+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Surfshark VPN не работает с WG на MT

Surfshark VPN не работает с WG на MT, RouterOS

wuhoatu

Guest

19.11.2022 10:19:00

Мне нужна сторонняя VPN-система. Я попробовал Surfshark VPN с WireGuard на своем Hex S, но, похоже, Surfshark не работает с WG на MT. Не могли бы вы мне помочь? Большое спасибо! Вот скрипт, который я использую:

# model = RB760iGS

/interface wireguard
add listen-port=13231 mtu=1420 name=WG-Surfshark

/ip pool
add name=dhcp_pool0 ranges=192.168.1.101-192.168.1.164

/ip dhcp-server
add address-pool=dhcp_pool0 interface=LAN name=LocalDHCP

/routing table
add disabled=no fib name=to-WGuard

/interface wireguard peers
add allowed-address=0.0.0.0/0 endpoint-address=hk-hkg.prod.surfshark.com \
endpoint-port=51820 interface=WG-Surfshark public-key=\
"JYHdktdtuM7inbtsxRKSDpnBVTWQ5+QLZ/cWWmf4VRg="

/ip address
add address=192.168.1.1/24 interface=LAN network=192.168.1.0
add address=10.14.0.2/16 interface=WG-Surfshark network=10.14.0.0

/ip dhcp-server network
add address=10.14.0.0/16 dns-server=162.252.172.57,149.154.159.92 gateway=\
10.14.0.1

/ip dns
set servers=162.252.172.57,149.154.159.92

/ip firewall mangle
add action=accept chain=forward out-interface=WG-Surfshark src-address=\
192.168.1.0/24

/ip firewall nat
add action=masquerade chain=srcnat out-interface=WG-Surfshark

/ip route
add check-gateway=bfd disabled=no dst-address=0.0.0.0/0 gateway=WG-Surfshark \
routing-table=to-WGuard suppress-hw-offload=no

/routing rule
add action=lookup disabled=no src-address=192.168.1.0/24 table=to-WGuard

Но через WG не проходит трафик. ipleak.net продолжает показывать мой публичный IP от провайдера, а не Surfshark. В /ip firewall nat трафика нет, но в интерфейсе WG он виден, как на фото:

Если я настрою статическую маршрутизацию локального IP через WG, клиент перестает выходить в интернет.

add action=mark-routing chain=prerouting dst-address-list=!DomesticIP \
dst-address-type=!local new-routing-mark=to-WGuard passthrough=no \
src-address=192.168.1.7

Конфиг Surfshark для WG выглядит так:
#
# Используйте этот конфиг с WireGuard клиентом
#
[Interface]
Address = 10.14.0.2/16
PrivateKey = <Private Key here>
DNS = 162.252.172.57, 149.154.159.92

[Peer]
PublicKey = JYHdktdtuM7inbtsxRKSDpnBVTWQ5+QLZ/cWWmf4VRg=
AllowedIPs = 0.0.0.0/0
Endpoint = hk-hkg.prod.surfshark.com:51820

t4thfavor

Guest

08.03.2023 20:19:00

Я не понимаю, что происходит, даже сайт surfshark сегодня не могу загрузить. На всякий случай поставил MTU на 1350, но ничего не изменилось. Пингуются и IP-адреса, и имена в интернете, а страницы всё равно не открываются.

wuhoatu

Guest

07.01.2023 10:44:00

Surfshark VPN наконец-то работает с моим Hex S и Wireguard. Самое главное — изменить скрипт mangle для MSS:

/interface wireguard
add listen-port=51820 mtu=1420 name=WG-Surfshark

/routing table
add disabled=no fib name=to-WireGuard

/interface wireguard peers
add allowed-address=0.0.0.0/0 endpoint-address=sg-sng.prod.surfshark.com endpoint-port=51820 interface=WG-Surfshark public-key=“Public Key of VPN Server Here”

/ip address
add address=10.14.0.2/16 interface=WG-Surfshark network=10.14.0.0

/ip firewall mangle
add action=change-mss chain=forward comment=“Modification for Surfshark” new-mss=clamp-to-pmtu passthrough=yes protocol=tcp tcp-flags=syn
add action=mark-routing chain=prerouting dst-address-list=YourIP_List dst-address-type=!local new-routing-mark=to-WireGuard passthrough=yes src-address=192.168.1.0/24

/ip firewall nat
add action=masquerade chain=srcnat comment=“WG-Hongkong VPN” out-interface=WG-Surfshark

/ip route
add check-gateway=bfd disabled=no distance=1 dst-address=0.0.0.0/0 gateway=WG-Surfshark pref-src=“” routing-table=to-WireGuard scope=30 suppress-hw-offload=no target-scope=10

Newbienoob Guest	#4 0 09.01.2023 20:12:00 Привет! Вопрос: YourIP_List — это внутренний подсет для использования в WG или IP-адрес сервера WG? Заранее спасибо всем за ответы.

t4thfavor

Guest

06.03.2023 19:52:00

Сегодня я настроил Surfshark через WireGuard на своём 4011. Всё работает, но заметил, что многие сайты просто банят конечные IP-адреса. Торренты идут без проблем, а вот если пытаюсь зайти на YouTube или многие другие сайты, соединение просто время от времени обрывается. Тесты на утечку DNS и IP на их сайте я прохожу, так что знаю, что «работает». Вот такой мой опыт.

anav Guest	#6 0 06.03.2023 19:56:00 Звучит больше как проблема с MTU, если под блокировкой не понимается, что такие сайты, как NETFLIX, могут обнаружить, что с одного IP-адреса заходит куча пользователей, и просто закрыть доступ.

anav

Guest

08.03.2023 23:59:00

Что Surfshark советует использовать для MTU? Если есть конкретные рекомендации, обязательно установите это на интерфейсе WIREGUARD. Если нет, предположите значение по умолчанию и проверьте, работает ли оно — 1420. Если не работает, попробуйте 1500. Если и это не помогает, вернитесь к 1420 на интерфейсе wireguard и попробуйте применить правило clamp:

add action=change-mss chain=forward comment="Modification for Surfshark" new-mss=clamp-to-pmtu passthrough=yes protocol=tcp tcp-flags=syn

Если это не сработает, попробуйте 1500 с правилом clamp. Если и это не помогло, дальше не знаю, что делать. В крайнем случае вернитесь на прошивку 7.6 и попробуйте всё вышеописанное снова…

deltaplaned Guest	#8 0 08.04.2023 23:52:00 Работает! Спасибо за подробные шаги! Было бы здорово создать новую тему с этим решением в первом сообщении.

almrasi Guest	#9 0 21.05.2023 06:22:00 Привет, профессионал, большое спасибо!

lf777

Guest

#10

30.06.2023 16:53:00

Привет, маршрут, добавленный командой /ip route add check-gateway=bfd disabled=no distance=1 dst-address=0.0.0.0/0 gateway=WG-Surfshark pref-src=“” routing-table=to-WireGuard scope=30 suppress-hw-offload=no target-scope=10, был создан, и его статус стал USI. Причём, непонятно, почему он отображается как U:unreachable. В таблице маршрутизации у меня есть ещё один маршрут с dst-address 0.0.0.0/0 — это была исходная конфигурация без VPN. Кто-нибудь сталкивался с похожей ситуацией?

sebus46 Guest	#11 0 26.08.2024 15:18:00 Точно такой же USI. Убедитесь, что у вас стоит check-gateway="none".

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры