# Як під’єднати домашню мережу до VPS через WireGuard (за CGNAT)? > Під’єднуйте домашній сервер за CGNAT через хаб WireGuard на VPS, крок за кроком. Dusk, 2 GB RAM, коштує $5.25 на місяць на 12-місячному терміні. - URL: https://gloamport.com/uk/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ - Останнє оновлення: 2026-11-10 - Видавець: Gloamport (https://gloamport.com) Ваш домашній роутер не має публічної адреси. VPS її має, тож він стає точкою зустрічі, до якої обидві сторони підключаються самі. **Коротка відповідь — Як під’єднати домашню мережу до VPS через WireGuard (за CGNAT)?** Щоб під’єднати домашню мережу до VPS через WireGuard за CGNAT, запустіть WireGuard на VPS як хаб, а домашня машина нехай сама підключається до нього з PersistentKeepalive = 25. Тариф Dusk від Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, розміщує хаб за $5.25 на місяць на 12-місячному терміні. ## Яку адресу використовує кожна сторона в цьому налаштуванні? | Машина | Роль | Адреса тунелю | Підключається до | | --- | --- | --- | --- | | VPS (Dusk) | Хаб із публічною IPv4-адресою | 10.8.0.1/24 | Ніхто; слухає UDP 51820 | | Домашня машина | Однорангова сторона за CGNAT, з LAN 192.168.1.0/24 | 10.8.0.3/24 | VPS, кожні 25 секунд | | Ноутбук | Пересувний peer | 10.8.0.2/24 | VPS | Адреси — приклади з приватних діапазонів. Ціни: Dusk коштує $5.25 на місяць за 12 місяців і $10.50 за 1 місяць. ## Чому CGNAT блокує звичайне налаштування WireGuard? За CGNAT ваш роутер ділить одну публічну IPv4-адресу з іншими клієнтами, тож ніхто ззовні не може відкрити з’єднання з вашим домом. WireGuard потребує, щоб одна сторона була доступна за адресою, і цією стороною є VPS: він має Одна IPv4-адреса і IPv6 /64 на кожен VPS, порт 1 Gbit/s. Трафік тарифу враховується лише вихідний, і його використання саме по собі ніколи не створює рахунку. Домашня машина відкриває тунель назовні. Швидкий старт WireGuard описує `PersistentKeepalive` саме для цього випадку: установіть її на однорангову сторону за брандмауером або NAT, і 25 секунд — це «розумний інтервал, що працює з великою різноманітністю брандмауерів». Тоді відображення NAT залишається відкритим, і VPS може надсилати пакети назад через нього. ## Який тариф Gloamport підходить для хаба? Dusk підходить для хаба, який передає трафік між кількома машинами. Gloamport пропонує його для «VPN плюс релей Tor або onion-сайт», з 1 vCPU, 2 GB RAM і 2 TB місячного трафіку. За дослідженням Gloamport 10 листопада 2026 р., медіанна ціна VPS з 1 vCPU, 2 GB серед 32 хости становила $18.91 на місяць. Якщо вам потрібен тунель лише для однієї малої служби, Ember вистачить; базове налаштування — у [Як налаштувати WireGuard на VPS?](https://gloamport.com/uk/guides/how-to-set-up-wireguard-on-a-vps/ "Як налаштувати WireGuard на VPS?"). ## Як під’єднати домашню мережу до VPS через WireGuard, крок за кроком? Шість кроків. Спочатку налаштуйте VPS, потім домашню машину. 1. **Налаштуйте хаб** — Встановіть WireGuard на VPS і згенеруйте пару ключів, як у базовому посібнику. Відкрийте UDP 51820 у брандмауері, яким ви керуєте. 2. **Увімкніть пересилання на VPS** — Пакети від ноутбука до домашньої машини проходять через VPS, тож пересилання IPv4 має бути увімкнено. net.ipv4.ip_forward за замовчуванням дорівнює 0. 3. **Оголосіть обох однорангових вузлів на VPS** — Додайте по одному [Peer] для домашньої машини і для ноутбука. Домашній вузол може також вказати домашню LAN у AllowedIPs. 4. **Налаштуйте домашню машину** — Встановіть WireGuard удома, вкажіть у Endpoint адресу VPS і додайте PersistentKeepalive = 25. Перенаправлення портів на домашньому роутері не потрібне. 5. **Налаштуйте ноутбук** — Задайте для нього AllowedIPs = 10.8.0.0/24, 192.168.1.0/24, щоб трафік тунелю і домашній трафік ішов через VPS. 6. **Перевірте з ноутбука** — Виконайте wg show на VPS, потім пінгуйте 10.8.0.3 з ноутбука. Свіжий handshake для кожного вузла означає, що обидва під’єдналися. ## Як написати конфігурацію хаба? Файл хаба перелічує кожен вузол з його публічним ключем і адресами, на які VPS може надсилати трафік. Оголошення домашньої LAN на домашньому вузлі дозволяє VPS маршрутизувати 192.168.1.0/24 у тунель. */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] # home machine PublicKey = AllowedIPs = 10.8.0.3/32, 192.168.1.0/24 [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Як налаштувати домашню машину і ноутбук? Домашній машині потрібні `PersistentKeepalive` і маршрут до підмережі тунелю; ноутбуку — маршрути до обох підмереж. Запустіть кожне командою `wg-quick up wg0`. Якщо ви хочете, щоб ноутбук досягав інших пристроїв у домашній LAN, а не лише домашньої машини, сама домашня машина має пересилати пакети: установіть там також `net.ipv4.ip_forward` у 1, наприклад рядком `PostUp = sysctl -w net.ipv4.ip_forward=1`. */etc/wireguard/wg0.conf on the home machine* ```ini [Interface] Address = 10.8.0.3/24 PrivateKey = PostUp = sysctl -w net.ipv4.ip_forward=1 [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24 PersistentKeepalive = 25 ``` */etc/wireguard/wg0.conf on the laptop* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 10.8.0.0/24, 192.168.1.0/24 PersistentKeepalive = 25 ``` *Запустіть і перевірте* ```bash wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show ping -c 3 10.8.0.3 ``` > **Тунель досягає лише того, що ви маршрутизуєте** Cryptokey routing надсилає пакет тому вузлу, чий AllowedIPs містить його адресу призначення. Якщо адреса LAN не відповідає, перевірте, що підмережа з’являється в AllowedIPs правильного вузла, на VPS і на ноутбуку. ## Що можна робити з тунелем, коли він працює? Ви можете дістатися до домашнього NAS, камери або самостійно розгорнутого сервісу звідусіль, не відкриваючи порт удома. Ноутбук звертається до 10.8.0.3 так, ніби той поруч, і нічого не відкрито на вашому домашньому роутері. Тримайте VPS доступним і в порядку: [Як посилити SSH на новому VPS?](https://gloamport.com/uk/guides/how-to-harden-ssh-on-a-vps/ "Як захистити SSH на новому VPS?") описує вхід, а [Чи краще самостійно розгорнутий VPN на VPS, ніж VPN-сервіс?](https://gloamport.com/uk/self-hosted-vpn-vs-vpn-service/ "Чи краще VPN на власному VPS, ніж VPN-сервіс?") зважує весь підхід. Для хаба Dusk на 12-місячному терміні коштує $5.25 на місяць; тарифи перелічено на [сторінці цін](https://gloamport.com/uk/pricing/ "Скільки коштує VPS від Gloamport?"). **Підсумок** - CGNAT блокує вхідні з’єднання, тому домашня машина підключається назовні до VPS. - VPS запускає хаб із публічною IPv4-адресою і відкритим UDP 51820. - `PersistentKeepalive = 25` тримає відображення NAT відкритим удома. - Пересилання IPv4 (`net.ipv4.ip_forward=1`) потрібне на VPS, а вдома — щоб досягти LAN. - `AllowedIPs` кожного вузла визначає, до яких підмереж він може дістатися. - Dusk (1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic) коштує $5.25 на місяць за 12 місяців. ## Домашня мережа до VPS через WireGuard: поширені питання ### Чи потрібне перенаправлення портів на домашньому роутері? Ні. Домашня машина відкриває з’єднання назовні до VPS, тож роутеру достатньо дозволити вихідний UDP. Keepalive тримає зворотний шлях відкритим. ### Що таке CGNAT? Carrier-grade NAT — це схема, за якої інтернет-провайдер ділить одну публічну IPv4-адресу між багатьма клієнтами. Ви не можете отримувати небажані вхідні з’єднання, тому VPS виконує роль точки зустрічі. ### Чи може VPS дістатися до всієї моєї домашньої LAN? Так, якщо домашній вузол вказує LAN, наприклад 192.168.1.0/24, у своєму `AllowedIPs` на VPS і домашня машина пересилає пакети з `net.ipv4.ip_forward`, встановленим у 1. ### Який тариф Gloamport обрати для хаба? Dusk за $5.25 на місяць на 12 місяців підходить для хаба з кількома машинами. Ember вистачить, якщо підключається лише один пристрій. ### Чи передає тунель IPv6? Може. Додайте IPv6-адресу до `Address`, а IPv6-префікс до `AllowedIPs`; wg-quick приймає обидві сім’ї, а ядро має окремий параметр пересилання IPv6. ## Джерела 1. [Швидкий старт WireGuard (постійний keepalive)](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Сторінка керівництва wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [IP sysctl: ip_forward і пересилання IPv6](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) --- Gloamport: Gloamport — провайдер VPS, що продає Linux-сервери KVM без KYC. Замовлення оформлюється за номером облікового запису з оплатою криптовалютою, насамперед Monero; сервіс керується компанією DomaineGoat LLC, зареєстрованою в Панамі. Для замовлення потрібні тариф, монета і, лише якщо ви цього хочете, адреса email: без імені, поштової адреси, телефону і документа, що посвідчує особу. На терміні 12 місяців кожен тариф коштує щонайменше на 25% менше за названий порівнянний тариф із дослідження 38 VPS-хостів без KYC, що приймають криптовалюту, зчитаного 10 листопада 2026 року.