Не работет

Арендовал VPS, загрузил wireguarden, загрузил конф на роутер кинетик и нихрена не работает

«Нихрена не работает» — это не диагноз, такую строку в лог не напишешь. По порядку.

Классика этой схемы: конфиг загрузили в кинетик, а про вторую сторону забыли. На VPS в конфиге сервера должен быть [Peer] с публичным ключом роутера и AllowedIPs = адрес роутера в туннеле, типа 10.0.0.2/32. Если пира на сервере нет, handshake не случится никогда, хоть десять конфигов перезагрузи.

С VPS покажи:

wg show
systemctl status wg-quick@wg0

В wg show смотри на peer: если latest handshake пустой и transfer по нулям — сервер вообще никого не слышал, и вопрос либо в ключах, либо в том, что роутер стучится не туда.

По кинетику: компонент WireGuard установлен (Общие настройки → обновления и компоненты)? В веб-морде у подключения какой статус? И в конфиге, который залил в роутер, в [Peer] endpoint должен быть IP твоего VPS и тот порт, который реально слушает сервер, а не тот, что «был в примере».

И последнее: UDP-порт на самом VPS открыт? ufw или iptables снаружи его не режут?

wg show сюда, дальше по цифрам пойдём.

Провайдер блокирует подключение, как это можно обойти?

lexa92 писал:

«Нихрена не работает» — это не диагноз, такую строку в лог не напишешь. По порядку.

Классика этой схемы: конфиг загрузили в кинетик, а про вторую сторону забыли. На VPS в конфиге сервера должен быть [Peer] с публичным ключом роутера и AllowedIPs = адрес роутера в туннеле, типа 10.0.0.2/32. Если пира на сервере нет, handshake не случится никогда, хоть десять конфигов перезагрузи.

С VPS покажи:

wg show
systemctl status wg-quick@wg0

В wg show смотри на peer: если latest handshake пустой и transfer по нулям — сервер вообще никого не слышал, и вопрос либо в ключах, либо в том, что роутер стучится не туда.

По кинетику: компонент WireGuard установлен (Общие настройки → обновления и компоненты)? В веб-морде у подключения какой статус? И в конфиге, который залил в роутер, в [Peer] endpoint должен быть IP твоего VPS и тот порт, который реально слушает сервер, а не тот, что «был в примере».

И последнее: UDP-порт на самом VPS открыт? ufw или iptables снаружи его не режут?

wg show сюда, дальше по цифрам пойдём.

interface: wg0
public key: PUH3YTDDOompqLto9Q3nqfxfpwCmsddFYf4SD4HOWF8=
private key: (hidden)
listening port: 51820

peer: 4L2VfETQ0F+AKGVeTSTILXfr49gauEBmeAF8rCMD1Gw=
endpoint: 81.163.128.74:42623
allowed ips: 10.66.66.2/32, fd42:66:66::2/128
latest handshake: 7 minutes, 41 seconds ago
transfer: 752 B received, 368 B sent

Вывод обрезался на самом интересном месте: после peer: должны идти latest handshake и transfer. wg show целиком, не куском.

И «провайдер блокирует» — откуда взял? Проверяется за минуту. На VPS:

tcpdump -i eth0 udp port 51820

и переподключи туннель на кинетике. Пакеты прилетают — провайдер ни при чём, копаем ключи и endpoint. Пусто — тогда да, либо режет udp, либо роутер стучится не на тот адрес.

lexa92 писал:

Вывод обрезался на самом интересном месте: после peer: должны идти latest handshake и transfer. wg show целиком, не куском.

И «провайдер блокирует» — откуда взял? Проверяется за минуту. На VPS:

tcpdump -i eth0 udp port 51820

и переподключи туннель на кинетике. Пакеты прилетают — провайдер ни при чём, копаем ключи и endpoint. Пусто — тогда да, либо режет udp, либо роутер стучится не на тот адрес.

я скопировал все, что мне выдало после команды wg show

STRA1TH писал:
я скопировал все, что мне выдало после команды wg show

Не всё, честно говоря. Строка peer оборвалась на «4L2VfETQ0F+AK» — это 13 символов. Ключ wireguard всегда 44 символа и заканчивается на «=». То есть вывод съело ровно там, где начинается самое важное: endpoint, latest handshake, transfer. А именно по этим строкам и видно, правда провайдер блокирует или туннель просто не дошёл.

Из чего копируешь? Если из веб-консоли в панели хостинга — вот и причина, она переносит строки и выделяется криво. Я так однажды полчаса искала «битый конфиг», а битым был буфер обмена ) Зайди на сервер нормальным ssh (на винде прямо из PowerShell: ssh root@IP_сервера) и повтори wg show там — влезет целиком.

Либо вообще без копипасты:

wg show | curl -F 'file=@-' https://0x0.st

вернёт ссылку — кидай её сюда.

И по сути вопроса: пока tcpdump не показал пустоту, «провайдер блокирует» — гипотеза, а не диагноз. Если вдруг подтвердится, что udp до сервера не доходит, первое что пробуют — перевесить wireguard на 53/udp, домашние провайдеры его трогают редко. Но это шаг два, сначала цифры.

Даже по обрезку видно главное: после peer пусто, ни endpoint, ни handshake. Роутер до сервера не достучался ни разу. Так что «провайдер блокирует» пока гипотеза, подтверждает её только tcpdump, а не ощущения.

Пока нет нормального ssh, сверь ключи глазами: публичный ключ в веб-морде кинетика должен совпадать с peer в конфиге сервера. Одна буква мимо — handshake не будет никогда, и выглядит это ровно как блокировка. Половина «провайдер режет vpn» в моей практике оказывалась ключом, скопированным с пробелом.

lexa92 писал:
Половина «провайдер режет vpn» в моей практике оказывалась ключом, скопированным с пробелом.

Это я на себе проверил на прошлой неделе. Первый раз поднимал wireguard на своём сервере: wg show пустой, handshake нет, transfer по нулям. Я уже мысленно писал сюда «провайдер блокирует», честно. Полез перечитывать конфиг в пятый раз — а в endpoint адрес из гайда, какой-то 203.0.113.10, не мой сервер. Я его даже не трогал, скопировал блок целиком и пошёл дальше. Поменял на свой IP — handshake случился через пару секунд.

С докером то же самое по кругу: контейнер в exited, я полчаса гуглю «почему exited», а там volume на путь, которого не существует. Паттерн один — сначала ищешь заговор, потом находишь опечатку.

Так что STRA1TH, держись: шанс, что это глупость, а не блокировка, по моей богатой недельной статистике процентов девяносто. Или это я один так конфиги копирую?)

STRA1TH, ваш вывод был полным. Я прочитал его неверно; извините. Там есть рукопожатие и обмен данными, поэтому мои слова «роутер не достучался ни разу» были ошибкой.

Это подтверждает связь на момент того сообщения, но не объясняет, почему не открывается нужный сервис. Ключи заново создавать сейчас оснований нет. Выкладывать вывод на публичный сервис из прежнего совета тоже не нужно. Уточните одну вещь: на устройстве за Кинетиком через туннель не открывается вообще интернет или только отдельный сайт? От этого зависит, проверять выход устройства через VPN или уже конкретное соединение.