Какой VPS взять под VPN: сколько ядер, памяти и канала хватит

Короткий ответ: одного ядра и гигабайта памяти хватает на семью. Заканчивается раньше не процессор, а канал, месячная квота трафика и терпение при выборе виртуализации. Ниже разберём, откуда берутся эти цифры, и посчитаем, сколько людей вытянет минимальная машина.

Процессор упоминают первым, а он почти ни при чём

Продавцы VPS меряются ядрами, потому что ядра легко положить в табличку. Для VPN это самая неинтересная строка.

Замеры на реальных машинах дают порядок величин: одно современное ядро на WireGuard в режиме ядра операционной системы отдаёт сотни мегабит в секунду, а на скорости в полгигабита занято около одной седьмой этого ядра. Точная цифра пляшет от процессора и настроек, но порядок такой. Причина простая: у процессоров давно есть аппаратное ускорение шифрования, а там, где его нет, протоколы берут ChaCha20, который быстр и без ускорителя. Схемы поверх TLS, вроде VLESS, стоят чуть дороже, но не в разы.

Одна оговорка про «сколько ядер». Добавить их и получить кратный прирост не выйдет: обработка одного туннеля почти не размазывается по ядрам, поэтому важнее скорость одного ядра, чем их количество в тарифе. Второе ядро выручает, когда рядом крутится что-то ещё: панель, веб-сервер для маскировки, мониторинг.

Теперь сравните с потреблением. Видео в FullHD просит около 5 Мбит/с, 4K доходит до 25. Пять человек одновременно смотрят 4K, и это всего 125 Мбит/с. Ядро такого не заметит.

Просаживают процессор две вещи. Поток мелких пакетов: торренты и сетевые игры, где важны не мегабиты, а количество пакетов в секунду. И «общие» ядра у дешёвых провайдеров, когда соседи по железу отъедают такты: в системе это видно как steal time и лечится только переездом.

Память: считаем не туннель, а обвязку

• Голый WireGuard живёт в ядре и забирает десятки мегабайт. Его почти не видно.
• Xray или sing‑box в пользовательском пространстве занимают 50–150 МБ, и цифра растёт вместе с числом одновременных соединений.
• Панель управления с базой и докером добавляет 300–700 МБ. Вот из-за неё 512 МБ и становятся тесными.

Вывод простой: гигабайт закрывает почти любой домашний сценарий. Если взяли машину поменьше, сделайте swap-файл на пару гигабайт, иначе система в пиковый момент убьёт процесс, и связь отвалится ровно тогда, когда она нужна.

Диск: десяти гигабайт достаточно, и это не опечатка

Система занимает два-три гигабайта, туннель почти ничего не хранит, а NVMe против обычного SSD вы тут не почувствуете: трафик на диск не пишется.

Забить диск на VPN-сервере можно ровно одним способом: журналами. Подробный лог соединений растёт быстро, а когда место кончается, падает всё сразу. Отключите детальное логирование или настройте ротацию в первый же день, потом забудете.

Канал: здесь всё и заканчивается

Провайдеры пишут в одну строку три разные вещи, и путаница между ними стоит людям денег.

1. Скорость порта. 100 Мбит/с, гигабит, десять гигабит. Это потолок, и он делится на всех, кто подключён к серверу. Сто мегабит на семью из четырёх человек вечером ощущаются.
2. Включённый трафик за месяц. Терабайт, четыре терабайта, «безлимит». Самая частая ловушка при выборе.
3. Что происходит после квоты. Одни режут порт до символических значений, другие выставляют счёт за перерасход. Это написано мелким шрифтом, и прочитать надо до оплаты, а не после.

Отдельная история со словом «безлимит» у бюджетных площадок. Формально ограничения нет, фактически действует правило разумного использования. Если сервер месяцами держит полку в гигабит, приходит письмо с вопросами.

Посчитайте свой трафик, это одна строчка арифметики

Час FullHD весит примерно 2–3 ГБ, час 4K уже около семи. Два часа вечернего видео в день дают 150–180 ГБ в месяц, а с музыкой и обновлениями округляйте до 200–300 ГБ на человека, если через сервер идёт вообще всё. Направляете туда только то, что иначе не открывается, и цифра падает втрое.

Семья из четырёх человек в первом сценарии подходит к терабайту: квота выглядит просторной ровно до первого сериала в 4K.

Столько людей, такая конфигурация

Таблица с запасом, без героизма. Узкое место всегда в двух правых колонках, а не в двух левых.

Таблица прокручивается вбок. Цифры по памяти даны с учётом панели управления. На голом туннеле без панели можно смело брать вдвое меньше.

Если по первой строке видно, что весь ваш случай это телефон и ноутбук, честнее признать: сервер под такое брать не обязательно. Ровно эта конфигурация уже поднята в готовом доступе TRUE VPN, причём сразу в нескольких странах, и считать квоты там не приходится.

KVM или контейнер: разница, из-за которой ничего не запускается

Строчка «тип виртуализации» выглядит технической мелочью, а стоит вечера жизни.

KVM даёт полноценную виртуальную машину: своё ядро, свои модули, устройство TUN на месте, докер работает, WireGuard встаёт в ядро и разгоняется до тех самых сотен мегабит.

Контейнер (OpenVZ, LXC) делит ядро с хозяйской машиной. TUN там по умолчанию выключен и включается заявкой в поддержку, а у части хостеров не включается вообще. Модуля WireGuard может не быть вовсе, потому что чужое ядро вы не пересоберёте. Остаётся реализация в пользовательском пространстве, wireguard-go или boringtun: работает, но медленнее и заметно грузит процессор. Схемы поверх TLS в контейнере живут нормально, а вот с классическим набором начинаются пляски.

Локация и репутация адреса важнее гигабайтов диска

Задержка это чистая физика: сигнал идёт по кабелю, и километры не обмануть. Франкфурт, Амстердам, Хельсинки от европейской части России отвечают за десятки миллисекунд. До США выходит за сотню. В видео разницу не заметишь, в звонках и играх заметишь сразу.

Есть и обратный случай. Для зарубежных нейросетей американская площадка часто оказывается лучше европейской: мощности, которые пишут вам ответ, физически стоят там, и путь до них короче.

Вторая половина вопроса, о которой вспоминают поздно: репутация адреса. Дешёвые пулы дата-центров попадают в чёрные списки сервисов, и симптомы узнаваемые: бесконечные капчи, отказы на ровном месте, письма про подозрительную активность. Заранее это не проверить, поэтому начинайте с короткого срока и смотрите, как пойдёт.

И мелочь, которая ломает планы: выделенный адрес IPv4 нужен свой. Общий адрес за NAT для этой задачи не подходит, а у некоторых провайдеров он идёт по умолчанию.

Что выясняется через месяц

• Сервер надо обслуживать. Обновления системы, продление сертификатов, перезапуск после сбоя, раздача и отзыв ключей. Полчаса в месяц, но регулярно.
• Протоколы стареют. Классические туннели узнаются по приметному началу соединения, фильтрам оно давно знакомо. Поэтому в ходу схемы поверх TLS: снаружи похоже на обычный визит на сайт.
• Один сервер иногда падает. Или адрес перестаёт работать. Про запасной вариант думают уже после первого такого вечера.

Частые вопросы

Дальше по теме: свой сервер или готовый сервис, весь дом через один сервер и список серверов на главной HAPP TRUE VPS.