Comment relier mon réseau domestique à un VPS avec WireGuard (derrière CGNAT) ?

Pourquoi le CGNAT bloque-t-il une configuration WireGuard classique ?

Derrière CGNAT, votre routeur partage une seule adresse IPv4 publique avec d'autres clients, si bien que rien de l'extérieur ne peut ouvrir une connexion vers votre domicile. WireGuard exige qu'un côté soit joignable par adresse, et le VPS est ce côté : il a Une adresse IPv4 et un /64 IPv6 par VPS, sur un port 1 Gbit/s. Le trafic d'un plan ne compte que les données sortantes, et son passage ne crée jamais à lui seul une facture.

La machine domestique ouvre le tunnel vers l'extérieur. Le démarrage rapide de WireGuard décrit PersistentKeepalive pour ce cas précis : à régler sur un pair derrière un pare-feu ou un NAT, et 25 secondes est « un intervalle raisonnable qui fonctionne avec un large éventail de pare-feu ». La correspondance NAT reste alors ouverte et le VPS peut renvoyer des paquets par ce chemin.

Quel plan Gloamport convient au hub ?

Dusk convient à un hub qui fait transiter le trafic entre quelques machines. Gloamport le présente comme « Un VPN plus un relais Tor ou un site onion », avec 1 vCPU, 2 GB de RAM et 2 TB de trafic mensuel.

Selon l'étude de Gloamport menée sur 10 novembre 2026, le prix médian d'un VPS 1 vCPU, 2 GB parmi 32 hébergeurs était de $18.91 par mois. Si vous n'avez besoin d'un tunnel que pour un petit service, Ember suffit ; la configuration de base figure dans Comment configurer WireGuard sur un VPS ?.

Comment écrire la configuration du hub ?

Le fichier du hub liste chaque pair avec sa clé publique et les adresses vers lesquelles le VPS peut lui envoyer des paquets. Déclarer le LAN domestique sur le pair domestique permet au VPS d'acheminer 192.168.1.0/24 dans le tunnel.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

Comment configurer la machine domestique et l'ordinateur portable ?

La machine domestique a besoin de PersistentKeepalive et d'une route vers le sous-réseau du tunnel ; l'ordinateur portable a besoin de routes vers les deux sous-réseaux. Activez chacun avec wg-quick up wg0.

Si vous voulez que l'ordinateur portable atteigne d'autres appareils du LAN domestique, et non seulement la machine domestique, la machine domestique doit elle-même relayer les paquets : réglez-y aussi net.ipv4.ip_forward sur 1, par exemple avec une ligne PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

Que puis-je faire avec le tunnel une fois qu'il tourne ?

Vous pouvez joindre un NAS, une caméra ou un service auto-hébergé chez vous depuis n'importe où, sans ouvrir de port à la maison. L'ordinateur portable parle à 10.8.0.3 comme s'il était à côté, et rien n'est exposé sur votre routeur domestique.

Gardez le VPS joignable et bien rangé : Comment durcir SSH sur un nouveau VPS ? couvre la connexion, et Un VPN auto-hébergé sur un VPS est-il meilleur qu'un service VPN ? pèse l'ensemble de la démarche. Pour le hub, Dusk sur une durée de 12 mois coûte $5.25 par mois ; les plans figurent sur la page tarifs.