Небольшой «лайфхак» для WireGuard на Mikrotik

Стабильная работа WireGuard, даже на внутренних каналах сегодня под большим вопросом, как и любых других туннельных протоколов. Поэтому наш способ, выясненный эмпирическим путем, возможно, кому-то пригодится.

Как это бывает, WireGuard работал-работал и вдруг перестал. А так как это протокол без сохранения состояния, то проверить его работу просто посмотрев на список интерфейсов мы не можем, если пир сконфигурирован без ошибок, то интерфейс всегда будет поднят.

И единственный способ определить работу туннеля – это послать пакет на его другую сторону. Косвенным признаком того, что что-то пошло не так является время последнего рукопожатия, которое не должно превышать двух минут.

Если в этой колонке стоят нули или время превысили две минуты, то это означает, что или рукопожатия не было вообще или оно перестало проходить некоторое время назад. Но даже наличие активного рукопожатия не является гарантией работы туннеля, мы не раз сталкивались с ситуацией, когда рукопожатия проходили, а трафик – нет.

На Mikrotik, столкнувшись с внезапной неработоспособностью туннеля можно попробовать следующий способ: на вкладке WireGuard открыть свойства интерфейса и изменить значение Listen Port.

Поставить можно любое другое, главное – чтобы каждый интерфейс имел уникальный порт для своего экземпляра службы. После этого часто все начинает отлично работать, до следующего подобного раза.

Причины и следствия такого поведения мы разбирать не будем, так как это сегодня лежит вне плоскости публичного обсуждения.