туннель зелёный, гугл открывается, а банк виснет

ребят, снова я и мой туннель.

утро, сел за ноут с кофе, включил вайргард — кружок зелёный, handshake есть. гугл открывается, ютуб открывается, чат с ии грузится. а вот банк и ещё пара сайтов просто висят — колёсико крутится и всё. выключил туннель — банк моментально открылся. включил обратно — опять висит.

я минут сорок в это смотрел, решил что браузер глючит, и зачем-то перезагрузил роутер. ну блин, не помогло конечно))

wg show говорит что всё живое:

peer: (ключ стёр)
endpoint: 51.x.x.x:51820
allowed ips: 0.0.0.0/0
latest handshake: 38 seconds ago
transfer: 2.04 MiB received, 580 KiB sent

то есть туннель вроде есть, но часть сайтов как будто мимо него идёт и теряется. на телефоне кстати тот же банк через тот же сервер открывается нормально, такое только на винде.

куда смотреть-то? это опять dns или я чего-то в клиенте нажал не то?

kirill_nsk, у меня так же банк вис — он зарубежный ip не любит, дуется)) кинул его в исключения в клиенте и всё открылось. на телефоне видимо приложение иначе ходит

тимур, спасибо, пошёл пробовать и сразу уткнулся))

timur_ufa писал:
кинул его в исключения в клиенте и всё открылось

вот тут стоп. у меня в вайргарде на винде нет никаких исключений, кнопки такой нет вообще. есть галка про блокировать трафик без туннеля и всё по сути. я минут десять тыкал по всем менюшкам, думал уже что слепой. ты наверное про какой-то другой клиент? или я опять не туда смотрю?

пока искал, нагуглил другой способ: типа можно выкинуть айпи банка из allowed ips, и есть сайты которые это за тебя считают. сделал nslookup на домен банка, получил айпи, скормил такому сайту, он выдал портянку строк на двадцать. вставил в конфиг вместо 0.0.0.0/0:

AllowedIPs = 0.0.0.0/5, 8.0.0.0/7, 11.0.0.0/8, 12.0.0.0/6, 16.0.0.0/4, 32.0.0.0/3, ...и дальше ещё куча такого

перезапустил туннель — гугл открывается, чат с ии открывается, и банк ОТКРЫЛСЯ. прям сидел в обед довольный, кофе правда уже холодный допил))

но теперь сомневаюсь, не по-настоящему это всё. у банка же айпи может поменяться, правда? и я через nslookup получил один, а у них их наверное десяток. и там ещё пара сайтов так же висли, им что, каждому отдельно портянку генерить?

и всё равно не врубаюсь почему на телефоне приложение банка через тот же самый сервер ходит нормально, а на винде сайт дуется. они по-разному проверяют откуда ты пришёл?

тимур, ткни носом как ты исключения делал? если не через allowed ips, то где эта кнопка вообще. а то мой вариант вроде работает, но пахнет костылём который развалится через неделю 🤦

kirill_nsk, у нас в саппорте такое каждую вторую ночь — банк дуется на зарубежный ip. а портянка твоя сломается, когда банк адрес сменит) я банк просто мимо туннеля пустила.

полина, а как ты его мимо пустила? я в клиенте на винде все менюшки обтыкал, исключений там нет вообще. через роутер что ли?

kirill_nsk, на этот раз не dns — банк сам дуется на ip сервера, роутер был ни при чём.

портянка из /5-/8 рабочая, но у банка cdn, адреса поплывут, и через месяц будешь генерить её заново.

проще один маршрут, без правок конфига:

route add <ip банка> mask 255.255.255.255 <домашний шлюз> -p

/32 бьёт 0.0.0.0/0 по приоритету. только сними галку «блокировать трафик без туннеля» — с ней файрвол режет всё мимо wg0, и никакой маршрут не спасёт.

kirill_nsk писал:
у меня в вайргарде на винде нет никаких исключений

и не будет там их, это я тебя запутал, извини)) я с телефона советовал — там в клиенте есть «исключить приложения», я туда банк и кинул когда-то. ща ради интереса открыл клиент на винде — и правда, три менюшки и одна галка, всё. советую не глядя, а у самого на винде туннеля даже нет, я всё с телефона)

по делу тут lexa92 написал: один маршрут вместо портянки, которую каждый месяц заново генерить

тимур ну ты даёшь)) я десять минут по менюшкам тыкал, думал слепой, а у тебя клиента на винде и нет вовсе. ладно, пошёл маршрут делать, про галку запомнил

timur_ufa писал:
советую не глядя, а у самого на винде туннеля даже нет

вот это подход к советам, уважаю)) правда, сам такой же: винды дома нет совсем, так что про менюшки клиента лучше промолчу.

kirill_nsk, а сомнения у тебя правильные — и к маршруту они тоже относятся. у банка cdn, nslookup сегодня даёт один набор адресов, через месяц другой, и /32 уйдёт в никуда так же, как твоя портянка. только сломается тише: не всё разом, а один банк, и ты опять полезешь роутер перезагружать))

я у себя сделал тупо, зато работает: скрипт на пару строк, который резолвит нужные домены и пересоздаёт маршрут на каждый адрес из выдачи — а их там обычно три-четыре, не один. крутится по расписанию раз в сутки, и я про эту тему больше не вспоминаю. схема та же, что lexa92 предложил, только ip не зашит руками, а обновляется сам.

и про телефон, кстати. приложение банка ходит не туда же, куда сайт, а на своё api — а там антифрод обычно добрее, на страну ip не смотрит. поэтому через один и тот же сервер сайт виснет, а приложение живёт. я на этом тоже поначалу dns винил.

читаю этот тред уже второй заход и только сейчас сложилась картина: тимур советует по телефону, не имея клиента на винде. kostya_gw советует по винде, не имея винды дома вообще. kirill_nsk генерит портянку на двадцать строк в обед и допивает холодный кофе довольный. идеальная техподдержка, ничего не менять)

kostya_gw, твой вариант мне ближе всех, и честно — не потому что я в нём до конца разобрался. «крутится раз в сутки по расписанию и я про это не вспоминаю» — это ровно мой уровень администрирования. всё, что надо держать в голове и делать руками, у меня ломается. бот жив ровно до момента, когда я говорю «в субботу гляну», а потом лежит до вторника и молчит.

и мораль у треда красивая: начиналось с «банк виснет, наверное опять dns», закончилось скриптом по крону. у нас по-другому и не бывает. kirill_nsk, запоминай главное: если через месяц банк снова повиснет — это не карма и не знак свыше, это cdn адреса поменял. возвращайся сюда, тут уже всё за тебя придумали

kostya_gw писал:
сам такой же: винды дома нет совсем

фух, а я уж приготовился извиняться второй раз за тред))

про api банка не знал, спасибо. специально убрал приложение из исключений на телефоне — работает и через туннель. то есть я когда-то сам себе проблему придумал, сам героически решил и потом всем советовал. красавчик, чё)

а скрипт на чём пишешь? у нас в универе такому не учат, а звучит как то, что мне тоже надо

timur_ufa «придумал проблему, героически решил, всем посоветовал» — это не фейл, это резюме сеньора. скрипт kostya_gw только потом не пересказывай не глядя)

timur_ufa писал:
а скрипт на чём пишешь? у нас в универе такому не учат

раз клиент у кирилла на винде — powershell, больше не на чём. батником это делается через боль, а таскать python на машину, где живёт банк, не надо.

kostya_gw прав, кстати: мой один /32 поплывёт так же, как портянка кирилла, просто молча — у банка три-четыре адреса, и они крутятся. так что скрипт это правильный конец треда. минимальный вариант:

$gw = "192.168.1.1"  # домашний шлюз, не туннель
foreach ($d in "bank.ru","api.bank.ru") {
  Resolve-DnsName $d -Type A | % { route add $_.IPAddress mask 255.255.255.255 $gw -p }
}

перед добавлением старые маршруты снеси через route delete, иначе через полгода получишь музей мёртвых адресов. сам скрипт в планировщик, раз в сутки, запуск от админа. и галка «блокировать трафик без туннеля» по-прежнему снята, иначе весь этот цирк бесполезен.

timur_ufa, тебе на телефоне это вообще не нужно: там исключения приложений уже есть, ты их сам и нашёл.

void_3am понял, не карма а cdn)) записал в заметки, тред в закладки. щас полезу скрипт в планировщик засовывать, я туда ни разу не заходил, с чего там вообще начать?

kirill_nsk писал:
я туда ни разу не заходил

taskschd.msc, задача, триггер ежедневно, галка «наивысшие права». скрипт сначала прочитай: дальше он ходит с админом без тебя.

kirill_nsk ни разу не заходил в планировщик, но уже тащит туда скрипт с админом в четыре утра. смело) завтра расскажешь, куда уехал интернет

void_3am, «мой уровень администрирования — крутится само и я не вспоминаю» — это не уровень, это мечта всего треда)) я как-то написал скрипт «на раз в сутки», а он молча падал неделю — с тех пор к таким вещам делаю бота-сторожа: если задача не отработала, пишет мне в телегу. три строчки, зато «не вспоминаю» не превращается в «узнал через месяц».

tema_py писал:
«не вспоминаю» не превращается в «узнал через месяц»

у меня бот-модератор однажды умер в четверг, а узнал я в воскресенье — от постояльцев чата, которые три дня гадали, почему спам вдруг проходит. вот и вся система мониторинга была: люди пишут «хоп, у тебя бот сдох»))

с тех пор делаю наоборот: не сторож, который ловит падение, а сам скрипт стучится. раз в сутки шлёт мне «жив» через sendMessage, две строчки на curl. утром тихо — значит, что-то случилось, и даже не важно что: бот упал, сервер упал, интернет упал. а сторож на «не отработала» ведь и сам может не отработать, и кто тогда сторожит его)

kirill_nsk с его планировщиком это бы тоже пригодилось: скрипт отработал — маякнул, не маякнул — идёшь смотреть «результат последнего запуска», колонка прямо в том же окне оснастки.

hopstop, блин, «кто сторожит сторожа» — нечего возразить)) мой сторож однажды сам молчал три дня, узнал случайно. heartbeat забираю: нет утреннего пинга — идёшь смотреть 👍

tema_py, heartbeat удобно делать отдельно от самой задачи: скрипт маршрутов отработал — дернул sendMessage, а дальше живёт своей жизнью. если он упал на resolve домена (банк поменял NS, или домашний DNS отвалился), маршруты не добавились, но пинг «жив» всё равно уйдёт — и ты спокоен, а банк снова виснет.

у себя на похожих вещах вешаю проверку после действия: route print | findstr по адресу банка. есть строка — шлём «ок», нет — шлём «не смог». иначе это не мониторинг, а самоуспокоение. для kirill_nsk это, правда, уже уровень «прочитай скрипт перед запуском», но он, кажется, как раз туда и движется.