WireGuard VPN v Česku: proč používáme jen WireGuard a jak ho nastavit za minutu.
Stav k 18. 10. 2026: Pevnost je v soukromé betě. První server v Hluboké nad Vltavou běží, náš DNS resolver je uvnitř tunelu na 10.8.0.1. Účty se platí převodem; Bitcoin on-chain je preferovaný způsob platby; karta a převod fungují také; Lightning se otevře, až bude mít náš kanál likviditu, Monero a hotovost poštou později. Aplikace pro Windows 0.3.1 beta a Android 0.1.0 beta (APK) jsou na stránce Aplikace; iOS a macOS používají oficiální aplikaci WireGuard. Naposledy revidováno 18. 10. 2026.
Pevnost je WireGuard VPN se serverem v Česku a nic jiného: žádný OpenVPN, žádný IPsec, žádný vlastní protokol. Tento článek je pro ty, kdo hledají WireGuard VPN v Česku a chtějí vědět dvě věci: proč jsme na jeden protokol vsadili všechno a jak dlouho trvá ho rozjet. Na druhou otázku odpovíme hned: s oficiální aplikací WireGuard asi minutu, včetně založení účtu.
Co je WireGuard
WireGuard je tunelovací protokol, který navrhl Jason Donenfeld a který je od verze 5.6 součástí hlavní řady jádra Linuxu. Celá implementace má několik tisíc řádků; OpenVPN s knihovnou TLS, na které stojí, jich má statisíce. WireGuard nic nevyjednává: jedna výměna klíčů podle rámce Noise, jedna sada kryptografických primitiv (Curve25519, ChaCha20‑Poly1305, BLAKE2s), žádné šifrovací sady, které by šlo špatně nastavit. Každé zařízení má pár klíčů; veřejný klíč je jeho identita a nic dalšího o zařízení protokol neví.
Proč jen WireGuard
Běží v jádře
Na našich uzlech jdou pakety ze síťové karty do jádra Linuxu, tam se dešifrují, přepošlou a odejdou, aniž by procházely procesem v uživatelském prostoru. Neběží žádný démon s právy roota, který by parsoval vstup z internetu. Pro provozovatele to znamená menší útočnou plochu, pro vás rychlost: jeden pronajatý server přeposílá provoz téměř rychlostí své linky.
Rychlost: kolem 300 Mbit/s v prvním testu
První uzel prg1 v Hluboké nad Vltavou dal v krátkém testu jednomu klientovi kolem 300 Mbit/s. Delší měření zveřejníme na stavové stránce, až jich bude dost, aby něco říkala. Pro české uživatele je tu i druhý rozměr: server je v republice, takže provoz na české weby nejezdí oklikou do zahraničí a zpět.
Drží minimum stavu
Protokol určuje, co o vás server musí vědět. WireGuard si pro každé zařízení drží veřejný klíč, adresu v tunelu, poslední koncový bod a čas posledního handshaku, všechno v paměti; koncový bod se přepisuje a mizí s odpojením. Žádné přihlášení, žádná relace, žádný stavový soubor. Pro VPN bez logů je to ideální východisko: není co nezapisovat, protože protokol sám nic trvalého nevytváří. Naše uzly k tomu přidávají běh z RAM bez zapisovatelného disku. Podrobnější srovnání je v článku WireGuard versus OpenVPN.
Klíče vznikají u vás
Pár klíčů zařízení vzniká ve vašem prohlížeči nebo v naší aplikaci; k nám odchází jen veřejná polovina. Soukromý klíč nikdy neopustí zařízení, takže ho nemůžeme ztratit, vydat ani zneužít. Když zařízení ztratíte, klíč v účtu smažete a vytvoříte nový; trvá to minutu.
Čeho se vzdáváme
WireGuard běží jen přes UDP a je na lince snadno rozpoznatelný. Na síti, která UDP blokuje nebo VPN aktivně filtruje, se nepřipojíte a my to nemaskujeme. Kdo potřebuje projít nepřátelskou sítí, potřebuje jiný nástroj. Raději to řekneme, než abychom kvůli tomu přidali druhý protokol s přihlášením a stavovým souborem.
Nastavení za minutu
Postup je na všech platformách stejný: účet, klíč zařízení, jeden soubor, aplikace. Podrobný návod s přesnými názvy položek je v návodu na nastavení WireGuardu; tady je zkratka.
- Účet. Na app.pevnost.net stiskněte Create an account. Bez jména, e‑mailu a hesla; dostanete 24znakové ID, které si uložte. Každý nový účet má dvě hodiny zdarma na zkoušku (jedna zkouška na připojení, jedno zařízení), pak 120 Kč za 30 dní nebo 1 200 Kč za rok.
- Klíč zařízení. Stiskněte Generate device key. Prohlížeč vytvoří pár klíčů lokálně a stáhne soubor
pevnost-prg1.conf; k nám odejde jen veřejná polovina. - Aplikace. Na Windows naše aplikace Pevnost (beta 0.3.1, s kill switchem a rotací klíče; klíč si vytvoří sama, soubor nepotřebuje) nebo oficiální WireGuard. Na Androidu naše aplikace (beta 0.1.0, APK) nebo oficiální WireGuard z Google Play či F‑Droidu. Na iPhonu, macOS a Linuxu oficiální aplikace WireGuard: Import tunnel(s) from file, vybrat .conf, aktivovat. Na Linuxu stačí
wg-quick up pevnost. - Kontrola. Vaše veřejná adresa má být adresa našeho serveru a DNS má odpovídat 10.8.0.1 uvnitř tunelu. Celý postup včetně IPv6 je v návodu na test úniku.
Kill switch podle platformy
WireGuard sám provoz mimo tunel neblokuje; to dělá aplikace nebo systém. Naše aplikace pro Windows ho má zapnutý vždy, když tunel běží; oficiální aplikace má volbu Block untunneled traffic. Na Androidu zapněte v nastavení systému Trvale zapnutá VPN a Blokovat připojení bez VPN, nejsilnější kill switch, jaký na telefonu je. iOS umí On‑demand activation, úplné blokování aplikacím třetích stran nedovolí. Na Linuxu jsou to pravidla nftables.
Pro koho to je
Pro ty, kdo chtějí českou VPN na WireGuardu pod českým právem, s rychlostí blízkou lince, s klíči, které vznikají doma, a s provozovatelem, který říká, co protokol neumí. Kdo chce výstupy v deseti zemích nebo maskování před firemním firewallem, bude potřebovat něco jiného. Všichni ostatní: založte si účet, zkuste dvě hodiny zdarma a změřte si to sami.