Недоступны сайты через WireGuard

[Brujo]

Добрый день!

Есть роутер Mikrotik 951G-2HnD (RouterOS 7.5), есть сервер WireGuard на VPS. Сервер рабочий, проверен на нескольих устройствах.
Пробую настроить подключение по этому мануалу: https://interface31.ru/tech_it/2022/04/ ... rotik.html, а именно по второй части "Mikrotik как инициатор (клиент)".
На сервере добавил нового клиента для домашнего роутера, перезапустил. Сделал все настройки согласно мануалу, но указанные подсети вообще недоступны. Пробовал на 2ip.ru (195.201.201.32/32).

 ping

Код: Выделить всё

C:\Users\user>ping 2ip.ru

Обмен пакетами с 2ip.ru [195.201.201.32] с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.

Статистика Ping для 195.201.201.32:
    Пакетов: отправлено = 4, получено = 0, потеряно = 4
    (100% потерь)

C:\Users\user>

 tracert

Код: Выделить всё

C:\Users\user>tracert 2ip.ru

Трассировка маршрута к 2ip.ru [195.201.201.32]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  router.lan [10.1.1.1]
  2     *        *        *     Превышен интервал ожидания для запроса.
  3     *        *        *     Превышен интервал ожидания для запроса.
  4     *        *        *     Превышен интервал ожидания для запроса.
  5     *        *        *     Превышен интервал ожидания для запроса.
  6     *        *        *     Превышен интервал ожидания для запроса.
  7     *     ^C
C:\Users\user>

При этом, если смотреть в веб-интерфейсе роутера ("Webfig", "Interfaces"), то видно, что пакеты передаются, появляется значение скорости в столбце Tx, но при этом ничего не принимается. Что не так? Пока что не могу понять.

[xvo]

Кусок конфига с настройками WG?

[Brujo]

Вот, всё лишнее убрал, данные сервера закрыл.

 config

Код: Выделить всё

/interface wireguard
add listen-port=65432 mtu=1420 name=wg1
/interface wireguard peers
add allowed-address=0.0.0.0/0 endpoint-address=%WIREGUARD_SERVER% endpoint-port=\
    65432 interface=wg1 public-key=\
    "%PUBLIC_KEY%"
/ip address
add address=10.11.1.11/24 interface=wg1 network=10.11.1.0
/ip firewall nat
add disabled=no distance=1 dst-address=195.201.201.32/32 gateway=10.11.1.1 \
    pref-src="" routing-table=main suppress-hw-offload=no

[xvo]

Маршрут вот этот для 2ip - он активным показывается?

На стороне сервера для этого пира allowed-address=10.10.1.11 прописан?
Нигде nat случайно не подменяет адрес на какой-то другой?

[Brujo]

Маршрут вот этот для 2ip - он активным показывается?

Да.

На стороне сервера для этого пира allowed-address=10.10.1.11 прописан?

Да.

Нигде nat случайно не подменяет адрес на какой-то другой?

Нет.

Вот скриншот, закрыл только адрес провайдера (у меня белый внешний IP).

[xvo]

И все-таки по поводу NAT’а - маскарад наверняка прописан на interface-list=WAN
Случаем туда wg1 не добавляли?

[Brujo]

Нет. Я не особо продвинутый пользователь в Mikrotik, базовые настройки знаю, но где не уверен, там ничего не делаю. Что я менял по сравнению со стандартными настройками:

• Создана учётка с другим именем, а admin удалена.
• Адрес локальной подсети - мне 10.0.0.0/24 привычнее.
• Имя, пароль и канал Wi-Fi.
• DHCP - задал диапазон для выдачи домашним устройствам.
• Зарезервировал ряд IP за устройствами - свой компьютер, жены и т.д.
• Настраивал проброс двух портов снаружи, сейчас отключено, так как необходимости уже нет.
• WireGuard.

P.S. Роутер покупался очень давно, нужно было подключение дома двух провайдеров, а это было самое простое на тот момент решение. В тонкости вникать не было необходимости - работает, и хорошо. Если надо попробовать сбросить настройки, не проблема - всё делается максимум за 10 минут.

[xvo]

А, так подождите, если вам доступ через этот туннель нужен для выхода наружу, то наоборот либо маскарад нужен, либо на сервере дополнительно настраивать надо.

С самого микротика ping/traceroute туда до куда вы пробуете норм идет?

[Brujo]

Пинг идёт, если выбираю интерфейс ether1 или bridge. При выборе wg1 пинга нет.

А, так подождите, если вам доступ через этот туннель нужен для выхода наружу

Доступ нужен именно наружу, к ряду ресурсов, доступных в России, но владельцы которых блокируют Крым, например, NVidia.

[xvo]

Просто тупо пересоздть пробовали?
Может где-то ключи не те вставили.