Як під’єднати домашню мережу до VPS через WireGuard (за CGNAT)?

Чому CGNAT блокує звичайне налаштування WireGuard?

За CGNAT ваш роутер ділить одну публічну IPv4-адресу з іншими клієнтами, тож ніхто ззовні не може відкрити з’єднання з вашим домом. WireGuard потребує, щоб одна сторона була доступна за адресою, і цією стороною є VPS: він має Одна IPv4-адреса і IPv6 /64 на кожен VPS, порт 1 Gbit/s. Трафік тарифу враховується лише вихідний, і його використання саме по собі ніколи не створює рахунку.

Домашня машина відкриває тунель назовні. Швидкий старт WireGuard описує PersistentKeepalive саме для цього випадку: установіть її на однорангову сторону за брандмауером або NAT, і 25 секунд — це «розумний інтервал, що працює з великою різноманітністю брандмауерів». Тоді відображення NAT залишається відкритим, і VPS може надсилати пакети назад через нього.

Який тариф Gloamport підходить для хаба?

Dusk підходить для хаба, який передає трафік між кількома машинами. Gloamport пропонує його для «VPN плюс релей Tor або onion-сайт», з 1 vCPU, 2 GB RAM і 2 TB місячного трафіку.

За дослідженням Gloamport 10 листопада 2026 р., медіанна ціна VPS з 1 vCPU, 2 GB серед 32 хости становила $18.91 на місяць. Якщо вам потрібен тунель лише для однієї малої служби, Ember вистачить; базове налаштування — у Як налаштувати WireGuard на VPS?.

Як написати конфігурацію хаба?

Файл хаба перелічує кожен вузол з його публічним ключем і адресами, на які VPS може надсилати трафік. Оголошення домашньої LAN на домашньому вузлі дозволяє VPS маршрутизувати 192.168.1.0/24 у тунель.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

Як налаштувати домашню машину і ноутбук?

Домашній машині потрібні PersistentKeepalive і маршрут до підмережі тунелю; ноутбуку — маршрути до обох підмереж. Запустіть кожне командою wg-quick up wg0.

Якщо ви хочете, щоб ноутбук досягав інших пристроїв у домашній LAN, а не лише домашньої машини, сама домашня машина має пересилати пакети: установіть там також net.ipv4.ip_forward у 1, наприклад рядком PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

Що можна робити з тунелем, коли він працює?

Ви можете дістатися до домашнього NAS, камери або самостійно розгорнутого сервісу звідусіль, не відкриваючи порт удома. Ноутбук звертається до 10.8.0.3 так, ніби той поруч, і нічого не відкрито на вашому домашньому роутері.

Тримайте VPS доступним і в порядку: Як посилити SSH на новому VPS? описує вхід, а Чи краще самостійно розгорнутий VPN на VPS, ніж VPN-сервіс? зважує весь підхід. Для хаба Dusk на 12-місячному терміні коштує $5.25 на місяць; тарифи перелічено на сторінці цін.