Làm sao để kết nối mạng nhà với VPS bằng WireGuard (sau CGNAT)?

Vì sao CGNAT chặn thiết lập WireGuard thông thường?

Đằng sau CGNAT, router của bạn chia sẻ một địa chỉ IPv4 công khai với các khách hàng khác, nên không có gì bên ngoài có thể mở kết nối tới nhà bạn. WireGuard cần một bên có thể tới được bằng địa chỉ, và VPS là bên đó: nó có Một địa chỉ IPv4 và một IPv6 /64 cho mỗi VPS, trên cổng 1 Gbit/s. Lưu lượng của gói chỉ tính dữ liệu gửi ra, và việc vượt mức không bao giờ tự tạo ra hóa đơn.

Máy nhà chủ động mở đường hầm ra ngoài. Hướng dẫn nhanh của WireGuard mô tả PersistentKeepalive đúng cho trường hợp này: đặt nó trên một peer đằng sau tường lửa hoặc NAT, và 25 giây là "một khoảng thời gian hợp lý hoạt động với nhiều loại tường lửa". Ánh xạ NAT khi đó giữ mở và VPS có thể gửi gói tin trở lại qua đó.

Gói Gloamport nào phù hợp làm hub?

Dusk phù hợp với một hub chuyển tiếp lưu lượng giữa vài máy. Gloamport liệt kê nó cho "VPN cùng relay Tor hoặc trang onion", với 1 vCPU, 2 GB RAM và 2 TB lưu lượng hàng tháng.

Theo khảo sát của Gloamport về 10 tháng 11, 2026, giá trung vị của VPS 1 vCPU, 2 GB trên 32 nhà cung cấp là $18.91 mỗi tháng. Nếu bạn chỉ cần một đường hầm cho một dịch vụ nhỏ, Ember là đủ; thiết lập cơ bản nằm tại Làm thế nào để thiết lập WireGuard trên VPS?.

Làm sao viết cấu hình hub?

File hub liệt kê mỗi peer với khóa công khai của nó và các địa chỉ mà VPS được phép gửi tới. Khai báo LAN nhà trên peer nhà cho phép VPS định tuyến 192.168.1.0/24 vào đường hầm.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <VPS private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
# home machine
PublicKey = <home public key>
AllowedIPs = 10.8.0.3/32, 192.168.1.0/24

[Peer]
# laptop
PublicKey = <laptop public key>
AllowedIPs = 10.8.0.2/32

Làm sao cấu hình máy nhà và laptop?

Máy nhà cần PersistentKeepalive và một tuyến tới subnet đường hầm; laptop cần tuyến tới cả hai subnet. Bật mỗi cái bằng wg-quick up wg0.

Nếu bạn muốn laptop tới được các thiết bị khác trong LAN nhà, chứ không chỉ máy nhà, thì chính máy nhà phải chuyển tiếp gói: đặt net.ipv4.ip_forward thành 1 ở đó, ví dụ bằng một dòng PostUp = sysctl -w net.ipv4.ip_forward=1.

[Interface]
Address = 10.8.0.3/24
PrivateKey = <home private key>
PostUp = sysctl -w net.ipv4.ip_forward=1

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

[Interface]
Address = 10.8.0.2/24
PrivateKey = <laptop private key>

[Peer]
PublicKey = <VPS public key>
Endpoint = <VPS IPv4 address>:51820
AllowedIPs = 10.8.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

wg-quick up wg0
systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.3

Tôi làm được gì với đường hầm khi nó đã chạy?

Bạn có thể tới NAS, camera hoặc dịch vụ tự lưu trữ ở nhà từ bất cứ đâu mà không mở cổng ở nhà. Laptop nói chuyện với 10.8.0.3 như thể nó ở ngay cạnh, và không có gì bị lộ trên router nhà bạn.

Giữ VPS luôn tới được và gọn gàng: Làm thế nào để gia cố SSH trên VPS mới? bao quát phía đăng nhập, và VPN tự lưu trữ trên VPS có tốt hơn dịch vụ VPN không? cân nhắc toàn bộ cách tiếp cận. Với hub, Dusk kỳ hạn 12 tháng là $5.25 mỗi tháng; các gói được liệt kê trên trang giá.