# Wie verbinde ich mein Heimnetz über WireGuard mit einem VPS (hinter CGNAT)? > Einen Heimserver hinter CGNAT über einen WireGuard-Hub auf einem VPS erreichen, Schritt für Schritt. Dusk mit 2 GB RAM kostet $5.25 pro Monat bei 12 Monaten. - URL: https://gloamport.com/de/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ - Zuletzt aktualisiert: 2026-11-10 - Herausgeber: Gloamport (https://gloamport.com) Ihr Heimrouter hat keine öffentliche Adresse. Der VPS hat eine, daher wird er zum Treffpunkt, zu dem sich beide Seiten einwählen. **Kurze Antwort — Wie verbinde ich mein Heimnetz über WireGuard mit einem VPS (hinter CGNAT)?** Um Ihr Heimnetz hinter CGNAT über WireGuard mit einem VPS zu verbinden, betreiben Sie WireGuard auf dem VPS als Hub und lassen die Heimmaschine sich mit PersistentKeepalive = 25 zu ihm verbinden. Ein Gloamport-Dusk-Tarif, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, hostet den Hub für $5.25 pro Monat bei 12 Monaten. ## Welche Adresse verwendet jede Seite in diesem Aufbau? | Maschine | Rolle | Tunneladresse | Wählt sich ein zu | | --- | --- | --- | --- | | VPS (Dusk) | Hub mit öffentlicher IPv4-Adresse | 10.8.0.1/24 | Niemand; er lauscht auf UDP 51820 | | Heimmaschine | Peer hinter CGNAT, mit LAN 192.168.1.0/24 | 10.8.0.3/24 | Der VPS, alle 25 Sekunden | | Laptop | Mobiler Peer | 10.8.0.2/24 | Der VPS | Adressen sind Beispiele aus privaten Bereichen. Preise: Dusk kostet $5.25 pro Monat bei 12 Monaten und $10.50 bei 1 Monat. ## Warum blockiert CGNAT einen normalen WireGuard-Aufbau? Hinter CGNAT teilt Ihr Router eine öffentliche IPv4-Adresse mit anderen Kunden, daher kann von außen keine Verbindung zu Ihrem Heimnetz geöffnet werden. WireGuard braucht eine Seite, die über ihre Adresse erreichbar ist, und der VPS ist diese Seite: Er hat Eine IPv4-Adresse und ein IPv6 /64 pro VPS, an einem 1-Gbit/s-Port. Der Datenverkehr eines Tarifs zählt nur ausgehende Daten, und ihn zu nutzen erzeugt für sich allein nie eine Rechnung. Die Heimmaschine öffnet den Tunnel nach außen. Die WireGuard-Schnellstartanleitung beschreibt `PersistentKeepalive` genau für diesen Fall: Setzen Sie ihn auf einem Peer hinter einer Firewall oder NAT, und 25 Sekunden gelten dort als sinnvolles Intervall, das mit vielen Firewalls funktioniert. Die NAT-Zuordnung bleibt dann offen, und der VPS kann Pakete darüber zurücksenden. ## Welcher Gloamport-Tarif passt zum Hub? Dusk eignet sich für einen Hub, der den Verkehr zwischen einigen Maschinen trägt. Gloamport führt ihn für „Ein VPN plus ein Tor-Relay oder eine Onion-Seite“, mit 1 vCPU, 2 GB RAM und 2 TB monatlichem Datenverkehr. Laut der Umfrage von Gloamport vom 10. November 2026 lag der mittlere Preis eines VPS mit 1 vCPU und 2 GB unter 32 Anbieter bei $18.91 pro Monat. Wenn Sie nur einen Tunnel für einen kleinen Dienst brauchen, reicht Ember; die Grundeinrichtung steht unter [Wie richte ich WireGuard auf einem VPS ein?](https://gloamport.com/de/guides/how-to-set-up-wireguard-on-a-vps/ "Wie richte ich WireGuard auf einem VPS ein?"). ## Wie verbinde ich mein Heimnetz Schritt für Schritt über WireGuard mit einem VPS? Sechs Schritte. Richten Sie zuerst den VPS ein, dann die Heimmaschine. 1. **Den Hub einrichten** — Installieren Sie WireGuard auf dem VPS und erzeugen Sie sein Schlüsselpaar, wie in der Basisanleitung. Öffnen Sie UDP 51820 in der Firewall, die Sie dort betreiben. 2. **Weiterleitung auf dem VPS aktivieren** — Pakete vom Laptop zur Heimmaschine laufen über den VPS, daher muss die IPv4-Weiterleitung aktiv sein. net.ipv4.ip_forward steht standardmäßig auf 0. 3. **Beide Peers auf dem VPS deklarieren** — Legen Sie je einen [Peer] für die Heimmaschine und einen für den Laptop an. Der Heim-Peer kann außerdem das Heim-LAN in AllowedIPs führen. 4. **Die Heimmaschine konfigurieren** — Installieren Sie WireGuard zu Hause, setzen Sie Endpoint auf die Adresse des VPS und fügen Sie PersistentKeepalive = 25 hinzu. Am Heimrouter ist keine Portweiterleitung nötig. 5. **Den Laptop konfigurieren** — Geben Sie ihm AllowedIPs = 10.8.0.0/24, 192.168.1.0/24, damit Tunnel- und Heimverkehr beide über den VPS laufen. 6. **Vom Laptop aus testen** — Führen Sie wg show auf dem VPS aus und pingen Sie dann 10.8.0.3 vom Laptop. Ein aktueller Handshake für jeden Peer bedeutet, dass sich beide eingewählt haben. ## Wie schreibe ich die Hub-Konfiguration? Die Hub-Datei listet jeden Peer mit seinem öffentlichen Schlüssel und den Adressen, an die der VPS senden darf. Wenn das Heim-LAN beim Heim-Peer deklariert wird, kann der VPS 192.168.1.0/24 in den Tunnel leiten. */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] # home machine PublicKey = AllowedIPs = 10.8.0.3/32, 192.168.1.0/24 [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Wie konfiguriere ich die Heimmaschine und den Laptop? Die Heimmaschine braucht `PersistentKeepalive` und eine Route zum Tunnel-Subnetz; der Laptop braucht Routen zu beiden Subnetzen. Bringen Sie jeden mit `wg-quick up wg0` hoch. Wenn der Laptop andere Geräte im Heim-LAN erreichen soll und nicht nur die Heimmaschine, muss die Heimmaschine selbst Pakete weiterleiten: Setzen Sie dort ebenfalls `net.ipv4.ip_forward` auf 1, zum Beispiel mit einer Zeile `PostUp = sysctl -w net.ipv4.ip_forward=1`. */etc/wireguard/wg0.conf on the home machine* ```ini [Interface] Address = 10.8.0.3/24 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24 PersistentKeepalive = 25 ``` */etc/wireguard/wg0.conf on the laptop* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 PersistentKeepalive = 25 ``` *Hochfahren und testen* ```bash wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show ping -c 3 10.8.0.3 ``` > **Der Tunnel erreicht nur, was Sie leiten** Cryptokey-Routing sendet ein Paket an den Peer, dessen AllowedIPs sein Ziel enthält. Antwortet eine LAN-Adresse nicht, prüfen Sie, ob das Subnetz in der AllowedIPs des richtigen Peers steht, auf dem VPS und auf dem Laptop. ## Was kann ich mit dem Tunnel tun, sobald er läuft? Sie können ein Heim-NAS, eine Kamera oder einen selbst betriebenen Dienst von überall erreichen, ohne zu Hause einen Port zu öffnen. Der Laptop spricht 10.8.0.3 an, als wäre es nebenan, und nichts ist am Heimrouter exponiert. Halten Sie den VPS erreichbar und aufgeräumt: [Wie härte ich SSH auf einem neuen VPS?](https://gloamport.com/de/guides/how-to-harden-ssh-on-a-vps/ "Wie härte ich SSH auf einem neuen VPS ab?") behandelt die Anmeldeseite, und [Ist ein selbst betriebenes VPN auf einem VPS besser als ein VPN-Dienst?](https://gloamport.com/de/self-hosted-vpn-vs-vpn-service/ "Ist ein selbst gehostetes VPN auf einem VPS besser als ein VPN-Dienst?") wägt den gesamten Ansatz ab. Für den Hub kostet Dusk bei einer 12-Monats-Laufzeit $5.25 pro Monat; die Tarife stehen auf [der Preisseite](https://gloamport.com/de/pricing/ "Was kostet ein Gloamport-VPS?"). **Zusammenfassung** - CGNAT blockiert eingehende Verbindungen, daher wählt sich die Heimmaschine zum VPS. - Der VPS betreibt den Hub mit einer öffentlichen IPv4-Adresse und offenem UDP 51820. - `PersistentKeepalive = 25` hält die NAT-Zuordnung zu Hause offen. - IPv4-Weiterleitung (`net.ipv4.ip_forward=1`) wird auf dem VPS benötigt und zu Hause, um das LAN zu erreichen. - Die `AllowedIPs` jedes Peers entscheidet, welche Subnetze er erreichen kann. - Dusk (1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic) kostet $5.25 pro Monat bei 12 Monaten. ## Heimnetz über WireGuard mit einem VPS verbinden: häufige Fragen ### Brauche ich eine Portweiterleitung an meinem Heimrouter? Nein. Die Heimmaschine öffnet die Verbindung nach außen zum VPS, daher muss der Router nur ausgehendes UDP erlauben. Das Keepalive hält den Rückweg offen. ### Was ist CGNAT? Carrier-Grade-NAT ist ein Aufbau, bei dem Ihr Internetanbieter eine öffentliche IPv4-Adresse unter vielen Kunden teilt. Sie können keine ungefragten eingehenden Verbindungen empfangen, deshalb agiert der VPS als Treffpunkt. ### Kann der VPS mein ganzes Heim-LAN erreichen? Ja, wenn der Heim-Peer das LAN, etwa 192.168.1.0/24, in seiner `AllowedIPs` auf dem VPS aufführt und die Heimmaschine Pakete mit `net.ipv4.ip_forward` auf 1 weiterleitet. ### Welchen Gloamport-Tarif soll ich für den Hub wählen? Dusk, bei $5.25 pro Monat bei 12 Monaten, passt zu einem Hub für einige Maschinen. Ember reicht, wenn nur ein Gerät verbunden wird. ### Trägt der Tunnel IPv6? Das kann er. Fügen Sie eine IPv6-Adresse zu `Address` und ein IPv6-Präfix zu `AllowedIPs` hinzu; wg-quick akzeptiert beide Familien, und der Kernel hat eine eigene IPv6-Weiterleitungseinstellung. ## Quellen 1. [WireGuard-Schnellstart (persistentes Keepalive)](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Handbuchseite wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [IP-sysctl: ip_forward und IPv6-Weiterleitung](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) --- Gloamport: Gloamport ist ein VPS-Anbieter, der Linux-KVM-Server ohne KYC verkauft. Bestellt wird mit einer Kontonummer, bezahlt wird mit Krypto, zuerst Monero. Betrieben wird er von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen. Eine Bestellung fragt nach einem Tarif, einer Münze und, nur wenn Sie wollen, einer E-Mail-Adresse: kein Name, keine Postanschrift, keine Telefonnummer und kein Ausweisdokument. Bei der 12-Monats-Laufzeit ist jeder Tarif mindestens 25 % günstiger als ein genannter vergleichbarer Tarif aus einer Umfrage unter 38 VPS-Anbietern ohne KYC, die Krypto annehmen, gelesen am 10. November 2026.