Como conecto minha rede doméstica a um VPS com WireGuard (atrás de CGNAT)?

Por que o CGNAT bloqueia uma configuração normal do WireGuard?

Atrás de CGNAT, seu roteador compartilha um único endereço IPv4 público com outros clientes, então ninguém de fora consegue abrir uma conexão até a sua casa. O WireGuard exige que um dos lados seja alcançável por endereço, e o VPS é esse lado: ele tem Um endereço IPv4 e um /64 de IPv6 por VPS, em porta de 1 Gbit/s. O tráfego de um plano conta apenas dados de saída, e passar esse tráfego nunca gera uma cobrança por si só.

A máquina doméstica abre o túnel para fora. O quickstart do WireGuard descreve PersistentKeepalive justamente para este caso: configure-o em um peer atrás de firewall ou NAT, e 25 segundos é "um intervalo sensato que funciona com uma grande variedade de firewalls". O mapeamento do NAT então permanece aberto, e o VPS pode enviar pacotes de volta por ele.

Qual plano da Gloamport serve para o hub?

O Dusk serve para um hub que transporta tráfego entre algumas máquinas. A Gloamport o lista para "Uma VPN mais um relay Tor ou um site onion", com 1 vCPU, 2 GB de RAM e 2 TB de tráfego mensal.

Segundo a pesquisa da Gloamport de 10 de novembro de 2026, o preço mediano de um VPS de 1 vCPU e 2 GB entre 32 hosts foi $18.91 por mês. Se você precisa de um túnel só para um serviço pequeno, o Ember basta; a configuração base está em Como configuro o WireGuard em um VPS?.

Como escrevo a configuração do hub?

O arquivo do hub lista cada peer com sua chave pública e os endereços para os quais o VPS pode enviar tráfego. Declarar a LAN doméstica no peer doméstico permite que o VPS roteie 192.168.1.0/24 para dentro do túnel.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

Como configuro a máquina doméstica e o notebook?

A máquina doméstica precisa de PersistentKeepalive e de uma rota para a sub-rede do túnel; o notebook precisa de rotas para as duas sub-redes. Suba cada um com wg-quick up wg0.

Se você quer que o notebook alcance outros dispositivos da LAN doméstica, e não apenas a máquina doméstica, a própria máquina doméstica precisa encaminhar pacotes: defina net.ipv4.ip_forward como 1 também ali, por exemplo com uma linha PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

O que posso fazer com o túnel depois de no ar?

Você pode alcançar um NAS, uma câmera ou um serviço autohospedado em casa de qualquer lugar, sem abrir uma porta em casa. O notebook fala com 10.8.0.3 como se estivesse ao lado, e nada fica exposto no seu roteador doméstico.

Mantenha o VPS acessível e organizado: Como endurecer o SSH em um VPS novo? cobre o lado do login, e Uma VPN autohospedada em um VPS é melhor que um serviço de VPN? avalia a abordagem como um todo. Para o hub, o Dusk no prazo de 12 meses custa $5.25 por mês; os planos estão listados em a página de preços.