Jak połączyć domową sieć z VPS przez WireGuard (za CGNAT)?

Dlaczego CGNAT blokuje zwykłą konfigurację WireGuard?

Za CGNAT router dzieli jeden publiczny adres IPv4 z innymi klientami, więc nic z zewnątrz nie może otworzyć połączenia z domem. WireGuard wymaga, by jedna strona była osiągalna pod adresem, a tą stroną jest VPS: ma on Jeden adres IPv4 i IPv6 /64 na VPS, na porcie 1 Gbit/s. Ruch w planie liczy się wyłącznie jako dane wychodzące, a sam przepływ danych nigdy nie tworzy sam z siebie opłaty.

Domowa maszyna otwiera tunel na zewnątrz. Szybki start WireGuard opisuje PersistentKeepalive właśnie dla tego przypadku: ustawia się go na peerze za zaporą lub NAT, a 25 sekund to „rozsądny interwał, który działa z bardzo różnymi zaporami”. Mapowanie NAT pozostaje wtedy otwarte i VPS może przez nie odsyłać pakiety.

Który plan Gloamport pasuje do huba?

Dusk pasuje do huba, który przenosi ruch między kilkoma maszynami. Gloamport podaje go jako „VPN plus przekaźnik Tor lub strona onion”, z 1 vCPU, 2 GB pamięci RAM i 2 TB miesięcznego transferu.

Według badania Gloamport z 10 listopada 2026 mediana ceny VPS 1 vCPU, 2 GB w 32 hosty wynosiła $18.91 miesięcznie. Jeśli potrzebny jest tunel tylko dla jednej małej usługi, wystarczy Ember; podstawową konfigurację opisuje Jak skonfigurować WireGuard na VPS?.

Jak napisać konfigurację huba?

Plik huba wymienia każdego peera z jego kluczem publicznym i adresami, na które VPS może wysyłać ruch. Zadeklarowanie domowej sieci LAN na peerze domowym pozwala VPS kierować 192.168.1.0/24 do tunelu.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

Jak skonfigurować domową maszynę i laptop?

Domowa maszyna potrzebuje PersistentKeepalive i trasy do podsieci tunelu; laptop potrzebuje tras do obu podsieci. Każdy uruchamia się poleceniem wg-quick up wg0.

Jeśli laptop ma docierać do innych urządzeń w domowej sieci LAN, a nie tylko do domowej maszyny, to sama domowa maszyna musi przekazywać pakiety: ustawia się tam także net.ipv4.ip_forward na 1, na przykład linią PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

Co można zrobić z tunelem po uruchomieniu?

Można dotrzeć do domowego NAS, kamery lub samodzielnie hostowanej usługi skądkolwiek, bez otwierania portu w domu. Laptop łączy się z 10.8.0.3 tak, jakby był obok, a na domowym routerze nic nie jest wystawione.

VPS trzeba utrzymać osiągalnym i w porządku: Jak zabezpieczyć SSH na nowym VPS? opisuje stronę logowania, a Czy samodzielnie hostowany VPN na VPS jest lepszy niż usługa VPN? waży całe podejście. Dla huba Dusk przy okresie 12 miesięcy to $5.25 miesięcznie; plany są wymienione na stronie cennika.