# Jak połączyć domową sieć z VPS przez WireGuard (za CGNAT)? > Dostęp do serwera domowego za CGNAT przez hub WireGuard na VPS, krok po kroku. Dusk, 2 GB RAM, kosztuje $5.25 miesięcznie przy 12 miesiącach. - URL: https://gloamport.com/pl/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ - Ostatnia aktualizacja: 2026-11-10 - Wydawca: Gloamport (https://gloamport.com) Domowy router nie ma publicznego adresu. VPS go ma, więc staje się punktem spotkania, do którego obie strony łączą się wychodząco. **Krótka odpowiedź — Jak połączyć domową sieć z VPS przez WireGuard (za CGNAT)?** Aby połączyć domową sieć z VPS przez WireGuard za CGNAT, uruchamia się WireGuard na VPS jako hub, a domowa maszyna łączy się do niego wychodząco z PersistentKeepalive = 25. Plan Dusk z Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, hostuje hub za $5.25 miesięcznie przy 12 miesiącach. ## Jakiego adresu każda strona używa w tej konfiguracji? | Maszyna | Rola | Adres tunelu | Łączy się wychodząco do | | --- | --- | --- | --- | | VPS (Dusk) | Hub z publicznym adresem IPv4 | 10.8.0.1/24 | Nikogo; nasłuchuje na UDP 51820 | | Maszyna domowa | Peer za CGNAT, z LAN 192.168.1.0/24 | 10.8.0.3/24 | VPS, co 25 sekund | | Laptop | Peer mobilny | 10.8.0.2/24 | VPS | Adresy są przykładowe z prywatnych zakresów. Ceny: Dusk to $5.25 miesięcznie przy 12 miesiącach i $10.50 przy 1 miesiącu. ## Dlaczego CGNAT blokuje zwykłą konfigurację WireGuard? Za CGNAT router dzieli jeden publiczny adres IPv4 z innymi klientami, więc nic z zewnątrz nie może otworzyć połączenia z domem. WireGuard wymaga, by jedna strona była osiągalna pod adresem, a tą stroną jest VPS: ma on Jeden adres IPv4 i IPv6 /64 na VPS, na porcie 1 Gbit/s. Ruch w planie liczy się wyłącznie jako dane wychodzące, a sam przepływ danych nigdy nie tworzy sam z siebie opłaty. Domowa maszyna otwiera tunel na zewnątrz. Szybki start WireGuard opisuje `PersistentKeepalive` właśnie dla tego przypadku: ustawia się go na peerze za zaporą lub NAT, a 25 sekund to „rozsądny interwał, który działa z bardzo różnymi zaporami”. Mapowanie NAT pozostaje wtedy otwarte i VPS może przez nie odsyłać pakiety. ## Który plan Gloamport pasuje do huba? Dusk pasuje do huba, który przenosi ruch między kilkoma maszynami. Gloamport podaje go jako „VPN plus przekaźnik Tor lub strona onion”, z 1 vCPU, 2 GB pamięci RAM i 2 TB miesięcznego transferu. Według badania Gloamport z 10 listopada 2026 mediana ceny VPS 1 vCPU, 2 GB w 32 hosty wynosiła $18.91 miesięcznie. Jeśli potrzebny jest tunel tylko dla jednej małej usługi, wystarczy Ember; podstawową konfigurację opisuje [Jak skonfigurować WireGuard na VPS?](https://gloamport.com/pl/guides/how-to-set-up-wireguard-on-a-vps/ "Jak skonfigurować WireGuard na VPS?"). ## Jak połączyć domową sieć z VPS przez WireGuard, krok po kroku? Sześć kroków. Najpierw VPS, potem domowa maszyna. 1. **Konfiguracja huba** — Instaluje się WireGuard na VPS i generuje jego parę kluczy, jak w podstawowym przewodniku. Otwiera się UDP 51820 w zaporze, którą się tam prowadzi. 2. **Włączenie przekazywania na VPS** — Pakiety z laptopa do domowej maszyny przechodzą przez VPS, więc przekazywanie IPv4 musi być włączone. net.ipv4.ip_forward domyślnie ma wartość 0. 3. **Zadeklarowanie obu peerów na VPS** — Dodaje się [Peer] dla domowej maszyny i jeden dla laptopa. Peer domowy może też nieść domową sieć LAN w AllowedIPs. 4. **Konfiguracja domowej maszyny** — Instaluje się WireGuard w domu, ustawia Endpoint na adres VPS i dodaje PersistentKeepalive = 25. Na domowym routerze nie trzeba przekierowywać portów. 5. **Konfiguracja laptopa** — Nadaje mu się AllowedIPs = 10.8.0.0/24, 192.168.1.0/24, aby ruch tunelu i domowy przechodził przez VPS. 6. **Test z laptopa** — Uruchamia się wg show na VPS, a potem ping 10.8.0.3 z laptopa. Świeży handshake dla każdego peera oznacza, że obaj połączyli się. ## Jak napisać konfigurację huba? Plik huba wymienia każdego peera z jego kluczem publicznym i adresami, na które VPS może wysyłać ruch. Zadeklarowanie domowej sieci LAN na peerze domowym pozwala VPS kierować 192.168.1.0/24 do tunelu. */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] # home machine PublicKey = AllowedIPs = 10.8.0.3/32, 192.168.1.0/24 [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Jak skonfigurować domową maszynę i laptop? Domowa maszyna potrzebuje `PersistentKeepalive` i trasy do podsieci tunelu; laptop potrzebuje tras do obu podsieci. Każdy uruchamia się poleceniem `wg-quick up wg0`. Jeśli laptop ma docierać do innych urządzeń w domowej sieci LAN, a nie tylko do domowej maszyny, to sama domowa maszyna musi przekazywać pakiety: ustawia się tam także `net.ipv4.ip_forward` na 1, na przykład linią `PostUp = sysctl -w net.ipv4.ip_forward=1`. */etc/wireguard/wg0.conf on the home machine* ```ini [Interface] Address = 10.8.0.3/24 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24 PersistentKeepalive = 25 ``` */etc/wireguard/wg0.conf on the laptop* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 PersistentKeepalive = 25 ``` *Uruchomienie i test* ```bash wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show ping -c 3 10.8.0.3 ``` > **Tunel dociera tylko tam, dokąd się kieruje ruch** Routing kluczami kryptograficznymi wysyła pakiet do peera, którego AllowedIPs zawiera cel. Jeśli adres LAN nie odpowiada, sprawdza się, czy podsieć jest w AllowedIPs właściwego peera, na VPS i na laptopie. ## Co można zrobić z tunelem po uruchomieniu? Można dotrzeć do domowego NAS, kamery lub samodzielnie hostowanej usługi skądkolwiek, bez otwierania portu w domu. Laptop łączy się z 10.8.0.3 tak, jakby był obok, a na domowym routerze nic nie jest wystawione. VPS trzeba utrzymać osiągalnym i w porządku: [Jak zabezpieczyć SSH na nowym VPS?](https://gloamport.com/pl/guides/how-to-harden-ssh-on-a-vps/ "Jak zabezpieczyć SSH na nowym VPS?") opisuje stronę logowania, a [Czy samodzielnie hostowany VPN na VPS jest lepszy niż usługa VPN?](https://gloamport.com/pl/self-hosted-vpn-vs-vpn-service/ "Czy VPN na VPS jest lepszy od usługi VPN?") waży całe podejście. Dla huba Dusk przy okresie 12 miesięcy to $5.25 miesięcznie; plany są wymienione na [stronie cennika](https://gloamport.com/pl/pricing/ "Ile kosztuje serwer VPS Gloamport?"). **Podsumowanie** - CGNAT blokuje połączenia przychodzące, więc domowa maszyna łączy się wychodząco z VPS. - VPS prowadzi hub z publicznym adresem IPv4 i otwartym UDP 51820. - `PersistentKeepalive = 25` utrzymuje otwarte mapowanie NAT w domu. - Przekazywanie IPv4 (`net.ipv4.ip_forward=1`) jest potrzebne na VPS oraz w domu, by dotrzeć do LAN. - `AllowedIPs` każdego peera decyduje, do których podsieci może dotrzeć. - Dusk (1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic) kosztuje $5.25 miesięcznie przy 12 miesiącach. ## Domowa sieć z VPS przez WireGuard: najczęstsze pytania ### Czy potrzebne jest przekierowanie portów na domowym routerze? Nie. Domowa maszyna otwiera połączenie na zewnątrz do VPS, więc router musi tylko przepuszczać wychodzący UDP. Keepalive utrzymuje otwartą drogę powrotną. ### Czym jest CGNAT? Carrier-grade NAT to konfiguracja, w której dostawca internetu dzieli jeden publiczny adres IPv4 między wielu klientów. Nie można przyjmować nieproszonych połączeń przychodzących, dlatego VPS pełni rolę punktu spotkania. ### Czy VPS może dotrzeć do całej domowej sieci LAN? Tak, jeśli peer domowy wymienia LAN, np. 192.168.1.0/24, w swoim `AllowedIPs` na VPS, a domowa maszyna przekazuje pakiety z `net.ipv4.ip_forward` ustawionym na 1. ### Który plan Gloamport wybrać dla huba? Dusk, za $5.25 miesięcznie przy 12 miesiącach, pasuje do huba dla kilku maszyn. Ember wystarczy, jeśli łączy się tylko jedno urządzenie. ### Czy tunel obsługuje IPv6? Może. Dodaje się adres IPv6 do `Address` i prefiks IPv6 do `AllowedIPs`; wg-quick przyjmuje obie rodziny, a jądro ma osobne ustawienie przekazywania IPv6. ## Źródła 1. [Szybki start WireGuard (persistent keepalive)](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Strona podręcznika wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [sysctl IP: ip_forward i przekazywanie IPv6](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) --- Gloamport: Gloamport to dostawca VPS, który sprzedaje serwery Linux KVM bez KYC. Zamówienie składa się na numer konta i opłaca kryptowalutą, przede wszystkim Monero; firmę prowadzi DomaineGoat LLC, spółka zarejestrowana w Panamie. Zamówienie wymaga wyboru planu, monety i, tylko jeśli ktoś tego chce, adresu e-mail: bez imienia i nazwiska, bez adresu pocztowego, bez telefonu i bez dokumentu tożsamości. Przy okresie 12 miesięcy każdy plan kosztuje co najmniej o 25% mniej niż wskazany porównywalny plan z badania 38 hostów VPS płatnych kryptowalutami bez KYC, odczytanego 10 listopada 2026.