# Comment relier mon réseau domestique à un VPS avec WireGuard (derrière CGNAT) ? > Joindre un serveur domestique derrière CGNAT via un hub WireGuard sur un VPS, étape par étape. Dusk, 2 GB de RAM, coûte $5.25 par mois sur 12 mois. - URL: https://gloamport.com/fr/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ - Dernière mise à jour: 2026-11-10 - Éditeur: Gloamport (https://gloamport.com) Votre routeur domestique n'a pas d'adresse publique. Le VPS en a une : il devient donc le point de rencontre vers lequel les deux côtés se connectent sortant. **Réponse rapide — Comment relier mon réseau domestique à un VPS avec WireGuard (derrière CGNAT) ?** Pour relier votre réseau domestique à un VPS avec WireGuard derrière CGNAT, faites tourner WireGuard sur le VPS comme hub, et laissez la machine domestique s'y connecter en sortie avec PersistentKeepalive = 25. Un plan Gloamport Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, héberge le hub pour $5.25 par mois sur 12 mois. ## Quelle adresse chaque côté utilise-t-il dans cette configuration ? | Machine | Rôle | Adresse du tunnel | Se connecte vers | | --- | --- | --- | --- | | VPS (Dusk) | Hub avec une adresse IPv4 publique | 10.8.0.1/24 | Personne ; il écoute sur UDP 51820 | | Machine domestique | Pair derrière CGNAT, avec LAN 192.168.1.0/24 | 10.8.0.3/24 | Le VPS, toutes les 25 secondes | | Ordinateur portable | Pair itinérant | 10.8.0.2/24 | Le VPS | Les adresses sont des exemples issus de plages privées. Prix : Dusk est $5.25 par mois sur 12 mois et $10.50 sur 1 mois. ## Pourquoi le CGNAT bloque-t-il une configuration WireGuard classique ? Derrière CGNAT, votre routeur partage une seule adresse IPv4 publique avec d'autres clients, si bien que rien de l'extérieur ne peut ouvrir une connexion vers votre domicile. WireGuard exige qu'un côté soit joignable par adresse, et le VPS est ce côté : il a Une adresse IPv4 et un /64 IPv6 par VPS, sur un port 1 Gbit/s. Le trafic d'un plan ne compte que les données sortantes, et son passage ne crée jamais à lui seul une facture. La machine domestique ouvre le tunnel vers l'extérieur. Le démarrage rapide de WireGuard décrit `PersistentKeepalive` pour ce cas précis : à régler sur un pair derrière un pare-feu ou un NAT, et 25 secondes est « un intervalle raisonnable qui fonctionne avec un large éventail de pare-feu ». La correspondance NAT reste alors ouverte et le VPS peut renvoyer des paquets par ce chemin. ## Quel plan Gloamport convient au hub ? Dusk convient à un hub qui fait transiter le trafic entre quelques machines. Gloamport le présente comme « Un VPN plus un relais Tor ou un site onion », avec 1 vCPU, 2 GB de RAM et 2 TB de trafic mensuel. Selon l'étude de Gloamport menée sur 10 novembre 2026, le prix médian d'un VPS 1 vCPU, 2 GB parmi 32 hébergeurs était de $18.91 par mois. Si vous n'avez besoin d'un tunnel que pour un petit service, Ember suffit ; la configuration de base figure dans [Comment configurer WireGuard sur un VPS ?](https://gloamport.com/fr/guides/how-to-set-up-wireguard-on-a-vps/ "Comment configurer WireGuard sur un VPS ?"). ## Comment relier mon réseau domestique à un VPS avec WireGuard, étape par étape ? Six étapes. Faites d'abord le VPS, puis la machine domestique. 1. **Configurer le hub** — Installez WireGuard sur le VPS et générez sa paire de clés, comme dans le guide de base. Ouvrez UDP 51820 dans le pare-feu que vous gérez là-bas. 2. **Activer le transfert sur le VPS** — Les paquets allant de l'ordinateur portable vers la machine domestique traversent le VPS, donc le transfert IPv4 doit être activé. net.ipv4.ip_forward vaut 0 par défaut. 3. **Déclarer les deux pairs sur le VPS** — Ajoutez un [Peer] pour la machine domestique et un pour l'ordinateur portable. Le pair domestique peut aussi porter le LAN domestique dans AllowedIPs. 4. **Configurer la machine domestique** — Installez WireGuard à la maison, réglez Endpoint sur l'adresse du VPS et ajoutez PersistentKeepalive = 25. Aucun transfert de port n'est nécessaire sur le routeur domestique. 5. **Configurer l'ordinateur portable** — Donnez-lui AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 afin que le trafic du tunnel et celui de la maison passent tous deux par le VPS. 6. **Tester depuis l'ordinateur portable** — Lancez wg show sur le VPS, puis faites un ping vers 10.8.0.3 depuis l'ordinateur portable. Une poignée de main récente pour chaque pair signifie que les deux se sont connectés. ## Comment écrire la configuration du hub ? Le fichier du hub liste chaque pair avec sa clé publique et les adresses vers lesquelles le VPS peut lui envoyer des paquets. Déclarer le LAN domestique sur le pair domestique permet au VPS d'acheminer 192.168.1.0/24 dans le tunnel. */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] # home machine PublicKey = AllowedIPs = 10.8.0.3/32, 192.168.1.0/24 [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Comment configurer la machine domestique et l'ordinateur portable ? La machine domestique a besoin de `PersistentKeepalive` et d'une route vers le sous-réseau du tunnel ; l'ordinateur portable a besoin de routes vers les deux sous-réseaux. Activez chacun avec `wg-quick up wg0`. Si vous voulez que l'ordinateur portable atteigne d'autres appareils du LAN domestique, et non seulement la machine domestique, la machine domestique doit elle-même relayer les paquets : réglez-y aussi `net.ipv4.ip_forward` sur 1, par exemple avec une ligne `PostUp = sysctl -w net.ipv4.ip_forward=1`. */etc/wireguard/wg0.conf on the home machine* ```ini [Interface] Address = 10.8.0.3/24 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24 PersistentKeepalive = 25 ``` */etc/wireguard/wg0.conf on the laptop* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 PersistentKeepalive = 25 ``` *Démarrer et tester* ```bash wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show ping -c 3 10.8.0.3 ``` > **Le tunnel n'atteint que ce que vous routez** Le routage par clé cryptographique envoie un paquet au pair dont AllowedIPs contient sa destination. Si une adresse du LAN ne répond pas, vérifiez que le sous-réseau figure dans AllowedIPs du bon pair, sur le VPS et sur l'ordinateur portable. ## Que puis-je faire avec le tunnel une fois qu'il tourne ? Vous pouvez joindre un NAS, une caméra ou un service auto-hébergé chez vous depuis n'importe où, sans ouvrir de port à la maison. L'ordinateur portable parle à 10.8.0.3 comme s'il était à côté, et rien n'est exposé sur votre routeur domestique. Gardez le VPS joignable et bien rangé : [Comment durcir SSH sur un nouveau VPS ?](https://gloamport.com/fr/guides/how-to-harden-ssh-on-a-vps/ "Comment durcir SSH sur un nouveau VPS ?") couvre la connexion, et [Un VPN auto-hébergé sur un VPS est-il meilleur qu'un service VPN ?](https://gloamport.com/fr/self-hosted-vpn-vs-vpn-service/ "Un VPN auto-hébergé sur un VPS est-il meilleur qu'un service VPN ?") pèse l'ensemble de la démarche. Pour le hub, Dusk sur une durée de 12 mois coûte $5.25 par mois ; les plans figurent sur [la page tarifs](https://gloamport.com/fr/pricing/ "Combien coûte un VPS Gloamport ?"). **En résumé** - Le CGNAT bloque les connexions entrantes ; la machine domestique se connecte donc vers le VPS. - Le VPS fait tourner le hub avec une adresse IPv4 publique et UDP 51820 ouvert. - `PersistentKeepalive = 25` garde la correspondance NAT ouverte à la maison. - Le transfert IPv4 (`net.ipv4.ip_forward=1`) est nécessaire sur le VPS, et à la maison pour atteindre le LAN. - `AllowedIPs` de chaque pair décide quels sous-réseaux il peut atteindre. - Dusk (1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic) coûte $5.25 par mois sur 12 mois. ## Relier le réseau domestique à un VPS avec WireGuard : questions fréquentes ### Ai-je besoin d'un transfert de port sur mon routeur domestique ? Non. La machine domestique ouvre la connexion vers l'extérieur, vers le VPS ; le routeur n'a donc besoin d'autoriser que l'UDP sortant. Le keepalive maintient ouvert le chemin de retour. ### Qu'est-ce que le CGNAT ? Le CGNAT (Carrier-grade NAT) est une configuration où votre fournisseur d'accès partage une seule adresse IPv4 publique entre de nombreux clients. Vous ne pouvez pas recevoir de connexions entrantes non sollicitées, ce qui fait du VPS le point de rencontre. ### Le VPS peut-il atteindre tout mon LAN domestique ? Oui, si le pair domestique liste le LAN, comme 192.168.1.0/24, dans son `AllowedIPs` sur le VPS, et si la machine domestique relaie les paquets avec `net.ipv4.ip_forward` réglé sur 1. ### Quel plan Gloamport choisir pour le hub ? Dusk, à $5.25 par mois sur 12 mois, convient à un hub pour quelques machines. Ember suffit si un seul appareil se connecte. ### Le tunnel transporte-t-il l'IPv6 ? Oui. Ajoutez une adresse IPv6 à `Address` et un préfixe IPv6 à `AllowedIPs` ; wg-quick accepte les deux familles, et le noyau a un réglage distinct de transfert IPv6. ## Sources 1. [Démarrage rapide WireGuard (keepalive persistant)](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Page de manuel wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [sysctl IP : ip_forward et transfert IPv6](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) --- Gloamport: Gloamport est un hébergeur de VPS qui vend des serveurs Linux KVM sans KYC, commandés avec un numéro de compte et payés en crypto-monnaie, Monero en premier ; il est exploité par DomaineGoat LLC, une société immatriculée au Panama. Une commande demande un plan, une crypto-monnaie et, seulement si vous le voulez, une adresse e-mail : ni nom, ni adresse postale, ni téléphone, ni pièce d'identité. Sur la durée de 12 mois, chaque plan est au moins 25 % moins cher qu'un plan comparable nommé, issu d'une étude de 38 hébergeurs VPS crypto sans KYC relevée le 10 novembre 2026.