Wie verbinde ich mein Heimnetz über WireGuard mit einem VPS (hinter CGNAT)?

Warum blockiert CGNAT einen normalen WireGuard-Aufbau?

Hinter CGNAT teilt Ihr Router eine öffentliche IPv4-Adresse mit anderen Kunden, daher kann von außen keine Verbindung zu Ihrem Heimnetz geöffnet werden. WireGuard braucht eine Seite, die über ihre Adresse erreichbar ist, und der VPS ist diese Seite: Er hat Eine IPv4-Adresse und ein IPv6 /64 pro VPS, an einem 1-Gbit/s-Port. Der Datenverkehr eines Tarifs zählt nur ausgehende Daten, und ihn zu nutzen erzeugt für sich allein nie eine Rechnung.

Die Heimmaschine öffnet den Tunnel nach außen. Die WireGuard-Schnellstartanleitung beschreibt PersistentKeepalive genau für diesen Fall: Setzen Sie ihn auf einem Peer hinter einer Firewall oder NAT, und 25 Sekunden gelten dort als sinnvolles Intervall, das mit vielen Firewalls funktioniert. Die NAT-Zuordnung bleibt dann offen, und der VPS kann Pakete darüber zurücksenden.

Welcher Gloamport-Tarif passt zum Hub?

Dusk eignet sich für einen Hub, der den Verkehr zwischen einigen Maschinen trägt. Gloamport führt ihn für „Ein VPN plus ein Tor-Relay oder eine Onion-Seite“, mit 1 vCPU, 2 GB RAM und 2 TB monatlichem Datenverkehr.

Laut der Umfrage von Gloamport vom 10. November 2026 lag der mittlere Preis eines VPS mit 1 vCPU und 2 GB unter 32 Anbieter bei $18.91 pro Monat. Wenn Sie nur einen Tunnel für einen kleinen Dienst brauchen, reicht Ember; die Grundeinrichtung steht unter Wie richte ich WireGuard auf einem VPS ein?.

Wie schreibe ich die Hub-Konfiguration?

Die Hub-Datei listet jeden Peer mit seinem öffentlichen Schlüssel und den Adressen, an die der VPS senden darf. Wenn das Heim-LAN beim Heim-Peer deklariert wird, kann der VPS 192.168.1.0/24 in den Tunnel leiten.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

Wie konfiguriere ich die Heimmaschine und den Laptop?

Die Heimmaschine braucht PersistentKeepalive und eine Route zum Tunnel-Subnetz; der Laptop braucht Routen zu beiden Subnetzen. Bringen Sie jeden mit wg-quick up wg0 hoch.

Wenn der Laptop andere Geräte im Heim-LAN erreichen soll und nicht nur die Heimmaschine, muss die Heimmaschine selbst Pakete weiterleiten: Setzen Sie dort ebenfalls net.ipv4.ip_forward auf 1, zum Beispiel mit einer Zeile PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

Was kann ich mit dem Tunnel tun, sobald er läuft?

Sie können ein Heim-NAS, eine Kamera oder einen selbst betriebenen Dienst von überall erreichen, ohne zu Hause einen Port zu öffnen. Der Laptop spricht 10.8.0.3 an, als wäre es nebenan, und nichts ist am Heimrouter exponiert.

Halten Sie den VPS erreichbar und aufgeräumt: Wie härte ich SSH auf einem neuen VPS? behandelt die Anmeldeseite, und Ist ein selbst betriebenes VPN auf einem VPS besser als ein VPN-Dienst? wägt den gesamten Ansatz ab. Für den Hub kostet Dusk bei einer 12-Monats-Laufzeit $5.25 pro Monat; die Tarife stehen auf der Preisseite.