5.2 (B.0) wireguard: Wireguard3: invalid MAC of handshake

[Mag-Cat]

На Keenetic Viva KN-1912 EAEU использую ascWG 3.1 через штатный компонент WireGuard. Подключение создано импортом оригинального .conf из ascVPN.

После перехода на KeeneticOS 5.2 Alpha 11 (5.02.A.11.0-1) регулярно появляются сообщения:

wireguard: Wireguard3: invalid MAC of handshake, dropping packet from XX.XX.XX.XX:39178

Обновление до 5.2 Beta 0 (5.02.B.0.0-0) проблему не устранило. VPN при этом работает, успешные рукопожатия происходят, трафик передаётся. Ошибки идут сериями; журнал содержит сводки повторов и net_ratelimit: callbacks suppressed.

Проведённые проверки:

- На сервере работает ascWG; версия tools — v3.1.20260812.

- Параметры исходного профиля совпадают с рабочими настройками сервера.

- В self-test проверена сохранённая конфигурация Wireguard3: параметры AWG 3.1, HeaderProtectionKey, публичный ключ сервера и PresharedKey совпадают с импортированным профилем.

- Для роутера, телефона и Mac созданы отдельные пользователи. Ошибки возникают и при отключённых VPN на телефоне и Mac.

- На iPhone с ascVPN 5.0.3.0 в приложенном журнале успешно проходят первоначальное и повторные рукопожатия; ошибок MAC нет.

Основные параметры:

Jc = 5

Jmin = 10

Jmax = 50

S1 = 97

S2 = 102

S3 = 37

S4 = 12

H1 = 1

H2 = 2

H3 = 3

H4 = 4

ContentPaddingAddition = 10-100

RekeyAfterTime = 100-120

RekeyTimeout = 3-7

RejectAfterTime = 150-180

KeepaliveTimeout = 5-15

MaxHandshakeAttempts = 15-20

RandomTrailers = on

DisableCookies = on

Защита заголовков включена. MTU на роутере — 1324, на телефоне — 1280. Подключение к серверу идёт через PPPoE, адрес провайдера находится в диапазоне CGNAT.

Также выполнен захват на внешнем интерфейсе сервера 03.10.2026 с 18:06:51 до 18:11:50 UTC — 21:06:51–21:11:50 МСК:

- Записано 256 198 пакетов, потерь при захвате нет.

- При анализе обнаружены три обмена рукопожатиями с корректным MAC.

- В журнале роутера за этот интервал — 16 явных сообщений invalid MAC, а также сводки повторов.

- Ни одно из этих 16 сообщений не совпало с отправкой сервером реального пакета рукопожатия в пределах ±2 секунд.

Возникло предположение об ошибочном распознавании отдельных пакетов данных как рукопожатий, однако захват на стороне роутера пока не выполнялся, поэтому причина не подтверждена.

Прошу проверить, известна ли такая проблема в штатной реализации AWG 3.1, и подсказать, какие дополнительные данные нужны для диагностики.
 

[Сергей Петров]

В 05.10.2026 в 10:22, Mag-Cat сказал:

На Keenetic Viva KN-1912 EAEU использую ascWG 3.1 через штатный компонент WireGuard. Подключение создано импортом оригинального .conf из ascVPN.

После перехода на KeeneticOS 5.2 Alpha 11 (5.02.A.11.0-1) регулярно появляются сообщения:

wireguard: Wireguard3: invalid MAC of handshake, dropping packet from XX.XX.XX.XX:39178

Обновление до 5.2 Beta 0 (5.02.B.0.0-0) проблему не устранило. VPN при этом работает, успешные рукопожатия происходят, трафик передаётся. Ошибки идут сериями; журнал содержит сводки повторов и net_ratelimit: callbacks suppressed.

Проведённые проверки:

- На сервере работает ascWG; версия tools — v3.1.20260812.

- Параметры исходного профиля совпадают с рабочими настройками сервера.

- В self-test проверена сохранённая конфигурация Wireguard3: параметры AWG 3.1, HeaderProtectionKey, публичный ключ сервера и PresharedKey совпадают с импортированным профилем.

- Для роутера, телефона и Mac созданы отдельные пользователи. Ошибки возникают и при отключённых VPN на телефоне и Mac.

- На iPhone с ascVPN 5.0.3.0 в приложенном журнале успешно проходят первоначальное и повторные рукопожатия; ошибок MAC нет.

Основные параметры:

Jc = 5

Jmin = 10

Jmax = 50

S1 = 97

S2 = 102

S3 = 37

S4 = 12

H1 = 1

H2 = 2

H3 = 3

H4 = 4

ContentPaddingAddition = 10-100

RekeyAfterTime = 100-120

RekeyTimeout = 3-7

RejectAfterTime = 150-180

KeepaliveTimeout = 5-15

MaxHandshakeAttempts = 15-20

RandomTrailers = on

DisableCookies = on

Защита заголовков включена. MTU на роутере — 1324, на телефоне — 1280. Подключение к серверу идёт через PPPoE, адрес провайдера находится в диапазоне CGNAT.

Также выполнен захват на внешнем интерфейсе сервера 03.10.2026 с 18:06:51 до 18:11:50 UTC — 21:06:51–21:11:50 МСК:

- Записано 256 198 пакетов, потерь при захвате нет.

- При анализе обнаружены три обмена рукопожатиями с корректным MAC.

- В журнале роутера за этот интервал — 16 явных сообщений invalid MAC, а также сводки повторов.

- Ни одно из этих 16 сообщений не совпало с отправкой сервером реального пакета рукопожатия в пределах ±2 секунд.

Возникло предположение об ошибочном распознавании отдельных пакетов данных как рукопожатий, однако захват на стороне роутера пока не выполнялся, поэтому причина не подтверждена.

Прошу проверить, известна ли такая проблема в штатной реализации AWG 3.1, и подсказать, какие дополнительные данные нужны для диагностики.
 

Судя по конфигу, он от toolza. Ну эт я так, к слову. У меня точно такие же ошибки

[Mag-Cat]

20 часов назад, Сергей Петров сказал:

Судя по конфигу, он от toolza. Ну эт я так, к слову. У меня точно такие же ошибки

Не, конфиг из офф приложения. На сервере офф контейнер установлен. 

[antialt]

конфиг в ошибках, конкретно в 3.1

 

Цитата

 

Jc

При header protection размер рукопожатия не выдаёт протокол — junk-пакеты не обязательны.

 

S1 = S2 = S3 = S4 ≥ 12

Учтите: паддинг транспортных пакетов (S4) заметно снижает скорость туннеля.

В протоколе AmneziaWG булевы флаги задаются только цифрами

RandomTrailers = 1
DisableCookies = 1

ContentPaddingAddition = 10-100

• Добавление до 100 байт рандомного мусора к каждому пакету - это слишком большой оверхед.

 AWG⋅Manager поможет подобрать конфиг и побороть подобные ляпы.  

Изменено 7 октября пользователем antialt

[Mag-Cat]

6 часов назад, antialt сказал:

конфиг в ошибках, конкретно в 3.1

 

 AWG⋅Manager поможет подобрать конфиг и побороть подобные ляпы.  

Спасибо. Уточните, пожалуйста: вы считаете обязательным равенство S1–S4 или только значение каждого ≥12? В моём профиле все четыре значения ≥12. Официальный парсер amneziawg-tools принимает on/off наряду с 0/1. Какие именно параметры могут вызвать invalid MAC, а не только увеличить накладные расходы? При одновременном захвате на сервере и роутере реальные handshake имели корректный MAC1.

[laed26]

Всем привет! Кто-то замечал что после перегрузки роутера не восстанавливается подключение через WG 3.1 ? Тоже баг?
Приходится вручную выключать и включать

Изменено Вторник в 09:39 пользователем laed26