Настройка Wireguard

Сразу прошу прощения за такой заголовок. Я в отчаянии и точно не знаю в чем проблема.
Небольшое предисловие. Думал будет куда проще, чем оказалось.
Пытаюсь объединить две сети, два офиса по wireguard.
Для начала хочу добиться стабильного соединения, у меня это не получается.
Сначала не мог направить трафик куда нужно, у меня подключение к провайдеру и уже давно настроенное подключение к ВПН через другой сервер по l2tp. Я хочу их объединить напрямую, чтобы скорость была выше, пинг поменьше.
Думал проблема в провайдере сначала, но потом детально посмотрел через packet sniffer, что ответные пакеты просто не туда уходят, не через тот интерфейс. Исправил через mangle, вроде бы. Маркирую по порту. В целом, в этом нет проблемы уже.
Но суть не в этом.

Проблема оказалась в другом. Прямо сейчас иногда получается установить соединение, а иногда нет.
Стал смотреть через packet sniffer и обнаружил, что пакеты приходят правильные, с правильным портом, а ответ от mikrotik с wireguard, настроенного в качестве сервера, с неправильным портом. Т.е. rx src.port и dst.port верные, а tx src.port и dst.port неверные. Неверный именно src.port. Скриншот из packet sniffer приложил.

18281 порт - сервер
18283 порт - клиент
27314 порт - этот неверный, где он появляется не пойму. Должен быть 18281 на этом месте.

Я так понимаю, дело в NAT, но не уверен до конца.
Т.е. у роутера подключение к интернету с белым айпишником, а подключиться пытаюсь с провайдера с серым айпишником, ну то есть за NAT.
Иногда всё подключается как положено, а иногда вот как на скриншоте и рукопожатия не происходит.
Спасибо заранее за пояснения.

0

нужно промаркировать входящие подключения, потом сделать в OUTPUT mark routing в таблицу которая смотрит через шлюз провайдера

0

Так? Делал, если что. И тут тоже эти строки публиковал. Может ошибся где?

0

а таблица To UCS есть? какой там дефолт указан?

0

Сообщение от .None а таблица To UCS есть? какой там дефолт указан?

Ну конечно есть.

0

а счетчики на этих правилах увеличиваются?

попробуйте в правиле add action=mark-connection chain=input connection-mark=no-mark in-interface=ucs-pppoe new-connection-mark=To-ucs-ppoe
заменить chain на prerouting

0

Сообщение от .None а счетчики на этих правилах увеличиваются? попробуйте в правиле add action=mark-connection chain=input connection-mark=no-mark in-interface=ucs-pppoe new-connection-mark=To-ucs-ppoe заменить chain на prerouting

Увеличиваются. И prerouting я тоже делал, они у меня даже совместно были включены. И по-моему это правило я тоже на предыдущей странице показывал.

Думаю, тут надо опытному сетевику разворачивать что-то подобное и тестировать. Но вряд ли это кому надо.
Возможно, это вообще баг какой-то. Я бы написал в саму контору, но я в этом не уверен до конца, да и вряд ли смогу правильно им объяснить. А может это вообще не баг, а так и должно быть.

Прямо сейчас я объединил обе сети через VPS, всё работает прекрасно, скорость хорошая, wireguard гораздо лучше, чем у меня было до этого через l2tp и gre туннели, но вот хотелось бы ещё чуть лучше на случай, если отвалится промежуточный сервак.
Хотел попробовать сделать напрямую через l2tp, но что-то подозреваю, вряд ли это будет лучше по производительности и скорости чем через WG.

0

ну не знаю, должно работать, если есть желание, стукните в телеграм в подписи, по энидеску посмотрю что там и как
понятно что напрямую будет лучше

1