Не устанавливаются TCP-соединения

[Maxon19]

KN-1811, 5.2 Beta 0/1 — ascWG: через роутер не устанавливаются TCP-соединения к отдельным адресам (Cloudflare 8.6.112.0/24, 8.47.69.0/24), тот же конфиг в клиенте ascVPN работает

Оборудование и ПО

• Keenetic Ultra (KN-1811)
• KeeneticOS 5.2 Beta 0, затем 5.2 Beta 1 (preview), канал для разработчиков. Проблема есть на обеих
• Подключение к провайдеру: PPPoE
• VPN: ASC Premium, ascWG (ASC с сигнатурными пакетами), импорт .conf через «Загрузить из файла». Проверено на двух локациях (Испания, Нидерланды) и трёх разных ключах

Схема
Точечная маршрутизация: DNS-маршрут со списком доменов → интерфейс WireGuard, плюс статические маршруты 8.6.112.0/24 и 8.47.69.0/24 → тот же интерфейс. Основное подключение (PPPoE) выше WireGuard в «Политике по умолчанию».

Проблема
TCP-соединения к chatgpt.com (резолвится в 8.6.112.0 и 8.47.69.0) через тоннель роутера в большинстве случаев не устанавливаются: SYN теряется, curl завершается по таймауту с tcp=0. Изредка соединение проходит, но с задержкой 1–7 с (повторы SYN). Другие сайты через тот же тоннель (claude.ai, YouTube, tg) работают без потерь. Проблема плавающая, бывают периоды полной работоспособности.

Замеры (20 запросов curl https://chatgpt.com/cdn-cgi/trace, таймаут 8 с):

Вариант	Результат
Mac → роутер → WireGuard (NL), точечная маршрутизация	0 из 20
Mac → роутер → WireGuard (NL), политика с единственным подключением NL (весь трафик клиента в тоннель)	0 из 15
Mac → роутер → WireGuard (ES)	от 0 до 4 из 20 в разное время
Тот же .conf NL в клиенте AmneziaVPN на Mac, в той же домашней сети, у того же провайдера (интерфейс NL на роутере выключен)	20 из 20, tcp ≈ 0,05 с
Клиент ascVPN на iPhone, мобильная сеть, Испания	стабильно работает

С роутера tools ping 8.6.112.0 через тоннель: ответов нет. В журнале было замечено Network::RoutingTable: added/deleted static route: 8.47.69.0/24 via Wireguard0 при маршруте с «Добавлять автоматически». После перевода на постоянный маршрут удаления прекратились, но проблема осталась.

Что исключено

• Конфиг и сервер: тот же .conf, ключ и входной узел работают в клиенте
• Списки маршрутизации: при политике «весь трафик клиента через WireGuard» проблема та же
• DNS: адреса от DNS роутера и от 1.1.1.1 / 8.8.8.8 совпадают
• MTU: соединение не доходит до TLS, теряется уже SYN. MTU интерфейса 1324, adjust-mss pmtu включён
• Аппаратное ускорение: no ppe hardware не помогло
• IPv6: проверка curl -4
• Конфликт ключей: на время тестов ключ использовался только в одном месте
• Откат на 5.1 невозможен: конфиг с новыми параметрами ASC на 5.1 не поднимается

Похоже на проблему реализации ascWG/ASC в 5.2 (см. также тему «5.2 (B.0) wireguard: invalid MAC of handshake»): часть пакетов к определённым адресам теряется в тоннеле роутера, хотя клиент с тем же конфигом работает.

Готов снять дополнительную диагностику (self-test, захват пакетов) по запросу.

 

[HEcaxap]

Добрый вечер, @Maxon19

Ваше сообщение с селф-тестом опубликовано отдельным сообщением, скрыто и доступно теперь только модерaторам. Публикация селф-теста в открытом доступе может быть небезопасна, поэтому обязательно скрывайте такие сообщения (три точки в верхнем правом углу - скрыть).