【已解决】wire_guard参数AllowedIPs有什么限制吗？有时无法链接

C.w

为方便查阅资料打算用wire_guard组网。

目前服务端用的Routeros，通过frp服务端口映射到vps上。局域网为192.168.10.*，虚拟组网为172.16.10.*
家里的电脑用的windows客户端，AllowedIPs参数填写192.168.10.0/24,172.16.10.0/24,可以正常访问两个网段，正常上网不用走wire_guard。
以上一切正常。

手机为小米，安卓客户端AllowedIPs参数参照电脑填写无法握手，只有填写0.0.0.0/0才可以握手，但这样手机所有流量都走wire_guard了（网速又慢，又耗费vps的流量）。
按理说协议握手跟这个参数没有关系，这个功能只是类似于路由表，即使填错了只是影响访问，而不至于无法握手成功。
尝试解决：删除重新配置、重启等方法都测试了，没有效果。实在想不通，就尝试把AllowedIPs的ip范围缩小试试，通过不断调整掩码，最后发现AllowedIPs参数填上64.233.189.188/32这个ip就可以握手成功，但用了几次之后又失效了，重新测试填入36.155.*.*/32的ip又可以握手了。当然目前又变了。
有没有大神可以解释下。

感谢各位帮忙分析，刚看了下原理才恍然大悟。
参数都没问题，其实都是可以正常连接的。我一直以为打开客户端连接后应该显示握手成功，刚刚才知道如果不发送数据是不会进行握手操作的。我上面发现并填入的ip其实是我的手机会周期性访问的地址，wireguard一连接就会触发握手操作。

mantouboji

显然你不老实，隐藏了许多重要的信息，逗我们玩吗？
先把你全部配置都贴出来再说吧。所谓的公钥私钥遮住即可。

C.w

mantouboji 发表于 2025-1-11 17:56
显然你不老实，隐藏了许多重要的信息，逗我们玩吗？
先把你全部配置都贴出来再说吧。所谓的公钥私钥遮住即 ...

参数截图已贴出，在1楼

C.w

mantouboji 发表于 2025-1-11 17:56
显然你不老实，隐藏了许多重要的信息，逗我们玩吗？
先把你全部配置都贴出来再说吧。所谓的公钥私钥遮住即 ...

当然，填入36.155.0.0/16有的时候也连不上，跟用wifi和流量没关系。同样网络环境windows版的客户端就正常使用。不知道是不是版本兼容问题，安卓客户端我是在wireguard官网下载的v1.0.20231018。ros是7.13.4，esxi环境

mantouboji

莫名其妙的36.155，你说的“ 通过frp服务端口映射到vps上”又是什么骚操作？

C.w

mantouboji 发表于 2025-1-12 15:29
莫名其妙的36.155，你说的“ 通过frp服务端口映射到vps上”又是什么骚操作？

ros没有公网ip，通过frp内网穿透到公网，frp服务端在我的vps上。
不过跟这个关系不大，即使在ros所在的局域网，用局域网ip链接也有同样问题

Shinglee

很明显你这组网成环了啊，你仔细想想你的流量是怎么走的。思路不要僵化，简单的问题搞的这么复杂。
你直接把 wg server 端放在 vps 上，让你的家里ros和外网机器都当 client 端，就能组成一个大网络了啊。

C.w

Shinglee 发表于 2025-1-13 10:05
很明显你这组网成环了啊，你仔细想想你的流量是怎么走的。思路不要僵化，简单的问题搞的这么复杂。
你直接 ...

感谢各位帮忙分析，刚看了下原理才恍然大悟。
参数都没问题，其实都是可以正常连接的。我一直以为打开客户端连接后应该显示握手成功，刚刚才知道如果不发送数据是不会进行握手操作的。我上面发现并填入的ip其实是我的手机会周期性访问的地址，wireguard一连接就会触发握手操作。

mantouboji

WireGuard是个很安静的协议，你没有数据传输他就不会发送数据包。你Persist Keepalive那个地方没有填数字，如果这种静默时间太长，底层路由器链路上的各种NAT可能会超时撤销，导致反向数据发送不成功，呈现断线状态。

所以这里一般都要写个数字，即便没有数据流量也主动发送一个心跳数据包，保持NAT状态。常用的数值是25。

C.w

mantouboji 发表于 2025-1-14 01:04
WireGuard是个很安静的协议，你没有数据传输他就不会发送数据包。你Persist Keepalive那个地方没有填数字， ...

感谢回复，测试了下确实如您所说，我单位环境nat生存时间差不多30秒左右。组网我就用Persist Keepalive参数保活，手机主动访问的为了省电省流量，就不用Persist Keepalive参数