Saját VPN otthon 2026 – WireGuard, Tailscale és PiVPN útmutató

Egy kereskedelmi VPN arra való, hogy elrejtse az IP-címed és titkosítsa a forgalmad egy idegen szolgáltató szerverén keresztül – erről szól a legjobb VPN-szolgáltatásokat összehasonlító cikkünk. A saját, házi üzemeltetésű VPN azonban teljesen más célt szolgál: a saját eszközeidet és otthoni hálózatodat köti össze egy privát, titkosított hálózatba, hogy bárhonnan biztonságosan elérd őket.

Ebben az útmutatóban végigvesszük, mire jó a saját VPN, milyen technikai feltételei vannak, és melyik megoldást válaszd – legyen szó egy Raspberry Pi-ről, egy felhős szerverről vagy egy modern mesh hálózatról. A cikk a fogalmakra és a döntésre koncentrál; a részletes, parancsról parancsra menő telepítést mindig az adott projekt hivatalos dokumentációjából érdemes követni.

Saját VPN vagy kereskedelmi VPN – mi a különbség?

Mielőtt belevágsz, fontos tisztázni, hogy a saját VPN nem a kereskedelmi szolgáltatások helyettesítője:

• A kereskedelmi VPN (NordVPN, Proton VPN, Surfshark stb.) a névtelenséget és a földrajzi korlátok megkerülését szolgálja: sok felhasználó osztozik a szolgáltató IP-címein, így elveszel a tömegben.

• A saját VPN ezzel szemben a te IP-címedet és a te hálózatodat használja. Nem tesz névtelenné – épp ellenkezőleg, a saját, jól azonosítható kapcsolatodon keresztül jössz ki. Cserébe teljes kontrollt ad a saját adataid felett, és nincs harmadik fél, akiben meg kell bíznod.

A saját VPN tehát akkor jó választás, ha a saját eszközeidet akarod elérni; ha viszont a cél az anonimitás vagy egy másik ország Netflix-katalógusa, maradj a kereskedelmi szolgáltatóknál.

Mire jó a saját VPN a gyakorlatban?

• Otthoni hálózat távoli elérése: a NAS-od, a házi szervered, a megfigyelőkamerád vagy a fájljaid elérése útközben, mintha otthon ülnél.

• Biztonságos kapcsolat nyilvános Wi-Fin: az otthoni kapcsolatodon keresztül vezeted ki a forgalmat egy idegen hálózatról.

• Saját ország IP-címe utazás közben: ha külföldről az otthoni internetkapcsolatod IP-jével szeretnél megjelenni (pl. banki belépéshez vagy hazai szolgáltatásokhoz), egy „exit node" pont ezt teszi lehetővé.

• Eszközök összekötése: a laptopod, a telefonod és a szervered egyetlen privát hálózatban, közvetlenül lássák egymást.

• Önhostolt szolgáltatások elérése: ha otthon futtatsz médiaszervert (Jellyfin, Plex), jelszókezelőt (Vaultwarden), fotótárat (Immich) vagy okosotthon-vezérlőt (Home Assistant), a saját VPN biztonságosan és titkosítva teszi elérhetővé őket anélkül, hogy bármelyik portot ki kellene nyitnod a nagyvilág felé.

• Fájlmegosztás és biztonsági mentés: a saját hálózaton belül kényelmesen szinkronizálhatsz vagy menthetsz, mintha az eszközök egy helyi LAN-on lennének.

Közös bennük, hogy mind a saját rendszereid biztonságos eléréséről szólnak – ez a saját VPN igazi erőssége, és itt jellemzően semmilyen kereskedelmi szolgáltató nem ad jobb megoldást.

A két alapvető megközelítés

A saját VPN-eknek két nagy családja van, és érdemes már az elején eldönteni, melyik illik hozzád:

1. Hagyományos, központi szerveres VPN (WireGuard, OpenVPN). Te üzemeltetsz egy szervert, amelyhez a kliensek „betárcsáznak" (csillag topológia). Teljes kontrollt ad, de a szervernek nyilvános IP-címre vagy port-forwardingra van szüksége, és magadnak kell kezelned a kulcsokat, a tűzfalat és a DNS-t.

2. Mesh / overlay VPN (Tailscale, NetBird, ZeroTier). Nincs egyetlen központi forgalmi szerver: egy koordinációs réteg (control plane) csak a kulcscserét és a jogosultságokat intézi, a tényleges adat pedig az eszközök között közvetlenül, peer-to-peer folyik. NAT-traversal segítségével CGNAT mögött is működik, port-forwarding nélkül. Feltelepíted, bejelentkezel, és kész.

A legnagyobb buktató: a CGNAT és a nyilvános IP

Ez az a pont, ahol a legtöbb otthoni VPN-projekt elhasal, ezért érdemes vele kezdeni. A hagyományos VPN-szerverhez kívülről el kell érni – ehhez kellene egy nyilvános IP-cím és egy átirányított port. A probléma, hogy sok internetszolgáltató ma már CGNAT (Carrier-Grade NAT) mögé teszi az ügyfeleit: egyetlen nyilvános IPv4-címen sok előfizető osztozik. Ilyenkor egyszerűen nincs olyan port, amit kívülről át tudnál irányítani – hiába állítgatod a routert, a bejövő WireGuard-kapcsolat nem fog működni.

Hogyan derítsd ki, CGNAT mögött vagy-e? Hasonlítsd össze a router WAN-IP-címét azzal, amit egy „mi az IP-címem" oldal mutat. Ha eltérnek, vagy a router IP-je a 100.64.0.0/10 tartományba esik, akkor CGNAT mögött vagy.

Ha ez a helyzet, három lehetőséged van:

• Kérj nyilvános IPv4-címet a szolgáltatótól (gyakran felárért, statikus IP formájában).

• Használj IPv6-ot, ha a szolgáltatód ad – ezt jellemzően nem teszik CGNAT mögé.

• Válassz mesh VPN-t (Tailscale & társai), amely a NAT-furatütés (NAT hole punching) és relay-szerverek révén CGNAT mögött is összeköti az eszközöket. A legtöbb otthoni felhasználónak ez a legegyszerűbb út.

Ráadásul az otthoni kapcsolatod nyilvános IP-címe általában változik, ezért a hagyományos megoldásnál dinamikus DNS-re (DDNS) is szükség van: egy szolgáltató (DuckDNS, No-IP, Cloudflare) ad egy állandó hostnevet, és a kliens ezt használja a nyers IP helyett. Aki mindezt el akarja kerülni, annak a VPS (olcsó felhős szerver) a legegyszerűbb: állandó nyilvános IP, nincs CGNAT, nincs DDNS-bűvészkedés.

Otthoni szerver vagy felhős VPS?

A hagyományos VPN-hez kell egy gép, amely mindig fut, és kívülről elérhető. Két fő irány van:

• Otthoni szerver (Raspberry Pi, NAS, régi gép): nincs havidíj, és közvetlenül eléred vele az otthoni hálózatodat (NAS, nyomtató, kamerák). Hátránya, hogy szükség van nyilvános IP-re vagy mesh megoldásra a CGNAT miatt, és neked kell gondoskodnod az áramellátásról, a frissítésekről és a tartós működésről.

• Felhős VPS (DigitalOcean, Hetzner, Vultr stb.): havi pár eurótól elérhető, állandó nyilvános IP-vel és CGNAT nélkül – így a beállítás sokkal egyszerűbb. Cserébe ez nem az otthoni hálózatodat éri el, hanem egy „tiszta" kilépőpontot ad az internetre (ez inkább a kereskedelmi VPN-ekhez hasonló cél). A kettő kombinálható is.

A gyakorlatban: ha az otthoni eszközeidet akarod elérni, otthoni szerver (vagy mesh VPN) kell; ha egy saját, privát kilépőpontot szeretnél tiszta IP-vel, akkor a VPS a logikus választás.

1. út: WireGuard saját kézzel

A WireGuard a legmodernebb VPN-protokoll: a Linux-kernel része (a 5.6-os verzió óta), ezért nagyon gyors és kis erőforrásigényű, kódbázisa pedig icipici az OpenVPN-hez képest. Korszerű titkosítást használ (Curve25519, ChaCha20-Poly1305), és egyetlen UDP-porton fut.

A kézi beállítás nagy vonalakban így néz ki egy VPS-en vagy otthoni szerveren / Raspberry Pi-n:

1. Telepíted a wireguard / wireguard-tools csomagot.

2. Minden géphez kulcspárt generálsz (privát + publikus kulcs).

3. Megírod a konfigurációt (pl. /etc/wireguard/wg0.conf): az [Interface] blokkba a helyi privát kulcs, a tunnel-cím és a figyelőport kerül, minden távoli eszközhöz pedig egy [Peer] blokk.

4. Elindítod: wg-quick up wg0 (és bekapcsolod indításkor a systemctl enable wg-quick@wg0 paranccsal).

Néhány fogalom, amit érdemes érteni:

• PrivateKey / PublicKey: minden peer titokban tartja a privát kulcsát, és megosztja a publikusat; a másik fél publikus kulcsát írod be a [Peer] blokkba.

• AllowedIPs: kettős szerepű – egyrészt megadja, mely forrás-IP-ket fogadsz el az adott peertől, másrészt, hogy milyen célforgalmat irányítasz felé. A 0.0.0.0/0, ::/0 az összes forgalmat átvezeti (teljes alagút).

• Endpoint: a szerver nyilvános cím:port párosa (vagy a DDNS-hostnév), ezt a kliens oldalán adod meg.

• PersistentKeepalive: (pl. 25 másodperc) életben tartja a NAT/tűzfal-mappinget, ami NAT mögötti peereknél nélkülözhetetlen.

A WireGuard alapértelmezett portja az UDP 51820 – ezt kell átirányítani a routeren és megnyitni a tűzfalon (pl. ufw allow 51820/udp). A kézi út a leggyorsabb és a legkisebb támadási felületű, de mindent magadnak kell intézned: kulcsosztás, IP-tervezés, tűzfal, NAT/DDNS.

2. út: könnyített WireGuard-telepítők

Ha nem akarsz minden konfigot kézzel írni, több eszköz leveszi a terhet a válladról – miközben a háttérben ugyanaz a WireGuard (vagy OpenVPN) fut.

PiVPN – egysoros telepítő Raspberry Pi-re

A PiVPN egy curl-alapú telepítő, amely egy biztonságos WireGuard- (alapból) vagy OpenVPN-szervert állít be, eredetileg Raspberry Pi-re, de Debianon/Ubuntun is működik. Segédparancsokkal könnyíti a kliensek kezelését (pivpn add, illetve pivpn -qr a QR-kódhoz, amivel a telefon egy pillanat alatt beállítható).

Fontos tudni: a PiVPN utolsó hivatalos kiadása a 2024 áprilisi v4.6.0 („The end") volt – az aktív fejlesztés leállt, a projekt „legjobb tudás szerinti" karbantartásra váltott. A meglévő telepítések tovább működnek, mert a tényleges biztonságot az alatta futó rendszercsomagok (wireguard/openvpn) adják, amelyek továbbra is kapnak frissítést. Kezdőknek így is jó, vezetett belépő, de érdemes tudni, hogy a projekt stabil, de befagyott állapotban van.

wg-easy – WireGuard webes felülettel

A wg-easy egy Docker-alapú WireGuard-szerver beépített webes adminfelülettel – ez a legkényelmesebb grafikus út. A böngészőből kezelheted a klienseket, láthatod az élő kapcsolati statisztikákat, és QR-kódot vagy letölthető konfigot generálhatsz telefonokhoz, laptopokhoz. Docker / Docker Compose alatt fut; a webes felület a TCP 51821 porton, maga a WireGuard pedig az UDP 51820-on.

Egy fontos változás 2025-ből: a v15-ös verzió teljes újraírás, és nem frissíthető a helyén a régi v14-ről. A beállítás (köztük az admin jelszó) már nem környezeti változókkal, hanem egy webes varázslóval történik az első indításkor; új SQLite-adatbázis, TOTP-alapú kétlépcsős hitelesítés és natív IPv6-támogatás került bele. Ha az új felületet szeretnéd, érdemes konkrét verziócímkét megadni a Docker-image-nél (ne csak a latest-re hagyatkozz). A webes felületet soha ne tedd ki közvetlenül az internetre hitelesítés és HTTPS nélkül!

Algo VPN – biztonságos felhős VPN

Az Algo a Trail of Bits biztonsági cég Ansible-szkriptjeinek gyűjteménye, amely egy megerősített, személyes WireGuard- (és IPsec/IKEv2-) VPN-t telepít egy felhőszolgáltatóhoz biztonságos alapbeállításokkal. A saját gépedről futtatod a playbookot, az pedig felhúz egy friss felhős szervert, és kész klienskonfigokat ad. Számos szolgáltatót támogat (DigitalOcean, Vultr, Hetzner, Linode, AWS, Azure stb.), és aktívan karbantartják (2025-ös v2.0.1 kiadás). Akkor ideális, ha egy auditált, automatizált felhős VPN-t szeretnél magadnak vagy egy szűk körnek – nem otthoni, CGNAT mögötti hostolásra való.

3. út: mesh VPN – a CGNAT megoldása

Ha a CGNAT vagy a kézi konfigurálás riaszt, a mesh VPN-ek a legkényelmesebb út. Ezek a WireGuardot egy okos koordinációs réteggel csomagolják be, így port-forwarding nélkül, CGNAT mögött is működnek.

Tailscale – a legegyszerűbb belépő

A Tailscale WireGuard-alapú mesh VPN egy menedzselt control plane-nel. Feltelepíted, bejelentkezel (pl. Google- vagy Microsoft-fiókkal), és az eszközeid automatikusan egy privát hálózatba kerülnek. Az ingyenes „Personal" csomag 2026-ban bőkezű: akár 6 felhasználó és korlátlan számú eszköz (a korábbi 100 eszközös és 3 felhasználós limitet eltörölték).

Kulcsfunkciók:

• Exit node: egy kiválasztott eszközön (pl. az otthoni géped) keresztül vezeted ki az összes forgalmat – így útközben az otthoni internetkapcsolatod IP-jével jelensz meg.

• Subnet routes: elérheted az egész otthoni LAN-t, nemcsak a Tailscale-t futtató gépeket.

• MagicDNS: a gépeidet névvel éred el IP-cím helyett.

• ACL-ek a hozzáférés szabályozására és Taildrop a fájlátvitelre.

A kliensek nagyrészt nyílt forráskódúak, a koordinációs szerver azonban zárt – épp ezért született meg a Headscale. A Tailscale a legegyszerűbb választás otthoni távoli eléréshez; egyetlen kompromisszum, hogy a control plane egy harmadik fél (felhős) szolgáltatása.

Tailscale öt perc alatt (vázlatosan):

1. Hozz létre egy fiókot a tailscale.com oldalon (meglévő Google-, Microsoft- vagy GitHub-fiókkal is megy).

2. Telepítsd a Tailscale klienst minden eszközre, amelyet össze szeretnél kötni (otthoni gép, telefon, laptop), és jelentkezz be ugyanazzal a fiókkal.

3. Az eszközök automatikusan kapnak egy 100.x.y.z formátumú belső címet, és máris elérik egymást – nincs kulcsmásolgatás, nincs portnyitás.

4. Ha az egész otthoni hálózatot el akarod érni, állíts be egy subnet route-ot az otthoni gépen; ha az otthoni IP-ddel akarsz kijönni utazás közben, kapcsold be rajta az exit node funkciót, és válaszd ki a másik eszközön.

Ennyi – a mesh megközelítés épp ezért lett ennyire népszerű: a legtöbb otthoni felhasználó pár perc alatt működő privát hálózatot kap, miközben a háttérben ugyanaz a WireGuard dolgozik.

Headscale – a Tailscale control plane saját kézben

A Headscale a Tailscale koordinációs szerverének nyílt forráskódú, self-hosted megvalósítása: a koordinációs réteget magad üzemelteted, miközben a hivatalos Tailscale klienseket használod hozzá. Azoknak való, akik nem akarnak a Tailscale szervereitől függeni. A projekt aktívan fejlesztett (legutóbbi stabil verzió a v0.28.0), de még 1.0 előtti állapotban van, így néhány funkció lemarad a hivatalos control plane mögött, és a frissítéseknél óvatosság kell. Homelaberek és self-hosting puristák kedvence.

NetBird – teljesen self-hostolható alternatíva

A NetBird nyílt forráskódú (BSD-3), WireGuard-alapú mesh hálózat, amelyet a klienssel és a control plane-nel együtt teljesen self-hostolhatsz. Erős oldala az SSO: natív OAuth 2.0 / OpenID Connect támogatás (Google, Microsoft Entra, Okta, Keycloak, GitHub), de beépített helyi felhasználókezeléssel külső szolgáltató nélkül is megy. A teljes self-host egyetlen telepítőszkripttel, automatikus TLS-sel megoldható, és van menedzselt felhős opció is ingyenes szinttel. Aki zero-trust hozzáférést és teljes kontrollt szeretne a Tailscale zárt control plane-je nélkül, annak ez a befutó.

ZeroTier – a más utat járó veterán

A ZeroTier egy régebbi overlay-hálózati megoldás, amely nem WireGuardra épül, hanem saját protokollt és titkosítást használ (AES-256). Koncepciójában a Tailscale-hez hasonló, de inkább virtuális LAN/switch megközelítésű, ami a smart-home, gaming és hobbi célokra teszi vonzóvá. Az ingyenes „Personal" csomag jelenleg 10 eszközt enged (ez idővel csökkent), így inkább kisebb, hobbi jellegű hálózatokhoz ajánlott.

Melyiket válaszd?

Az alábbi táblázat segít dönteni a céljaid alapján:

Gyors ajánlás: ha kezdő vagy, és csak el akarod érni az otthoni gépeidet, kezdj a Tailscale-lel – öt percen belül kész, és a CGNAT sem akadály. Ha teljes kontrollt szeretnél és van nyilvános IP-d vagy egy VPS-ed, a kézi WireGuard vagy a wg-easy a jó út. Ha minden komponenst saját kézben tartanál, nézd meg a Headscale-t vagy a NetBird-öt.

Biztonsági alapszabályok

• Védd a privát kulcsokat. Sosem kerülnek ki a gépről, és ne oszd meg őket – csak a publikus kulcsokat cseréld.

• Tartsd frissen a rendszert. A VPN biztonsága az alatta futó csomagokon (wireguard, openvpn) és az operációs rendszer frissítésein múlik.

• Ne tedd ki a webes felületet az internetre. A wg-easy vagy bármilyen admin UI csak a belső hálózaton vagy a VPN-en keresztül legyen elérhető, erős jelszóval és lehetőleg kétlépcsős hitelesítéssel.

• Csak a szükséges portot nyisd meg. A WireGuardhoz az UDP 51820 elég; minden mást tarts zárva a tűzfalon.

• Használj DDNS-t vagy fix IP-t a megbízható eléréshez, és kapcsold be a PersistentKeepalive-ot a NAT mögötti eszközökön.

• Készíts mentést a konfigurációról. A kulcsok és a kliens-konfigok (vagy a wg-easy adatbázisa, illetve a Headscale állapota) elvesztése azt jelenti, hogy az összes eszközt újra be kell állítanod – tárold biztonságos helyen a mentést.

• Korlátozd a hozzáférést. A mesh VPN-eknél (Tailscale, NetBird) használj ACL-eket, hogy minden eszköz csak azt érje el, amire tényleg szüksége van – ez a zero-trust elv lényege.

Gyakran ismételt kérdések

A saját VPN ugyanaz, mint a NordVPN vagy a Proton VPN?

Nem. A saját VPN a te hálózatodat és IP-címedet használja a saját eszközeid eléréséhez – nem tesz névtelenné. A kereskedelmi szolgáltatók viszont az anonimitást és a régiózárak megkerülését szolgálják. A két célhoz két különböző eszköz kell; a kereskedelmi opciókról a nagy VPN-összehasonlításunkban olvashatsz.

Kell hozzá Raspberry Pi?

Nem feltétlenül. Egy Raspberry Pi tökéletes, alacsony fogyasztású otthoni VPN-szerver, de bármilyen mindig bekapcsolt gép (régi laptop, NAS, mini PC) vagy egy olcsó felhős VPS is megteszi. A mesh VPN-ekhez (Tailscale) pedig elég egyszerűen feltelepíteni a klienst a meglévő eszközeidre.

Mi az a CGNAT, és miért fontos?

A CGNAT azt jelenti, hogy a szolgáltatód több ügyfél között osztja meg ugyanazt a nyilvános IP-címet, így nem tudsz portot átirányítani kívülről. Ez a hagyományos WireGuard/OpenVPN-szervert otthonról elérhetetlenné teszi – ilyenkor mesh VPN-t (Tailscale, NetBird) érdemes választani, vagy nyilvános IP-t kérni a szolgáltatótól.

Ingyenes a saját VPN?

A szoftverek (WireGuard, PiVPN, wg-easy, a Tailscale kliense) ingyenesek. Költséget legfeljebb a hardver (pl. egy Raspberry Pi) vagy egy felhős VPS havi díja jelent; a Tailscale személyes használatra ingyenes szintet is kínál.

Melyik a leggyorsabb?

A WireGuard-alapú megoldások (a kézi WireGuard, a wg-easy és a WireGuardra épülő Tailscale/NetBird) a leggyorsabbak. A közvetlen, peer-to-peer mesh kapcsolat sebessége is kiváló; csak akkor lassul, ha a forgalom relay-szerveren keresztül kénytelen menni (pl. nagyon szigorú NAT esetén).

Biztonságos a saját VPN?

Igen, ha betartod az alapszabályokat: erős kulcskezelés, naprakész rendszer, csak a szükséges portok nyitva, és a webes felület nincs kitéve az internetre. A WireGuard és az OpenVPN is alaposan auditált, megbízható alaptechnológia.

Mi a különbség a WireGuard és az OpenVPN között saját szerveren?

A WireGuard modernebb, gyorsabb és egyszerűbb konfigurálni, ráadásul a Linux-kernel része. Az OpenVPN érettebb és rugalmasabb, a TCP-módja pedig jobban átjut a forgalmat szűrő hálózatokon – cserébe lassabb és nehezebben állítható be. A legtöbb új otthoni projekthez ma a WireGuard az ajánlott alap; az OpenVPN ott jön jól, ahol a hálózat aktívan blokkolja a VPN-forgalmat.

Több eszközt is csatlakoztathatok egyszerre?

Igen. A kézi WireGuardnál minden eszközhöz külön [Peer] blokkot veszel fel; a PiVPN és a wg-easy segédfunkciókkal (és QR-kóddal) könnyíti ezt; a mesh VPN-eknél (Tailscale) pedig egyszerűen feltelepíted a klienst minden eszközre, és bejelentkezel – a többit a rendszer elintézi.

Mobilon is működik?

Természetesen. Mind a WireGuardnak, mind a Tailscale-nek és a NetBirdnek van Android- és iOS-alkalmazása. A kézi WireGuardnál a telefont a legegyszerűbb QR-kóddal beállítani (ezt a PiVPN és a wg-easy is generálja), a mesh megoldásoknál pedig elég bejelentkezni az appba.

Összegzés: a saját VPN felépítése ma sokkal egyszerűbb, mint néhány éve. A legtöbb otthoni felhasználónak a Tailscale a leggyorsabb és legkényelmesebb belépő, mert a CGNAT-ot is megkerüli. Aki teljes kontrollt szeretne, a kézi WireGuarddal vagy a wg-easyvel jár jól, a self-hosting puristák pedig a Headscale és a NetBird felé nézzenek. Ha viszont nem a saját hálózatod elérése a cél, hanem a névtelenség, akkor a kereskedelmi VPN-szolgáltatók összehasonlítása a következő olvasmányod.

Bármelyik utat is választod, érdemes kicsiben kezdeni: kösd össze előbb csak két eszközt, győződj meg róla, hogy stabilan működik, és csak utána bővítsd a hálózatot. A saját VPN egyik legnagyobb előnye éppen az, hogy idővel a saját igényeidre szabhatod – egyetlen szolgáltató sem diktálja, mit és hogyan érhetsz el.