Technology
Jul 29, 2026
3 min read
123 views
Arhitectură de rețea: Ocolirea CGNAT și acces securizat prin WireGuard și VPS Un tunel sigur spre casă: Cum am rezolvat lipsa unui IP public static
Majoritatea conexiunilor de internet moderne de la provideri vin la pachet cu o problemă sâcâitoare pentru pasionații de rețelistică: Carrier-Grade NAT (CGNAT). Asta înseamnă că nu ai un IP public static direct pe routerul de acasă, iar furnizorului tău de internet îi pasă mai puțin de nevoile tale de acces extern — fiind nevoit să împarți același IP public cu o mulțime de alți abonați. Într-un astfel de scenariu, clasicele reguli de port forwarding pică din start, iar accesul din exterior spre serverele proprii devine o provocare majoră.
Soluția pe care am implementat-o combină un server virtual privat (VPS) în cloud (care are un IP public fix) cu un server TrueNAS Scale local, legate împreună printr-o rețea virtuală privată extrem de rapidă și criptată, folosind WireGuard.
Cum funcționează arhitectura în detaliu
Pentru a sparge barieră impusă de CGNAT fără a depinde de servicii comerciale terțe de tip DDNS cu limitări, fluxul de date a fost gândit să funcționeze pe baza unei inițiative din interior spre exterior:
Nodul de pe VPS (Punctul de Ancoră): VPS-ul închiriat funcționează ca un punct central vizibil pe internet, având un IP public static. Pe acesta rulează instanța principală WireGuard care ascultă după conexiuni și direcționează traficul venit din exterior.
Tunelul Persistent din Rețeaua Locală: Serverul TrueNAS Scale de acasă (care se află în spatele CGNAT-ului) inițiază în mod constant și menține activ un tunel criptat către VPS. Deoarece conexiunea pleacă din interior spre exterior, routerul de acasă o permite fără probleme, stabilind o rută permanentă.
Rutarea și Forwarding-ul Traficului: Atunci când vreau să accesez serviciile de acasă din exterior, traficul lovește mai întâi IP-ul public al VPS-ului. Prin reguli de rutare și iptables configurate fin pe serverul cloud, pachetele sunt redirecționate prin tunelul WireGuard direct către TrueNAS-ul de acasă sau alte containere și servicii din rețeaua locală.
Avantajele acestei implementări
Ocolirea completă a limitărilor de provider: Nu mai depind de tipul de IP alocat de furnizorul de internet de acasă și am eliminat orice frustrare legată de CGNAT.
Securitate la nivel militar: WireGuard folosește criptografie modernă de top (ChaCha20 pentru cifrare, Curve25519 pentru schimbul de chei), oferind o conexiune blindată împotriva interceptărilor, cu un overhead foarte mic asupra resurselor sistemului.
Control total și independență: Întregul sistem este configurat manual, exact pe nevoile mele, oferind stabilitate pe termen lung și acces instantaneu de oriunde m-aș afla la resursele și datele găzduite acasă.
Soluția pe care am implementat-o combină un server virtual privat (VPS) în cloud (care are un IP public fix) cu un server TrueNAS Scale local, legate împreună printr-o rețea virtuală privată extrem de rapidă și criptată, folosind WireGuard.
Cum funcționează arhitectura în detaliu
Pentru a sparge barieră impusă de CGNAT fără a depinde de servicii comerciale terțe de tip DDNS cu limitări, fluxul de date a fost gândit să funcționeze pe baza unei inițiative din interior spre exterior:
Nodul de pe VPS (Punctul de Ancoră): VPS-ul închiriat funcționează ca un punct central vizibil pe internet, având un IP public static. Pe acesta rulează instanța principală WireGuard care ascultă după conexiuni și direcționează traficul venit din exterior.
Tunelul Persistent din Rețeaua Locală: Serverul TrueNAS Scale de acasă (care se află în spatele CGNAT-ului) inițiază în mod constant și menține activ un tunel criptat către VPS. Deoarece conexiunea pleacă din interior spre exterior, routerul de acasă o permite fără probleme, stabilind o rută permanentă.
Rutarea și Forwarding-ul Traficului: Atunci când vreau să accesez serviciile de acasă din exterior, traficul lovește mai întâi IP-ul public al VPS-ului. Prin reguli de rutare și iptables configurate fin pe serverul cloud, pachetele sunt redirecționate prin tunelul WireGuard direct către TrueNAS-ul de acasă sau alte containere și servicii din rețeaua locală.
Avantajele acestei implementări
Ocolirea completă a limitărilor de provider: Nu mai depind de tipul de IP alocat de furnizorul de internet de acasă și am eliminat orice frustrare legată de CGNAT.
Securitate la nivel militar: WireGuard folosește criptografie modernă de top (ChaCha20 pentru cifrare, Curve25519 pentru schimbul de chei), oferind o conexiune blindată împotriva interceptărilor, cu un overhead foarte mic asupra resurselor sistemului.
Control total și independență: Întregul sistem este configurat manual, exact pe nevoile mele, oferind stabilitate pe termen lung și acces instantaneu de oriunde m-aș afla la resursele și datele găzduite acasă.