¿Cómo conecto mi red doméstica a un VPS con WireGuard (detrás de CGNAT)?

¿Por qué CGNAT bloquea una configuración normal de WireGuard?

Detrás de CGNAT, su router comparte una dirección IPv4 pública con otros clientes, así que nada desde fuera puede abrir una conexión hacia su casa. WireGuard necesita que un lado sea alcanzable por dirección, y el VPS es ese lado: tiene Una dirección IPv4 y un /64 IPv6 por VPS, en un puerto de 1 Gbit/s. El tráfico de un plan cuenta solo los datos salientes, y superarlo nunca genera por sí solo una factura.

La máquina doméstica abre el túnel hacia fuera. La guía rápida de WireGuard describe PersistentKeepalive justamente para este caso: configúrelo en un par detrás de un cortafuegos o NAT, y 25 segundos es «un intervalo razonable que funciona con una gran variedad de cortafuegos». La asignación NAT se mantiene abierta entonces, y el VPS puede devolver paquetes por ella.

¿Qué plan de Gloamport encaja para el hub?

Dusk encaja con un hub que transporta tráfico entre unas pocas máquinas. Gloamport lo presenta como «Una VPN más un relé Tor o un sitio onion», con 1 vCPU, 2 GB de RAM y 2 TB de tráfico mensual.

Según el estudio de Gloamport sobre 10 de noviembre de 2026, el precio mediano de un VPS de 1 vCPU y 2 GB entre 32 hosts fue de $18.91 al mes. Si solo necesita un túnel para un servicio pequeño, Ember basta; la configuración base está en ¿Cómo configuro WireGuard en un VPS?.

¿Cómo escribo la configuración del hub?

El archivo del hub enumera cada par con su clave pública y las direcciones a las que el VPS puede enviar tráfico. Declarar la LAN doméstica en el par de casa permite que el VPS enrute 192.168.1.0/24 hacia el túnel.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

¿Cómo configuro la máquina doméstica y el portátil?

La máquina doméstica necesita PersistentKeepalive y una ruta a la subred del túnel; el portátil necesita rutas a ambas subredes. Levante cada uno con wg-quick up wg0.

Si quiere que el portátil alcance otros dispositivos de la LAN doméstica, y no solo la máquina de casa, la propia máquina de casa debe reenviar paquetes: ponga net.ipv4.ip_forward en 1 también allí, por ejemplo con una línea PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

¿Qué puedo hacer con el túnel una vez levantado?

Puede llegar a un NAS, una cámara o un servicio autoalojado de casa desde cualquier lugar sin abrir un puerto en casa. El portátil habla con 10.8.0.3 como si estuviera en la habitación de al lado, y nada queda expuesto en su router doméstico.

Mantenga el VPS accesible y ordenado: ¿Cómo endurezco SSH en un VPS nuevo? cubre el lado del inicio de sesión, y ¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN? sopesa el enfoque completo. Para el hub, Dusk con el plazo de 12 meses cuesta $5.25 al mes; los planes figuran en la página de precios.