx

3. Accéder à l’interface WG-Easy

Ouvrez un navigateur et accédez à :

https://<your-vm-ip>:51821

Le certificat autosigné déclenche un avertissement du navigateur. Acceptez l’exception pour continuer.

4. Terminer l’assistant de configuration

Lors de la première visite, créez votre compte administrateur et définissez le point de terminaison WireGuard sur l’adresse IP publique ou le domaine que les clients VPN peuvent joindre. L’image ne crée pas d’identifiants partagés par défaut.

Gérer WG-Easy

WG-Easy fonctionne comme une pile Docker Compose dans /data/wg-easy, et Nginx termine TLS.

# Check status
cd /data/wg-easy && docker compose ps
systemctl status nginx

# Restart
cd /data/wg-easy && docker compose restart
sudo systemctl restart nginx

# View application logs
cd /data/wg-easy && docker compose logs -f

# View Nginx logs
sudo journalctl -u nginx -f

Chemin	Fonction
`/data/wg-easy/docker-compose.yml`	Configuration Docker Compose
`/data/wg-easy/wireguard/`	Configuration et données WireGuard
`/data/wg-easy/ssl/cert.pem`	Certificat TLS autosigné
`/data/wg-easy/ssl/key.pem`	Clé privée TLS
`/data/wg-easy/info.txt`	Informations d’accès et de gestion

Sécurité

Le VPN WireGuard utilise le port 51820/udp et l’interface web relayée par Nginx utilise le port 51821/tcp. UFW est activé et autorise par défaut SSH (port 22) ainsi que les deux ports WG-Easy. Le port web non chiffré du conteneur est lié à 127.0.0.1:51822 et n’est pas exposé à l’extérieur.

Pour limiter l’interface web à une adresse IP précise :

sudo ufw delete allow 51821/tcp
sudo ufw allow from <trusted-ip> to any port 51821

Pour accéder à l’interface web par un tunnel SSH :

# Run this on your local machine
ssh -L 51821:localhost:51821 ubuntu@<your-vm-ip>

# Then open in your browser
https://localhost:51821

Gardez le port 51820/udp ouvert afin que les clients VPN puissent se connecter. Nginx agit déjà comme proxy inverse TLS pour l’interface. Pour une utilisation en production, remplacez /data/wg-easy/ssl/cert.pem et /data/wg-easy/ssl/key.pem par un certificat et une clé de confiance.