KYCなし · メールは任意 · Monero、Bitcoin、USDTで支払い
言語: 日本語
VPSを起動する

ガイド · 2026-11-10に確認

WireGuardでホームネットワークをVPSに接続するには（CGNATの背後）？

自宅のルーターには公開アドレスがありません。VPSにはあるので、両側がダイヤルアウトして会う場所になります。

最終更新:

概要

WireGuardでホームネットワークをVPSに接続するには（CGNATの背後）？

CGNATの背後にあるホームネットワークをWireGuardでVPSに接続するには、VPS上でWireGuardをハブとして動かし、ホームのマシンにPersistentKeepalive = 25を設定して、そこからダイヤルアウトさせます。Gloamportの Dusk プラン（1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic）は、12か月契約で月額$5.25のハブをホストします。

この構成で、各側はどのアドレスを使いますか？

マシン役割トンネルのアドレスダイヤルアウト先
VPS（Dusk）公開IPv4アドレスを持つハブ10.8.0.1/24誰もいない。UDP 51820で待ち受けます
ホームのマシンCGNATの背後にあるピア。LAN 192.168.1.0/2410.8.0.3/24VPS、25秒ごと
ノートPCローミングするピア10.8.0.2/24VPS

アドレスは、プライベート範囲の例です。料金: Duskは12か月契約で月額$5.25、1か月契約では$10.50です。

CGNATが通常のWireGuard構成をブロックするのはなぜですか？

CGNATの背後では、ルーターが1つの公開IPv4アドレスを他の顧客と共有しているため、外部から自宅へ接続を開始することはできません。WireGuardでは、片側がアドレスで到達可能である必要があり、その役割をVPSが担います。VPSはVPSごとに、IPv4アドレス1つとIPv6 /64を提供し、ポートは1 Gbit/sです。プランのトラフィックは送信データのみを数え、通信しただけで自動的に料金が発生することはありませんを持ちます。

ホームのマシンはトンネルを外向きに開きます。WireGuardのクイックスタートでは、まさにこのケースについてPersistentKeepaliveを説明しています。ファイアウォールやNATの背後のピアに設定する場合、25秒は多くのファイアウォールで機能する妥当な間隔として推奨されています。これにより、NATのマッピングが開いたままになり、VPSはそこを通じてパケットを返せます。

どのGloamportのプランがハブに適していますか？

Duskは、数台のマシンの間のトラフィックを運ぶハブに適しています。Gloamportは「VPNに加えて、Torリレーまたはオニオンサイト」向けに掲載しており、vCPUは1、RAMは2 GB、月間トラフィックは2 TBです。

Gloamportの2026年11月10日の調査によると、1 vCPU、2 GB VPSの中央値の価格は、32社のホスト社で月額$18.91でした。1つの小さなサービスのトンネルだけが必要ならEmberで十分です。基本的な設定はVPSにWireGuardを設定するには？にあります。

WireGuardでホームネットワークをVPSに接続するには、手順を追うとどうすればよいですか？

6つの手順です。先にVPSを設定し、次にホームのマシンを設定してください。

  1. ハブを設定する

    基本ガイドのとおりに、VPSにWireGuardをインストールして鍵ペアを生成してください。そこで運用しているファイアウォールでUDP 51820を開いてください。

  2. VPSで転送を有効にする

    ノートPCからホームのマシンへのパケットはVPSを経由するため、IPv4転送をオンにする必要があります。net.ipv4.ip_forwardは既定で0です。

  3. VPSで両方のピアを宣言する

    ホームのマシン用に1つ、ノートPC用に1つ、[Peer]を追加してください。ホームのピアには、AllowedIPsでホームのLANを載せることもできます。

  4. ホームのマシンを設定する

    自宅にWireGuardをインストールし、EndpointをVPSのアドレスに設定して、PersistentKeepalive = 25を追加してください。ホームのルーターでポート転送は不要です。

  5. ノートPCを設定する

    トンネルとホームのトラフィックの両方がVPSを経由するように、AllowedIPs = 10.8.0.0/24, 192.168.1.0/24を与えてください。

  6. ノートPCでテストする

    VPSでwg showを実行し、次にノートPCから10.8.0.3にpingしてください。各ピアで最近のハンドシェイクが表示されれば、両方がダイヤルインできています。

ハブの設定はどのように書きますか？

ハブのファイルには、各ピアの公開鍵と、VPSがそのピアへ送ってよいアドレスを記載します。ホームのピアにホームのLANを宣言すると、VPSは192.168.1.0/24をトンネルへ経路付けできます。

/etc/wireguard/wg0.conf on the VPS
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

ホームのマシンとノートPCはどのように設定しますか？

ホームのマシンにはPersistentKeepaliveと、トンネルのサブネットへの経路が必要です。ノートPCには両方のサブネットへの経路が必要です。それぞれをwg-quick up wg0で起動してください。

ノートPCから、ホームのマシンだけでなくホームLAN上のほかの機器にも届かせたい場合は、ホームのマシン自体がパケットを転送する必要があります。そのため、そこでもnet.ipv4.ip_forwardを1に設定してください。たとえばPostUp = sysctl -w net.ipv4.ip_forward=1の行を追加します。

/etc/wireguard/wg0.conf on the home machine
[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25
/etc/wireguard/wg0.conf on the laptop
[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25
起動してテストする
wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

トンネルが稼働したら、何ができますか？

ホームのNAS、カメラ、またはセルフホストしたサービスに、自宅でポートを開けずに、どこからでも到達できます。ノートPCは10.8.0.3に、すぐ隣にあるかのように通信でき、ホームのルーターには何も露出しません。

VPSは到達可能で、整理された状態に保ってください。新しいVPSでSSHを強化するには？がログイン側を扱い、VPSの自前VPNはVPNサービスより良いか？はアプローチ全体を検討しています。ハブとしては、12か月契約のDuskは月額$5.25です。プランは価格ページに掲載しています。

まとめ
  • CGNATは受信接続をブロックするため、ホームのマシンがVPSへダイヤルアウトします。
  • VPSは、公開IPv4アドレスとUDP 51820を開いた状態でハブを動かします。
  • PersistentKeepalive = 25により、自宅のNATマッピングが開いたままになります。
  • IPv4転送（net.ipv4.ip_forward=1）はVPSで必要で、LANに届かせるには自宅側でも必要です。
  • 各ピアのAllowedIPsが、そのピアが到達できるサブネットを決めます。
  • Dusk（1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic）は、12か月契約で月額$5.25です。

自宅ネットワークからVPSへのWireGuard: よくある質問

自宅のルーターでポート転送は必要ですか？

いいえ。ホームのマシンがVPSへ外向きに接続を開くため、ルーターは外向きのUDPを許可するだけで足ります。キープアライブにより、戻りの経路が開いたままになります。

CGNATとは何ですか？

キャリアグレードNATとは、インターネットプロバイダーが1つの公開IPv4アドレスを多数の顧客で共有する仕組みです。要求されていない受信接続は受けられず、そのためVPSが待ち合わせ場所として機能します。

VPSは自宅のLAN全体に届きますか？

はい。ホームのピアが、VPS上のAllowedIPsに192.168.1.0/24のようなLANを載せ、ホームのマシンがnet.ipv4.ip_forwardを1に設定してパケットを転送していれば可能です。

ハブにはどのGloamportプランを選ぶべきですか？

12か月契約で月額$5.25のDuskは、数台のマシン向けのハブに合います。接続するのが1台だけならEmberで十分です。

トンネルはIPv6を運べますか？

運べます。AddressにIPv6アドレスを、AllowedIPsにIPv6プレフィックスを追加してください。wg-quickは両方のアドレスファミリーを受け付け、カーネルにはIPv6転送の別の設定があります。

出典 (3)
  1. WireGuardクイックスタート（永続キープアライブ） — WireGuard (checked 2026-11-10)
  2. wg-quick(8)のマニュアルページ — Debian (checked 2026-11-10)
  3. IP sysctl: ip_forwardとIPv6転送 — The Linux Kernel documentation (checked 2026-11-10)

月額3.74ドルから · KYCなし

VPSを起動する