туннель зелёный, интернета нет

Сижу на US, wg себе и семье. Постоянно одно и то же: handshake прошёл, кружок зелёный, сайты не открываются. Зелёный кружок ничего не значит, кружок всегда зелёный.

На сервере сразу три команды, без них дальше гадать бесполезно:

sysctl net.ipv4.ip_forward
iptables -t nat -S
wg show

forwarding должен быть 1. masquerade на eth0 или ens3, не на wg0. handshake latest — секунды, не минуты.

AllowedIPs у клиента 0.0.0.0/0 если нужен весь трафик. Если оставить 10.8.0.0/24, chatgpt и гугл пойдут мимо туннеля, «регион» останется домашний.

DNS в конфиге клиента явно:

DNS = 1.1.1.1

иначе телефон подсунет резолвер оператора. На айфоне сбрось частный адрес wifi и проверь с сотовой. Кэш резолвера живёт дольше чем кажется.

Проверка не «сайт открылся», а с клиента:

curl -4 https://ifconfig.me

должен быть ip сервера.

Второй vpn от работы на телефоне выключить полностью, не «забыть».

Скиньте вывод трёх команд если застряли. Словами «интернета нет» я уже наизусть знаю. А у кого-то так же?

lexa92 спасибо, я как раз в этом ((
на айфоне кружок зелёный хендшейк вроде есть а chatgpt регион домашний пишет.
я молодец конечно, пока только wg show смотрел)
три команды ща скину. а iptables это та штука с masquerade да? я там ничего не понимаю.
днс 1.1.1.1 в клиенте стоит. или я снова что-то забыл?
второй впн от работы вроде выключил.

kirill_nsk домашний регион при зелёном кружке — это не «интернета нет». это хуже. пакеты идут мимо туннеля. сайты и оператор видят домашний ip, а ты смотришь на индикатор.

днс 1.1.1.1 в клиенте уже стоит. дальше он не спасёт. если AllowedIPs не 0.0.0.0/0, chatgpt уйдёт в обход даже при живом handshake. 10.8.0.0/24 — доступ к своей сетке, не выход в интернет через сервер.

iptables с masquerade — да, это nat. без него сайты просто не открывались бы. у тебя открываются, просто «дома». ломается не nat, а маршрут. masquerade на eth0 или ens3, не на wg0. lexa92 три команды уже назвал. без вывода это гадание.

kirill_nsk писал:
второй впн от работы вроде выключил

«вроде» не выключатель. профиль выключи и убери. два туннеля на айфоне — handshake зелёный, трафик течёт куда удобнее системе. icloud private relay тоже выключи.

без kill switch любой сбой снова отдаёт домашний ip. кружок этому не мешает.

проверка не chatgpt. с айфона ifconfig.me. какой ip показывает — сервера или домашний? если домашний, туннеля для трафика нет.

зелёный кружок без маршрута — это не vpn, это виджет.

n1kita, с маршрутом согласен. «виджет» — нет.

n1kita писал:
зелёный кружок без маршрута — это не vpn, это виджет.

данная схема работает иначе. handshake живой, туннель есть. нет маршрута наружу. на кенетике у людей вечно то же, только виноват NAT, не AllowedIPs. у kirill_nsk телефон — ставьте 0.0.0.0/0, не подсеть. OpenVPN хотя бы лог читается.

pavel_63 handshake без маршрута — рукопожатие с пустотой. сайты видят дом, не сервер.

pavel_63 кружок без маршрута врёт. называй как хочешь. кенетик — nat, тут AllowedIPs. OpenVPN лог не спасёт.

pavel_63 спасибо, я как раз на телефоне.

глянул конфиг, там allowedips 10.8.0.0/24 стоит да ((( думал это и есть весь туннель.

я молодец конечно, кружок зелёный смотрел а циферки нет.

ща поставлю 0.0.0.0/0 как ты сказал. а можно попроще, ifconfig.me с айфона в сафари просто открыть?

n1kita маршрут верный. Про виджет хватит, у kirill_nsk телефон, не кенетик.

kirill_nsk 10.8.0.0/24 — это до своей сетки, chatgpt уйдёт мимо. Ставь 0.0.0.0/0. ifconfig.me в сафари можно, смотри ip сервера. Три команды так и не скинул. Цифры в AllowedIPs важнее любого кружка.

n1kita, пустотой туннель не назовёшь.

n1kita писал:
handshake без маршрута — рукопожатие с пустотой

данная схема работает иначе. пир ответил, интерфейс поднят. нет 0.0.0.0/0 — пакеты идут мимо, сайты видят дом. это кривой маршрут, не виджет. у kirill_nsk как раз 10.8.0.0/24 стояло. OpenVPN лог тут правда не спасёт.

pavel_63 называй кривым маршрутом. сайтам всё равно. домашний ip при зелёном кружке — туннеля нет.

pavel_63 я поставил 0.0.0.0/0 как ты сказал.

ifconfig.me в сафари открыл, ip не домашний вроде. chatgpt регион уже не пишет.

я конечно опять эти цифры минут десять как гороскоп смотрел)) это уже выход через сервер или днс ещё копать?

pavel_63 я ещё чуть потыкался с телефона.

claude тоже открылся, регион не пишет. chatgpt так же. ifconfig.me в сафари не домашний ip показывает.

теперь днс. сайты вроде грузятся, но я уже сто раз днс к оператору увозил и кружок при этом зелёный. как с айфона попроще глянуть что резолвится через сервер а не через мегафон? какой-то сайт есть или в сафари где-то смотреть?

и ikevpn от работы. ползунок выключил а в настройках он всё равно отдельной строкой торчит. это уже не мешает или он может маршрут тихо перебить?

lexa92 три команды с винды так и не скинул, я ж на айфоне. только кружок и сафари, я сам не понял что ещё отсюда вытащить))

если чаты открылись и ip не домашний — это уже выход через сервер? или днс всё равно копать отдельно?

pavel_63 wan через сервер. днс отдельно. 1.1.1.1/help в сафари. ikevpn удали профиль. ползунок врёт как кружок.

kirill_nsk писал:
это уже выход через сервер?

n1kita прав. wan да, днс нет. 1.1.1.1/help в сафари. Профиль ikevpn удали.

lexa92 три команды с винды он тебе с айфона не вытащит)

lexa92 писал:
wan да, днс нет

так и есть. 1.1.1.1/help в сафари — там чей резолвер. если мегафон, dns в конфиге клиента WireGuard. ikevpn сноси профилем, ползунок как кружок уже врал.

n1kita, wan от днс вы сейчас отделили верно. У kirill_nsk ifconfig.me уже не домашний, chatgpt регион не пишет — пакеты через сервер идут. Кружок про резолвер молчит. Это не «туннеля нет», это два разных слоя.

n1kita писал:
wan через сервер. днс отдельно

Пир ответил, маршрут стоит — выход живой. Днс при этом спокойно сидит у мегафона: сайты открываются, а «регион» завтра вернётся.

n1kita писал:
ползунок врёт как кружок

На айфоне ikevpn от работы — не выключатель, а профиль. Ползунок выключили, профиль жив и может тихо перебить и маршрут, и днс. УДАЛИТЕ профиль, не ползунок.

kirill_nsk, на оба вопроса сразу: чаты открылись и ip не домашний — да, выход через сервер уже есть. Днс копать отдельно.

С айфона, без тех трёх команд, которые с телефона не вытащить. Сафари: 1.1.1.1/help, смотрите resolver. Если мегафон — днс мимо, сколько бы чаты ни открывались. В пире WireGuard пропишите DNS = 1.1.1.1, туннель сняли и подняли заново. Потом снова help: должно быть Cloudflare, а ifconfig.me по-прежнему ip сервера.

Самое частое после «кружок зелёный, интернета нет»: wan починили, днс оставили оператору. На кенетике люди спотыкаются об то же плюс NAT. У вас роутера нет, телефон сам клиент.

Если после удаления профиля на help снова оператор — напишите, что именно строка показывает. А у кого с рабочего ikevpn после «выключил ползунок» днс всё равно уезжал?

kirill_nsk с винды три команды ты не вытащишь, kate_ekb это уже сказала. Дальше с телефона.

kirill_nsk писал:
как с айфона попроще глянуть что резолвится через сервер а не через мегафон?

Сафари, не хром. 1.1.1.1/help. Смотри Connected to 1.1.1.1 и resolver. Мегафон или as оператора в этих строках — днс мимо туннеля. Чаты при этом открываются, регион завтра вернётся.

ikevpn: ползунок выключен — профиль жив. Настройки, VPN и управление устройством, удали профиль. Пока строка торчит, он может перебить и маршрут, и днс. Это уже не первый раз у тебя.

kirill_nsk писал:
это уже выход через сервер? или днс всё равно копать отдельно?

ifconfig.me не домашний — wan через сервер. DNS копать отдельно. Кружок зелёный всегда, он про handshake, не про резолвер.

В клиенте WireGuard должна быть строка

DNS = 1.1.1.1

Если пусто — айфон отдаст мегафону, сколько бы 0.0.0.0/0 ни стояло. После правки туннель выключи и включи, частный адрес wifi сбрось, проверь ещё с сотовой.

Скинь что help написал в Connected и resolver. Без этого дальше гадать не буду.

lexa92 dns строку он ещё не скинул. help сначала, конфиг потом)

kate_ekb да, пусть сначала help скинет, а то я в этих строках как клиент в плагинах — сразу всё сломаю))

lexa92 писал:
Сафари, не хром. 1.1.1.1/help.

хром мне как раз врал — кружок зелёный, а сайт клиента открывался как дома. я уже плагин винила. kirill_nsk, сафари лучше открой, там хоть видно чей днс.

olya_web спасибо что пнула про сафари. я на обеде хром открыл по привычке, уже палец на адресной, потом твой пост увидел.

olya_web писал:
хром мне как раз врал

перешёл в сафари. 1.1.1.1/help открылся, там куча английского.

connected to 1.1.1.1 — no.
using dns over https — no.
as name megafon или мегафон, я уже путаю как там написано. resolver не cloudflare точно.

чаты при этом открываются. я эти no минут десять разглядывал как будто это сломанный макет, а не днс 🤦

ikevpn строка в настройках всё ещё висит. профиль сносить страшно, это рабочий, обратно сама не встанет.

lexa92 dns строку в вайргард ещё не ставил, kate_ekb сказала help сначала. это оно да? днс у мегафона. дальше dns = 1.1.1.1 дописать и туннель переподнять или сначала ikevpn профиль снести?