Залипает peers wireguard (было слетают ключи)

[retom]

Настроен wireguard сервер, есть клиенты на андроид через родное приложение wireguard.
Какое то время все хорошо работает, потом клиент соединяется, но трафик не идет.

Вижу что handshake был, так меняется время время в поле "Last Handshake"
Счетчики принято/отправлено со стороны микроктика не меняются.
со стороны андроид меняются только отправленные, принятых по нолям.

Помогает сделать enable/disable на peers (Было: перегенерация ключа на стороне андроид, и прописывание публичной части в микротике).

На микротике настроено несколько впн клиентов, отваливается в начале одна часть, вторая продолжает рабоать, потом отваливается друга часть клиентов. От телефона не зависит, так как если перенести конфигурацию на другой телефон, она так же не работает. Каких либо записей в логах по ошибкам не видно.

[vihaz]

Да, так и есть. И не только на Андроидах, но и Винде та же проблема.

[retom]

Написал скрипт, который по шедулеру запускается, делает diable/sleep 10сек/enable
Запуск этого скрипта не восстанавливает peer.

PS сейчас отключил fasttrack - три дня полет нормальный, дальше посмотрим.

[retom]

Не помогло, все равно зависает не понятным образом peer для входящего коннекта.
Исходящий работает стабильно.

[SoloD]

Та же проблема с клиентами на macos, ubuntu. Воспроизводится хаотично.

[ArtVAnt]

А какая версия ros?

[gmx]

Сообщений на эту тему идет достаточно много.
И где здесь проблема - трудно сказать?

Причем нет стабильности: у меня несколько микротиков работают друг на друга через WG и ни разу описанных проблем не было, работают больше года.
Есть подозрение, что проблема проявляется только в клиентских подключениях, с использованием программных клиентов.
Тут надо писать в микротик, на их форум.

[retom]

У меня в пирах на сервере allowed адрес был указан как /24, а на клиенте указывал уже как /32
Поменял везде /32, зависания пропали.

совет пришел отсюда viewtopic.php?f=1&t=14181&start=10

[Biggy]

есть ли у всех пиров в поле Allowed Address указана одна и та же сеть
Настроить Allowed Address так, чтобы у каждого клиента был только его IP например:
/interface wireguard peers set [find where name="User1"] allowed-address=10.0.0.3/32
/interface wireguard peers set [find where name="User2"] allowed-address=10.0.0.4/32
/interface wireguard peers set [find where name="User3"] allowed-address=10.0.0.5/32
/interface wireguard peers set [find where name="User4"] allowed-address=10.0.0.6/32

а настройки на клиенте должны быть примерно такие
PrivateKey = ***************************************
Address = 10.0.0.3/32
DNS = 192.168.70.1, 8.8.8.8

[Peer]
PublicKey = ***************************************
AllowedIPs = 0.0.0.0/0
Endpoint = *******:13231
PersistentKeepalive = 8


нули это если клиент должен выходить в интернет через WireGuard (Full-Tunnel)
По-желанию, можно основной подсеть прописать чтобы получить доступ к определённым IP-адресам в подсети

например если подсеть будет 192.168.70.0/24

PrivateKey = ***************************************
Address = 10.0.0.3/32
DNS = 192.168.70.1, 8.8.8.8

[Peer]
PublicKey = ***************************************
AllowedIPs = 0.0.0.0/0, 192.168.70.0
Endpoint = *******:13231
PersistentKeepalive = 8