VPNSmith
Outil gratuit - port WireGuard

Vérificateur de port WireGuard

Les scanners de ports en ligne ne savent pas tester WireGuard : il ne répond rien à un inconnu, donc chaque scan affiche « open|filtered ». Cet outil répond aux vraies questions : votre box peut-elle rediriger un port, quelle ligne de pare-feu l'ouvre, et quelle commande prouve qu'un client passe.

Derrière un CGNAT ? Un VPS avec sa propre IPv4 publique se passe de redirection : voir l'offre Contabo

Tout se passe dans votre navigateur. Votre IP publique n'est demandée à l'API gratuite ipify que si vous cliquez sur le bouton ; rien n'est envoyé chez nous ni stocké.

51820 par défaut. UDP uniquement : WireGuard n'a pas de mode TCP.

Où tourne le serveur ?

Cherchez « IP WAN », « adresse IPv4 » ou « IP internet » sur la page d'état de la connexion de votre box ou routeur.

Votre IP publique vue d'internet

L'adresse locale de la machine qui fait tourner WireGuard, idéalement réservée en DHCP.

Un nom DNS ou une IP pour la ligne Endpoint des clients. Vide = l'IP détectée, ou un texte à remplacer.

Pare-feu du serveur

Une redirection de port peut-elle atteindre ce serveur ?

Saisissez l'adresse WAN de votre box et détectez votre IP publique : la comparaison dit si une redirection de port peut fonctionner. En attendant, les règles ci-dessous supposent que oui.

Règle de redirection sur la box

ProtocolePort externeIP internePort interne
UDP51820192.168.1.1051820
Ouvrir le port dans le pare-feu du serveur
sudo ufw allow 51820/udp comment 'WireGuard'
sudo ufw status numbered
Lignes ListenPort et Endpoint concordantes
# Server: /etc/wireguard/wg0.conf
[Interface]
ListenPort = 51820

# Every client: [Peer] section pointing at the server
[Peer]
Endpoint = <server public IP or DNS name>:51820
Le seul test qui prouve que le port est ouvert
# 1. Is WireGuard listening on the port you think?
sudo wg show wg0 listen-port
sudo ss -ulnp | grep ':51820 '
# 2. Watch the port while a client connects from OUTSIDE (phone on mobile data, Wi-Fi off)
sudo tcpdump -ni any udp port 51820
#    Packets arrive  -> router and firewall are fine; check keys and AllowedIPs.
#    Nothing arrives -> blocked before the server: port forward, ISP box, CGNAT or cloud firewall.
# 3. Final proof
sudo wg show wg0 latest-handshakes

Pourquoi pas un test de port en ligne ? WireGuard est muet par conception : il ne répond pas aux paquets qui ne sont pas une poignée de main valide d'une clé connue. Un scanner UDP affiche donc « open|filtered » pour un port ouvert comme pour un port bloqué. Seuls tcpdump sur le serveur, ou une poignée de main depuis l'extérieur, font la différence.

Vous préférez vous passer des règles de box ?

Sur un VPS avec IPv4 publique, le port que vous ouvrez est celui que voit internet : une ligne de pare-feu, ni box ni routeur. Le VPS d'entrée de gamme de Contabo inclut une IPv4 publique et un accès root complet.

Lien affilié : nous pouvons toucher une commission, sans surcoût pour vous. L'outil reste gratuit dans tous les cas.

Voir le VPS Contabo

Ce que dit l'adresse WAN de votre box

Ouvrez la page d'état de votre box ou de votre routeur et lisez l'adresse IPv4 côté internet (WAN). Ce seul nombre décide si une redirection de port peut fonctionner.

Adresse WANSignificationRedirection de port
100.64.0.0 à 100.127.255.255NAT opérateur (RFC 6598) : le FAI partage une IP publique entre plusieurs abonnésImpossible de votre côté
10.x, 172.16-31.x, 192.168.xPrivée (RFC 1918) : un autre routeur ou la box est devantÀ faire sur les deux appareils
169.254.x.xLien local : le WAN n'a pas de vraie adresseRéparer la connexion d'abord
Publique, identique à l'IP détectéeVotre routeur porte l'adresse publiqueFonctionne
Publique, différente de l'IP détectéeUn autre NAT, ou vous testez à travers un VPN ou un proxyVérifier avant de rediriger
Guide complet : ports WireGuard, changer ListenPort, UDP 443 et redirection →Derrière un CGNAT : toutes les solutions comparées (IPv6, IP publique du FAI, relais VPS) →

Questions fréquentes

Comment vérifier si mon port WireGuard est ouvert ?
Pas avec un scanner de ports en ligne. WireGuard jette sans répondre tout paquet qui n'est pas une poignée de main valide d'un pair connu, donc un scan UDP affiche « open|filtered » que le tunnel écoute ou non. Le test fiable tient en trois étapes : vérifier que le serveur écoute (wg show wg0 listen-port, ss -ulnp), lancer tcpdump -ni any udp port 51820 sur le serveur, puis connecter un client depuis l'extérieur (un téléphone en données mobiles, Wi-Fi coupé). Des paquets dans tcpdump prouvent que le port est joignable ; une poignée de main récente dans wg show prouve que le tunnel fonctionne.
Quel port utilise WireGuard ?
UDP 51820 par défaut, fixé par ListenPort dans la section [Interface] de wg0.conf. WireGuard n'utilise jamais TCP. Vous pouvez choisir n'importe quel port UDP libre de 1 à 65535, à condition que le pare-feu du serveur, la redirection de la box et la ligne Endpoint de chaque client utilisent le même numéro.
Comment savoir si je suis derrière un CGNAT ?
Comparez l'adresse WAN affichée par votre box avec votre IP publique vue depuis internet. Si l'adresse WAN commence par 100.64 à 100.127, votre FAI pratique le NAT opérateur. Si elle est publique mais différente de votre IP publique, une autre couche de NAT se trouve devant vous. Dans les deux cas, une redirection sur votre box ne reçoit jamais le trafic d'internet. L'outil ci-dessus fait la comparaison pour vous.
Peut-on héberger un serveur WireGuard derrière un CGNAT ?
Pas comme serveur joignable directement. Les sorties habituelles : demander une IPv4 publique au FAI (certains le font gratuitement ou contre un supplément), passer par IPv6 si le FAI fournit un préfixe routé et que vos clients ont aussi IPv6, ou placer devant un petit VPS avec IPv4 publique auquel votre domicile se connecte en sortie. La voie du VPS marche sur tous les réseaux, car les deux côtés n'établissent que des connexions sortantes.
Un VPS a-t-il besoin d'une redirection de port pour WireGuard ?
Non. Un VPS porte généralement son IPv4 publique directement sur son interface réseau, il n'y a donc aucun routeur à traverser. Il suffit d'autoriser le port UDP dans le pare-feu du serveur et, si votre hébergeur en propose un, dans son pare-feu cloud.