Hoe verbind ik mijn thuisnetwerk met een VPS via WireGuard (achter CGNAT)?

Waarom blokkeert CGNAT een gewone WireGuard-opzet?

Achter CGNAT deelt uw router één publiek IPv4-adres met andere klanten, zodat niets van buitenaf een verbinding naar uw thuis kan openen. WireGuard heeft nodig dat één kant via een adres bereikbaar is, en de VPS is die kant: hij heeft Eén IPv4-adres en een IPv6 /64 per VPS, op een poort van 1 Gbit/s. Het verkeer van een plan telt alleen uitgaand dataverkeer, en het doorlaten ervan leidt op zichzelf nooit tot een rekening.

De thuismachine opent de tunnel naar buiten. De WireGuard-quickstart beschrijft PersistentKeepalive voor precies dit geval: stel het in op een peer achter een firewall of NAT, en 25 seconden is "een verstandig interval dat met een grote verscheidenheid aan firewalls werkt". De NAT-mapping blijft dan open en de VPS kan pakketten er weer doorheen sturen.

Welk Gloamport-plan past bij de hub?

Dusk past bij een hub die verkeer tussen een paar machines doorgeeft. Gloamport noemt het voor "Een VPN plus een Tor-relay of een onion-site", met 1 vCPU, 2 GB RAM en 2 TB maandelijks verkeer.

Volgens het onderzoek van Gloamport van 10 november 2026 was de mediane prijs van een VPS met 1 vCPU en 2 GB, gemeten over 32 hosts, $18.91 per maand. Als u alleen een tunnel voor één kleine dienst nodig hebt, is Ember genoeg; de basisopzet staat in Hoe stel ik WireGuard in op een VPS?.

Hoe schrijf ik de configuratie van de hub?

Het hubbestand somt elke peer op met zijn publieke sleutel en de adressen waarnaar de VPS mag sturen. Door het thuis-LAN op de thuispeer op te geven, kan de VPS 192.168.1.0/24 in de tunnel routeren.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

Hoe configureer ik de thuismachine en de laptop?

De thuismachine heeft PersistentKeepalive nodig en een route naar het tunnelsubnet; de laptop heeft routes naar beide subnetten nodig. Breng elk op met wg-quick up wg0.

Als u wilt dat de laptop andere apparaten op het thuis-LAN bereikt, en niet alleen de thuismachine, moet de thuismachine zelf pakketten doorsturen: zet daar ook net.ipv4.ip_forward op 1, bijvoorbeeld met een regel PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

Wat kan ik met de tunnel doen wanneer die draait?

U kunt overal vandaan een thuis-NAS, camera of zelf gehoste dienst bereiken zonder thuis een poort te openen. De laptop praat met 10.8.0.3 alsof het apparaat naast hem staat, en niets wordt blootgesteld op uw thuisrouter.

Houd de VPS bereikbaar en netjes: Hoe harden ik SSH op een nieuwe VPS? behandelt de inlogkant, en Is een zelf gehoste VPN op een VPS beter dan een VPN-dienst? weegt de hele aanpak af. Voor de hub kost Dusk op een termijn van 12 maanden $5.25 per maand; de plannen staan op de prijspagina.