tcpdump
Добавлено: 23 окт 2026, 15:56
Запустите захваты одновременно, в двух SSH-терминалах:
bash
sudo tcpdump -ni wg0 -nn 'ip and not multicast and not broadcast'
bash
sudo tcpdump -ni tun0 -nn 'ip and not multicast and not broadcast'
Пока они запущены, откройте HTTPS-сайт именно на проблемном устройстве. Если на нём доступна командная строка, можно выполнить curl -4 -I --max-time 10 https://example.com.
Результат покажет, где искать проблему:
На wg0 нет пакета к внешнему IP: он не дошёл до сервера. Проверяйте маркировку и фильтр на MikroTik.
На wg0 пакет есть, а на tun0 нет: проверяйте маршрутизацию и фильтрацию на Debian.
Пакет появился на обоих интерфейсах, но ответа нет: проверяйте обратный путь через tun0.
Ответ виден на tun0, но не на wg0: ищите проблему в обратной маршрутизации или firewall на сервере.
В первую очередь сверьте IP самого тестового клиента. Сейчас правило mangle на MikroTik задано для 10.99.99.17, тогда как в src-sweden у вас был включён 10.99.0.82; в логе DHCP также фигурировал Redmi с 10.49.0.26. Если тестируете с одного из этих адресов, правило может не совпасть. Кроме того, ваш mangle маркирует только TCP-порт 443 и только указанный адрес источника. Правило должно совпадать с IP клиента и назначением трафика, который вы проверяете.
bash
sudo tcpdump -ni wg0 -nn 'ip and not multicast and not broadcast'
bash
sudo tcpdump -ni tun0 -nn 'ip and not multicast and not broadcast'
Пока они запущены, откройте HTTPS-сайт именно на проблемном устройстве. Если на нём доступна командная строка, можно выполнить curl -4 -I --max-time 10 https://example.com.
Результат покажет, где искать проблему:
На wg0 нет пакета к внешнему IP: он не дошёл до сервера. Проверяйте маркировку и фильтр на MikroTik.
На wg0 пакет есть, а на tun0 нет: проверяйте маршрутизацию и фильтрацию на Debian.
Пакет появился на обоих интерфейсах, но ответа нет: проверяйте обратный путь через tun0.
Ответ виден на tun0, но не на wg0: ищите проблему в обратной маршрутизации или firewall на сервере.
В первую очередь сверьте IP самого тестового клиента. Сейчас правило mangle на MikroTik задано для 10.99.99.17, тогда как в src-sweden у вас был включён 10.99.0.82; в логе DHCP также фигурировал Redmi с 10.49.0.26. Если тестируете с одного из этих адресов, правило может не совпасть. Кроме того, ваш mangle маркирует только TCP-порт 443 и только указанный адрес источника. Правило должно совпадать с IP клиента и назначением трафика, который вы проверяете.