WireGuard 連不上：照這七步查，每一步都給你一個確定的答案

charles

這篇的內容（18 段）

1. 這篇假設的環境
2. 3-1 你是不是在 CGNAT 後面
3. 3-2 埠號對不對
4. 3-3 路由器的埠轉發
5. 4-1 不要用看的，用算的
6. 4-2 反方向也要驗
7. 4-3 複製的時候多了東西
8. 4-4 `allowed-address` 互相重疊
9. 4-5 系統時間差太多
10. 5-1 先確認到底哪一段不通
11. 5-3 伺服器有沒有開封包轉發
12. 5-5 目標設備自己擋住了
13. 5-6 目標設備沒設預設閘道
14. 6-1 先確認 DNS 走到哪去了
15. 7-1 為什麼預設的 1420 不一定對
16. 7-3 算出該填的數字
17. 7-4 兩端都要改
18. 一分鐘自檢清單

WireGuard 幾乎不給錯誤訊息。連不上的時候它不會說「密碼錯誤」也不會說「連線逾時」，就是安靜地什麼都沒發生。

所以只能靠排除。這篇的每一步都設計成一個二選一的判定：下一個指令，看一個輸出，得到「往左走」或「往右走」，不是「可能是這個也可能是那個」。



這篇假設的環境

• 家裡的內網 `192.168.88.0/24`，伺服器在 `192.168.88.20`（Linux / Docker）或是路由器自己（RouterOS）
  
• 隧道網段 `10.20.30.0/24`
  
• 對外位址 `114.32.80.149`，WireGuard 聽在 UDP `51820`
  

你的數字不一樣的話，下面每個指令裡的對應位置都要換掉。

⚠ 開始之前：測試一定要在家門外

人在家裡、連著自家 Wi-Fi 的時候測 VPN，測到的東西沒有意義：流量根本沒出過家門，而且多數路由器不支援「從內部連自己的對外 IP」（叫做 NAT 回流）。

把手機的 Wi-Fi 關掉、用行動網路。 這一句解決掉的案例比底下七步加起來還多。

---

步驟 1：先看有沒有交握，決定要往哪半邊查

在伺服器上：

1. # Linux / Docker 容器裡
2. sudo wg show
4. # RouterOS
5. /interface/wireguard/peers/print detail

複製代碼

你會看到（Linux 版）：

1. interface: wg0
2.   public key: xTIBA8dJ+YbXQ9r2vKcN0mFe7sLpQwZ3hYuGaVcRtE4=
3.   listening port: 51820
5. peer: 9kLm2XpQwErTyUiOp3AsDfGhJkL5ZxCvBnM8QwE=
6.   endpoint: 203.0.113.88:41235
7.   allowed ips: 10.20.30.2/32
8.   latest handshake: 43 seconds ago
9.   transfer: 380.21 KiB received, 1.24 MiB sent

複製代碼

照這三種結果分岔：

• 完全沒有 `latest handshake` 這一行（RouterOS 是 `last-handshake` 空白） → 從來沒連上過，往步驟 2
  
• 有時間，但是好幾個小時或好幾天前 → 曾經通過，現在斷了。往步驟 2，同時先檢查用戶端設定檔有沒有 `PersistentKeepalive = 25`，沒有的話補上再測
  
• 有時間，而且是幾秒到兩分鐘前 → 隧道本身是好的，問題在路由或 DNS，直接跳步驟 5
  

⚠ 交握時間在兩分鐘上下跳動是正常的。WireGuard 在有流量的時候大約每兩分鐘重新交握一次，沒流量就不動。看到「1 分 50 秒前」不要以為快斷了。

---

步驟 2：封包到底有沒有抵達伺服器（整篇最重要的一刀）

「沒有交握」這個狀態底下藏著兩個完全不同的世界：封包根本沒到（問題在網路路徑上），或是封包到了但談不攏（問題在金鑰設定上）。

不先切開的話，你會一直在改金鑰，而封包連門都沒進來。

在伺服器上開著這個指令：

1. # Linux / Docker 主機
2. sudo tcpdump -ni any udp port 51820
4. # RouterOS：改用防火牆規則的計數器
5. /ip/firewall/filter/print stats where comment="WireGuard"

複製代碼

然後用手機（行動網路）把 WireGuard 打開。

你會看到（Linux 版，有封包進來的話）：

以下還有約 82% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入