Свій VPN додому на WireGuard: доступ до камер, NAS і розумного дому ззовні
Коли треба зайти до камер, NAS чи Home Assistant не вдома, найгірше, що можна зробити: відкрити їх прямо в інтернет. Правильний спосіб: власний VPN, і WireGuard налаштовується простіше, ніж здається.
Для чого це
VPN додому створює захищений тунель від вашого телефону чи ноутбука до домашньої мережі. Ви підключаєтеся й бачите все так, ніби сидите вдома: камери, NAS, принтер, панель розумного дому. Назовні при цьому відкритий один порт VPN, а не десять сервісів із слабкими паролями. Це не засіб для обходу блокувань і не сервіс «змінити країну»: він веде тільки до вашої домашньої мережі.
Що потрібно
- Роутер з підтримкою WireGuard: MikroTik із RouterOS 7, Keenetic, OpenWrt, UniFi (Gateway), деякі моделі інших виробників. Якщо вашого роутера бракує, WireGuard можна запустити на малому домашньому сервері (Raspberry Pi) чи NAS.
- Зовнішня (публічна) IP-адреса. Без неї VPN ззовні не підключиться.
- Бажано статична адреса або DDNS: службу, яка прив'язує постійне ім'я до змінної адреси.
- Клієнтський застосунок WireGuard на телефоні чи комп'ютері (є для всіх систем, безкоштовний).
Спершу перевірте, чи у вас «біла» адреса
Багато провайдерів видають одну адресу на кілька абонентів (CGNAT). Тоді підключитися ззовні не вийде. Подивіться, яку WAN-адресу показує ваш роутер, і порівняйте з тією, що показує сайт «яка моя IP-адреса». Якщо вони різні, або адреса починається з 100.64–100.127, ви за CGNAT. Часто провайдер надає «білу» адресу як додаткову послугу. Є й обхідні шляхи (віддалений сервер-ретранслятор або сервіси типу Tailscale), але вони окремі від цієї інструкції.
Крок 1. Інтерфейс WireGuard на роутері
- Створіть новий інтерфейс WireGuard. Роутер згенерує приватний і публічний ключі: приватний нікому не показуйте.
- Задайте адресу VPN-мережі, яка не збігається з вашою домашньою. Наприклад, домашня мережа 192.168.1.0/24, а VPN 10.10.10.0/24, роутер у ній 10.10.10.1.
- Порт: UDP 51820 стандартний. Можна вибрати й інший, це трохи зменшить «шум» від сканерів.
Крок 2. Дозвольте порт у фаєрволі
Додайте правило в фаєрволі, яке пускає вхідний UDP на порт WireGuard з інтернету (WAN). Не відкривайте більше нічого. Для тих, хто підключився через VPN, дозвольте доступ до домашньої мережі.
Крок 3. Додайте пристрій (peer)
- На телефоні відкрийте WireGuard й створіть новий тунель із генерацією ключів. Він покаже публічний ключ.
- На роутері додайте peer: вставте публічний ключ телефону й виділіть йому адресу з VPN-мережі, наприклад 10.10.10.2/32.
- У телефоні налаштуйте: адреса 10.10.10.2/32, DNS (наприклад, адреса роутера), у розділі peer: публічний ключ роутера, endpoint (ваша зовнішня адреса або ім'я DDNS і порт) та «Allowed IPs».
«Allowed IPs» визначає, що йде через тунель. Для доступу тільки до дому вкажіть домашню мережу й VPN-мережу, наприклад 192.168.1.0/24, 10.10.10.0/24. Тоді решта інтернету йде як завжди, напряму. Якщо хочете пускати через дім весь трафік (наприклад, у чужій Wi-Fi), вкажіть 0.0.0.0/0.
Багато роутерів можуть показати конфігурацію для клієнта у вигляді QR-коду. Це найшвидший спосіб налаштувати телефон: відсканували й готово.
Крок 4. Перевірка
- Вимкніть Wi-Fi на телефоні й користуйтеся мобільним інтернетом.
- Увімкніть тунель WireGuard: має з'явитися активне з'єднання, а лічильник даних росте.
- Відкрийте адресу домашнього пристрою, наприклад сторінку роутера чи Home Assistant за внутрішньою адресою. Якщо відкривається, усе працює.
Безпека
- Окремий peer (окремі ключі) для кожного пристрою. Загубили телефон: видаляєте його peer, решта працює.
- Приватний ключ нікуди не пересилайте й не фотографуйте.
- Оновлюйте прошивку роутера: вразливості знаходять і в VPN-реалізаціях.
- Не відкривайте на роутері більше нічого з Інтернету, ніж UDP порт WireGuard.
- Обмежте, що саме доступно через VPN, якщо дозволяє роутер (наприклад, лише потрібні адреси).
Типові помилки
- Збігаються мережі: удома 192.168.1.0/24 і в готелі чи в офісі така сама. Тоді адреси плутаються. Допомагає нетипова домашня підмережа, наприклад 192.168.77.0/24.
- Немає «білої» адреси: зовні не підключитися.
- Забули дозволити порт у фаєрволі або натрапили на другий фаєрвол (на модемі провайдера).
- Не додали маршрут чи «Allowed IPs» домашньої мережі.
- Завеликий MTU: тунель підключається, а сторінки відкриваються з труднощами. Спробуйте MTU 1380–1420.
Потрібна допомога з цим?
Опишіть задачу, і ми підкажемо, з чого почати. Перша розмова безкоштовна.