Рукаўціск ёсць, інтэрнэту няма: што правіць першым на Windows 11

Свежыя рукаўціскі часта суседнічаюць з браўзерамі, якія нічога не адкрываюць, на Windows 11. Рукаўціск даказвае толькі тое, што абмен UDP з партнёрам завяршыўся. Ён нічога не кажа пра маршрут, які ўсталяваў Windows, пра рэзалвер, які ён выкарыстоўвае, ці пра тое, ці перадае выхад хоць нешта.

Чатыры ўмовы вызначаюць, які з гэтых пластоў адмовіў. Праверка іх па парадку займае хвіліны, а перапісванне ключоў займае даўжэй і нічога не мяняе.

Спачатку вызначце пласт, потым чапайце ключы

Прайдзіце тры пункты прызначэння ў гэтым парадку. Пачніце з адрасу з боку тунэля, потым публічны IP у выглядзе ліку, і скончыце імем хоста. Там, дзе паслядоўнасць абрываецца, і вызначаецца пласт. Збой на першым кроку — гэта маршрутызацыя, на другім — перадача або NAT, на трэцім — развязанне імёнаў.

Гэты парадак і ёсць увесь метад. Ён не дае памылцы DNS быць дыягнаставанай як зламаны тунэль, а гэта самая частая няправільная паваротка тут.

wg show
Find-NetRoute -RemoteIPAddress 1.1.1.1
Resolve-DnsName example.com -Server 1.1.1.1

Калі час рукаўціску пусты

Калі час рукаўціску пусты, зашыфраваны абмен так і не завяршыўся. Значыць, збой знаходзіцца раней за маршрутызацыю. Спачатку паглядзіце на адрас канчатковага пункта і порт, потым на тое, ці фільтруе сетка UDP. Хостынг-правайдар, які адкідае трафік WireGuard, дае менавіта гэта, і кліент, які скапіраваў канчатковы пункт са старога профілю, таксама.

Байты, якія выходзяць, але не прыходзяць, — гэта іншы выпадак. Гэта паказвае на NAT або файрвол, які вяртае трафік не туды.

Калі маршрут прайграе фізічнаму адаптару

Для поўнага тунэля раздзел партнёра мусіць пакрываць пункты прызначэння, якія вы збіраецеся выкарыстоўваць. Windows часам пакідае маршрут па змаўчанні фізічнага адаптара нават пры наладжаным правіле для ўсяго. Падзел правіла для ўсяго на 0.0.0.0/1 плюс 128.0.0.0/1 стварае два больш канкрэтныя прэфіксы, якія перамагаюць у пошуку. Гэты падзел — дакументаваны абыход, а не перавага.

Пацвердзіце гэта праз route print або запытам да публічнага адрасу. Абраны інтэрфейс павінен быць тунэльным адаптарам. Калі фізічны ўсё яшчэ перамагае, выпраўце дыяпазоны партнёра, перш чым чапаць сервер.

Калі адрасы працуюць, а імёны не

WireGuard пераносіць IP-пакеты і не мае меркавання пра DNS. Пастаўце радок DNS = у раздзел інтэрфейса або наладзьце адаптар праз Windows. Без яго ping па адрасе праходзіць, а кожнае імя хоста не развязваецца, і карыстальнікі паведамляюць пра гэта як пра адсутнасць інтэрнэту.

Праверце, якія серверы Windows насамрэч выкарыстоўвае пасля падключэння. Пакінуты рэзалвер на фізічным адаптары тлумачыць частковы збой, калі адны імёны развязваюцца, а іншыя не. Прыбярыце яго, а не дадавайце другі зверху.

Калі машына з Windows — гэта выхад

Internet Connection Sharing перапісвае адрасацыю, калі ўключаны, і гэта можа перамясціць агульны адаптар у іншы дыяпазон. Кліент, які па-ранейшаму паказвае на першапачатковы адрас, тады перастае працаваць. Значэнні рэестра ScopeAddress і StandaloneDHCPAddress кіруюць гэтым дыяпазонам, і налада можа адкаціцца пасля перазагрузкі.

Вартыя ўвагі яшчэ два канфлікты, характэрныя для Windows. Служба Routing and Remote Access можа перашкаджаць тунэлю. Усталёўшчык, сабраны пад няправільную архітэктуру, збайваецца з паведамленнем, якое ніколі не згадвае архітэктуру.

Папраўце той пласт, які назваў тэст, затым паўтарыце тыя ж тры пункты. Змена, якая ратуе тэст імя хоста, але ламае адрас тунэля, была ўжыта не да таго пласта.