# Como conecto minha rede doméstica a um VPS com WireGuard (atrás de CGNAT)? > Alcance um servidor doméstico atrás de CGNAT por meio de um hub WireGuard em um VPS, passo a passo. O Dusk, com 2 GB de RAM, custa $5.25 por mês em 12 meses. - URL: https://gloamport.com/pt/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ - Última atualização: 2026-11-10 - Editor: Gloamport (https://gloamport.com) Seu roteador doméstico não tem endereço público. O VPS tem um, então ele se torna o ponto de encontro para o qual os dois lados discam. **Resposta rápida — Como conecto minha rede doméstica a um VPS com WireGuard (atrás de CGNAT)?** Para conectar sua rede doméstica a um VPS com WireGuard atrás de CGNAT, rode o WireGuard no VPS como hub e deixe a máquina doméstica discar para ele com PersistentKeepalive = 25. Um plano Dusk da Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, hospeda o hub por $5.25 por mês em 12 meses. ## Qual endereço cada lado usa nesta configuração? | Máquina | Papel | Endereço do túnel | Disca para | | --- | --- | --- | --- | | VPS (Dusk) | Hub com endereço IPv4 público | 10.8.0.1/24 | Ninguém; escuta na UDP 51820 | | Máquina doméstica | Peer atrás de CGNAT, com LAN 192.168.1.0/24 | 10.8.0.3/24 | O VPS, a cada 25 segundos | | Notebook | Peer itinerante | 10.8.0.2/24 | O VPS | Os endereços são exemplos de faixas privadas. Preços: o Dusk custa $5.25 por mês em 12 meses e $10.50 em 1 mês. ## Por que o CGNAT bloqueia uma configuração normal do WireGuard? Atrás de CGNAT, seu roteador compartilha um único endereço IPv4 público com outros clientes, então ninguém de fora consegue abrir uma conexão até a sua casa. O WireGuard exige que um dos lados seja alcançável por endereço, e o VPS é esse lado: ele tem Um endereço IPv4 e um /64 de IPv6 por VPS, em porta de 1 Gbit/s. O tráfego de um plano conta apenas dados de saída, e passar esse tráfego nunca gera uma cobrança por si só. A máquina doméstica abre o túnel para fora. O quickstart do WireGuard descreve `PersistentKeepalive` justamente para este caso: configure-o em um peer atrás de firewall ou NAT, e 25 segundos é "um intervalo sensato que funciona com uma grande variedade de firewalls". O mapeamento do NAT então permanece aberto, e o VPS pode enviar pacotes de volta por ele. ## Qual plano da Gloamport serve para o hub? O Dusk serve para um hub que transporta tráfego entre algumas máquinas. A Gloamport o lista para "Uma VPN mais um relay Tor ou um site onion", com 1 vCPU, 2 GB de RAM e 2 TB de tráfego mensal. Segundo a pesquisa da Gloamport de 10 de novembro de 2026, o preço mediano de um VPS de 1 vCPU e 2 GB entre 32 hosts foi $18.91 por mês. Se você precisa de um túnel só para um serviço pequeno, o Ember basta; a configuração base está em [Como configuro o WireGuard em um VPS?](https://gloamport.com/pt/guides/how-to-set-up-wireguard-on-a-vps/ "Como configuro o WireGuard em um VPS?"). ## Como conecto minha rede doméstica a um VPS com WireGuard, passo a passo? Seis passos. Faça primeiro o VPS, depois a máquina doméstica. 1. **Configure o hub** — Instale o WireGuard no VPS e gere o par de chaves, como no guia base. Abra a UDP 51820 no firewall que você roda ali. 2. **Ative o encaminhamento no VPS** — Pacotes do notebook para a máquina doméstica atravessam o VPS, então o encaminhamento IPv4 precisa estar ligado. net.ipv4.ip_forward vem em 0 por padrão. 3. **Declare os dois peers no VPS** — Adicione um [Peer] para a máquina doméstica e um para o notebook. O peer doméstico também pode levar a LAN doméstica em AllowedIPs. 4. **Configure a máquina doméstica** — Instale o WireGuard em casa, defina Endpoint como o endereço do VPS e adicione PersistentKeepalive = 25. Não é preciso encaminhamento de portas no roteador doméstico. 5. **Configure o notebook** — Defina AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 para que o tráfego do túnel e o da casa passem pelo VPS. 6. **Teste a partir do notebook** — Rode wg show no VPS e depois faça ping em 10.8.0.3 a partir do notebook. Um handshake recente para cada peer significa que ambos discaram. ## Como escrevo a configuração do hub? O arquivo do hub lista cada peer com sua chave pública e os endereços para os quais o VPS pode enviar tráfego. Declarar a LAN doméstica no peer doméstico permite que o VPS roteie 192.168.1.0/24 para dentro do túnel. */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] # home machine PublicKey = AllowedIPs = 10.8.0.3/32, 192.168.1.0/24 [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Como configuro a máquina doméstica e o notebook? A máquina doméstica precisa de `PersistentKeepalive` e de uma rota para a sub-rede do túnel; o notebook precisa de rotas para as duas sub-redes. Suba cada um com `wg-quick up wg0`. Se você quer que o notebook alcance outros dispositivos da LAN doméstica, e não apenas a máquina doméstica, a própria máquina doméstica precisa encaminhar pacotes: defina `net.ipv4.ip_forward` como 1 também ali, por exemplo com uma linha `PostUp = sysctl -w net.ipv4.ip_forward=1`. */etc/wireguard/wg0.conf on the home machine* ```ini [Interface] Address = 10.8.0.3/24 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24 PersistentKeepalive = 25 ``` */etc/wireguard/wg0.conf on the laptop* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 PersistentKeepalive = 25 ``` *Suba e teste* ```bash wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show ping -c 3 10.8.0.3 ``` > **O túnel só alcança o que você roteia** O roteamento por chave criptográfica envia um pacote ao peer cujo AllowedIPs contém o destino dele. Se um endereço da LAN não responde, confira se a sub-rede aparece em AllowedIPs do peer correto, no VPS e no notebook. ## O que posso fazer com o túnel depois de no ar? Você pode alcançar um NAS, uma câmera ou um serviço autohospedado em casa de qualquer lugar, sem abrir uma porta em casa. O notebook fala com 10.8.0.3 como se estivesse ao lado, e nada fica exposto no seu roteador doméstico. Mantenha o VPS acessível e organizado: [Como endurecer o SSH em um VPS novo?](https://gloamport.com/pt/guides/how-to-harden-ssh-on-a-vps/ "Como reforço o SSH em uma VPS nova?") cobre o lado do login, e [Uma VPN autohospedada em um VPS é melhor que um serviço de VPN?](https://gloamport.com/pt/self-hosted-vpn-vs-vpn-service/ "Uma VPN auto-hospedada em uma VPS é melhor do que um serviço de VPN?") avalia a abordagem como um todo. Para o hub, o Dusk no prazo de 12 meses custa $5.25 por mês; os planos estão listados em [a página de preços](https://gloamport.com/pt/pricing/ "Quanto custa uma VPS da Gloamport?"). **Resumo** - O CGNAT bloqueia conexões de entrada, então a máquina doméstica disca para o VPS. - O VPS roda o hub com um endereço IPv4 público e a UDP 51820 aberta. - `PersistentKeepalive = 25` mantém o mapeamento do NAT aberto em casa. - O encaminhamento IPv4 (`net.ipv4.ip_forward=1`) é necessário no VPS, e em casa para alcançar a LAN. - O `AllowedIPs` de cada peer decide quais sub-redes ele pode alcançar. - O Dusk (1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic) custa $5.25 por mês em 12 meses. ## Rede doméstica para VPS com WireGuard: perguntas frequentes ### Preciso de encaminhamento de portas no roteador doméstico? Não. A máquina doméstica abre a conexão para fora, até o VPS, então o roteador só precisa permitir UDP de saída. O keepalive mantém o caminho de volta aberto. ### O que é CGNAT? CGNAT (Carrier-grade NAT) é uma configuração em que o seu provedor de internet compartilha um único endereço IPv4 público entre muitos clientes. Você não consegue receber conexões de entrada não solicitadas, e por isso o VPS atua como ponto de encontro. ### O VPS consegue alcançar toda a minha LAN doméstica? Sim, se o peer doméstico listar a LAN, como 192.168.1.0/24, no seu `AllowedIPs` no VPS e a máquina doméstica encaminhar pacotes com `net.ipv4.ip_forward` definido como 1. ### Qual plano da Gloamport devo escolher para o hub? Dusk, a $5.25 por mês em 12 meses, serve para um hub de algumas máquinas. Ember basta se apenas um dispositivo se conectar. ### O túnel transporta IPv6? Pode. Adicione um endereço IPv6 em `Address` e um prefixo IPv6 em `AllowedIPs`; o wg-quick aceita as duas famílias, e o kernel tem uma configuração de encaminhamento IPv6 separada. ## Fontes 1. [Quickstart do WireGuard (keepalive persistente)](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Página de manual wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [sysctl de IP: ip_forward e encaminhamento IPv6](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) --- Gloamport: A Gloamport é um provedor de VPS que vende servidores Linux KVM sem KYC, pedidos com número de conta e pagos em cripto, Monero em primeiro lugar; é operada pela DomaineGoat LLC, empresa registrada no Panamá. Um pedido pede um plano, uma moeda e, só se você quiser, um endereço de e-mail: sem nome, sem endereço postal, sem telefone e sem documento de identidade. No prazo de 12 meses, cada plano custa pelo menos 25% menos que um plano comparável nomeado, de uma pesquisa com 38 hosts de VPS cripto sem KYC lida em 10 de novembro de 2026.