在自己的伺服器完成 AmneziaWG 架設需要三樣東西：一台符合 Amnezia 要求的 Linux 主機、透過 SSH 安裝協議的官方 AmneziaVPN 應用程式，以及為每部裝置獨立產生的客戶端檔案。本文以一台 Ubuntu 24.04 LTS 伺服器和一部 Windows 11 電腦為例。［1］

關鍵要點

先核對主機條件：x86-64、KVM 虛擬化、公網 IPv4 地址及受支援的發行版。

把憑證交給任何應用程式之前，先自行核對伺服器的 SSH 主機密鑰。

完全存取連線只用於管理，每部裝置各用一個訪客連線。

AmneziaWG 原生 .conf 檔案不是標準 WireGuard 設定。

訪客連線可在應用程式內撤銷；完全存取密鑰外洩則要改密碼並清理伺服器。

本文按文末官方來源整理，未完成完整端到端實測。應用程式內的按鈕名稱可能隨版本改變，請以你螢幕上的現行文字為準。開始前可先閱讀自建責任與復原清單。

甚麼情況下適合架設 AmneziaWG 自建伺服器？

AmneziaWG 保留 WireGuard 的密碼學設計，但改變了封包格式：在握手前加入垃圾封包、加入隨機前綴並使用不同的標頭值，令流量更難按特徵識別。［2］正因為有這些額外參數，AmneziaWG 檔案不能與一般 WireGuard 客戶端檔案互換。它所依據的標準協議，可參考 WireGuard 原理說明。

當你想自行掌握伺服器、選擇所在地區並決定誰可接入時，自建才合適。同時，主機的更新、防火牆、憑證及停用都由你負責。如果你只想讓手機和手提電腦日常上網，先在自建伺服器與 VPN 服務的分別說明比較這份責任。

角色	本文中的對象	誰能修改伺服器
伺服器	KVM 主機上的 Ubuntu 24.04 LTS x64	你，透過 SSH 和完全存取連線
管理應用程式	Windows 11 電腦上的 AmneziaVPN	持有完全存取權限，必須保密
客戶端應用程式	同一部 Windows 11 電腦上的 AmneziaWG	只有訪客連線，可以撤銷

步驟 1：準備符合 Amnezia 要求的伺服器

新租或新建一台伺服器，不要沿用已在運行其他服務的機器。Amnezia 把 Ubuntu 22.04、24.04 及 Debian 12、13 列為官方支援，要求 x86-64 CPU，並說明 OpenVZ、LXC 等容器虛擬化無法使用。［3］

付款前再核對其餘條件：

至少 1 個 vCPU、1 GB 記憶體和 10 GB SSD；同時連線數達 10 個以上時，建議 2 GB 記憶體和 2 個 vCPU；
公網 IPv4 地址，因為不支援 IPv6；
root 帳戶，或可在沒有密碼提示下執行任何指令的 sudo 用戶；
核心版本符合所用協議版本的要求，Ubuntu 24.04 符合。［3］

先建立一份服務商快照，或記下重裝映像的方法，並確認可以開啟服務商的網頁主控台。防火牆改錯或安裝失敗令 SSH 無法登入時，主控台就是你的回退入口。

安裝前記錄主機現況，方便之後比較變化：

sudo ss -lntup > before-sockets.txt
systemctl list-units --type=service --state=running > before-services.txt
dpkg -l > before-packages.txt
sudo iptables-save > before-firewall.txt

步驟 2：交出憑證前先確認 SSH 信任

AmneziaVPN 應用程式會以你輸入的 IP 地址、SSH 用戶名稱以及密碼或私鑰連接伺服器。［1］在此之前，先從終端機自行連線一次，把主機密鑰指紋與服務商主控台或安裝輸出所顯示的指紋比較。

ssh root@SERVER_IPV4

提示出現指紋時，在它與服務商提供的值相符之前不要輸入 yes。如果可以開啟服務商主控台，可在那裏用 ssh-keygen -lf 讀取密鑰指紋，這條指令會列出公鑰檔案的指紋：［4］

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

指紋不相符代表你連接的可能不是自己的伺服器，應立即停止。以密鑰登入勝過沿用舊密碼；如果把私鑰交給應用程式，只用為這台伺服器獨立產生的那一把，也切勿貼到聊天或支援查詢中。

步驟 3：以官方應用程式完成 AmneziaWG 架設

在 Windows 11 電腦上，從 Amnezia 官方下載頁安裝現行版本的 AmneziaVPN，然後按自建流程操作：［1］

按加號圖示或 Get Started，選擇 Self-hosted VPN。
輸入伺服器地址；SSH 不在 22 號連接埠時，加上 :PORT。
輸入 SSH 用戶名稱，以及密碼或私鑰。
選擇 Automatic 安裝（只安裝 AmneziaWG），或選擇 Manual 自行揀選協議，然後繼續。

完成後，應用程式會持有一個對伺服器具完全存取權限的連線。Amnezia 提到 AmneziaWG 預設隨機選擇 UDP 連接埠，而部分網絡供應商會封鎖高位 UDP 連接埠，因此建議使用不高於 9999 的連接埠。［1］無論最後使用哪個連接埠，都只在服務商防火牆或安全群組放行這一個 UDP 連接埠，並保留原有的 SSH 規則。

把前面的盤點指令改用 after- 檔案名稱再執行一次，並以 diff 與之前的結果比較。保留這份結果：它記錄了安裝程式新增的監聽連接埠、服務、套件及防火牆規則，也告訴你日後清理時應移除甚麼。

步驟 4：為 Windows 11 獨立建立客戶端連線

不要以完全存取連線日常上網。Amnezia 說明完全存取密鑰無法撤銷或重設；一旦外洩，補救方法是修改伺服器 root 密碼並移除 Amnezia 的服務。［5］相比之下，訪客連線只能用來連線，而且可以隨時撤銷。［6］

在 AmneziaVPN 建立訪客連線：［6］

按底部列的 Share 圖示。
輸入可識別這部裝置的名稱，例如 win11-laptop。
選擇 AmneziaWG 協議和 AmneziaWG native format，然後儲存 .conf 檔案。

安裝 Windows 版 AmneziaWG 應用程式，選擇與你的 Windows 版本和架構相符的安裝檔。按 Add Tunnel，選取 .conf 檔案，再按 Activate。［7］然後檢查客戶端是否可用：

開啟一個常用網站，確認可以正常載入。
在 IP 查詢頁查看公網地址，並與伺服器的 IPv4 地址比較。
停用隧道，確認地址回復平日的地址。

這項檢查只涵蓋這部裝置和這一次請求。每個訪客連線只供一部裝置使用，Amnezia 亦提醒，把同一個檔案加到多部裝置會令所有裝置上的連線失效。［6］［7］每多一部裝置便再建立一個訪客連線；透過熱點分享手提電腦的連線屬於另一種安排，可參考手機熱點與 VPN 說明。

步驟 5：排解 AmneziaWG 客戶端相容問題並撤銷存取

大部分匯入失敗源於格式或客戶端用錯。修改伺服器之前，先逐項排查：

現象	可能原因	處理方法
AmneziaWG 應用程式拒絕 `vpn://` 密鑰	這種密鑰格式只適用於 AmneziaVPN 應用程式	以 AmneziaWG 原生格式重新匯出連線［6］
標準 WireGuard 客戶端可匯入檔案卻始終連不上	檔案帶有 AmneziaWG 遮罩參數	改用 AmneziaWG 應用程式；只有關閉遮罩時兩種格式才一致［2］
新伺服器產生的檔案在舊客戶端失敗	客戶端不支援該協議版本	先更新客戶端，再考慮重新產生［2］
多部裝置同時斷線	同一個 `.conf` 檔案被多部裝置使用	為每部裝置建立獨立的訪客連線［7］
所有裝置都無法完成連線	UDP 連接埠被主機防火牆或網絡封鎖	檢查安全群組，再嘗試不高於 9999 的連接埠［1］

撤銷某部裝置時，以完全存取連線開啟 AmneziaVPN，按 Share，進入 Users 分頁，選擇伺服器和協議，選取該用戶後按 Revoke，再按 Continue。［6］然後從那部裝置嘗試重新連線，確認失敗，同時另一部裝置仍可正常使用。

如何更新、移除及復原伺服器？

保持 AmneziaVPN 和 AmneziaWG 應用程式為最新版本，並如同處理任何面向互聯網的主機一樣更新伺服器上的 Ubuntu 套件。應用程式或協議更新後，先以一個現有訪客連線重測，再簽發新連線，因為客戶端必須支援其檔案所對應的協議版本。［2］

停用伺服器時，以完全存取連線開啟 AmneziaVPN，進入 Settings → Servers，選擇伺服器，開啟其管理分頁，選擇 Clear server from Amnezia software，再按 Continue；Amnezia 說明這會移除應用程式在伺服器上作出的全部更改。［8］只把伺服器從應用程式清單刪除，已安裝的協議和服務仍會繼續運行。［9］之後把主機與 before- 檔案比較，在安全群組關閉那個 UDP 連接埠，不再需要時才透過服務商刪除伺服器或快照。

如果完全存取連線遺失或外洩，便透過服務商主控台修改 root 密碼，輪換或刪除交給應用程式的 SSH 密鑰，並在簽發新連線前清除 Amnezia 軟件。［5］

總結

選擇一台全新的 x86-64 KVM 伺服器，配備公網 IPv4 地址和受支援的發行版。
把憑證交給應用程式之前，自行核對 SSH 主機密鑰。
完全存取連線只用於管理，每部裝置使用自己的訪客檔案。
修改伺服器設定前，先排查格式、客戶端和連接埠問題。
在應用程式內撤銷訪客；刪除伺服器前先清除其中的 Amnezia 軟件。

常見問題

AmneziaWG 檔案可以匯入官方 WireGuard 應用程式嗎？

一般不可以。AmneziaWG 檔案帶有額外的遮罩參數，Amnezia 說明只有關閉這些機制時它才與標準 WireGuard 一致，所以應使用 AmneziaWG 應用程式。

AmneziaWG 可以在 OpenVZ 或 LXC 伺服器上運行嗎？

不可以。Amnezia 的要求明確指出容器虛擬化無法使用，伺服器需要是配備 x86-64 CPU 和公網 IPv4 地址的 KVM 虛擬機。

為何連我自己的手提電腦也要用訪客連線？

因為完全存取密鑰無法撤銷。手提電腦遺失時，你可以在應用程式內撤銷它的訪客連線，毋須重設伺服器密碼及清理主機。

兩個人可以共用一個設定檔嗎？

不可以。每個訪客連線只供一部裝置使用，同一個檔案用在多部裝置可能令所有裝置都斷線，所以要為每人每部裝置獨立建立訪客連線。

為何只有部分網絡下連線失敗？

部分網絡會封鎖高位 UDP 連接埠。先確認服務商防火牆已放行所選連接埠，再按 Amnezia 的建議嘗試不高於 9999 的連接埠，之後才考慮改動其他設定。

從應用程式刪除伺服器等於解除安裝嗎？

不等於。從應用程式刪除項目後，協議和服務仍留在伺服器上。應先執行 Clear server from Amnezia software，再從應用程式刪除伺服器。

完全存取密鑰外洩了怎麼辦？

按伺服器已被入侵處理。透過服務商主控台修改 root 密碼，刪除應用程式使用過的 SSH 密鑰，清除 Amnezia 軟件，之後再重新簽發訪客連線。

免責聲明: 本文只適用於設定你擁有或獲授權管理的伺服器和網絡。請遵守適用於你的法律、網絡政策及託管服務商的條款。

來源:

Amnezia docs — Install VPN on your server — https://docs.amnezia.org/documentation/instructions/install-vpn-on-server/
Amnezia docs — AmneziaWG — https://docs.amnezia.org/documentation/amnezia-wg/
Amnezia docs — Supported Linux OS for VPS — https://docs.amnezia.org/documentation/supported-linux-os-for-vps
OpenBSD manual — ssh-keygen(1) — https://man.openbsd.org/ssh-keygen
Amnezia docs — Share full access — https://docs.amnezia.org/documentation/instructions/share-full-access
Amnezia docs — Share a guest connection — https://docs.amnezia.org/documentation/instructions/share-connection
Amnezia docs — Use the AmneziaWG app — https://docs.amnezia.org/documentation/instructions/use-amneziawg-app/
Amnezia docs — Remove Amnezia services from the server — https://docs.amnezia.org/documentation/instructions/delete-amnezia-services
Amnezia docs — Remove a server from AmneziaVPN — https://docs.amnezia.org/documentation/instructions/delete-server

Sources checked 2026 年 10 月 14 日。

延伸閱讀:

AmneziaWG 架設教學：自建伺服器並連接 Windows 客戶端