Зачем считать AllowedIPs
В WireGuard AllowedIPs решает, какой трафик уходит в туннель. 0.0.0.0/0 — весь, но тогда пропадает доступ к принтеру, NAS и роутеру в локальной сети. Исключить сеть нельзя — в WireGuard нет «кроме». Поэтому «всё, кроме 192.168.0.0/16» приходится записывать набором подсетей, которые покрывают всё остальное. Калькулятор делает это и сокращает список до минимума.
Частые ошибки
- Endpoint внутри AllowedIPs на роутере: туннель пытается идти сам через себя и рвётся. Исключите IP сервера. Клиенты для Windows, macOS, Android и iOS делают это сами.
- DNS-сервер из конфига вне туннеля: если указан DNS = 10.8.0.1, эта подсеть должна быть в AllowedIPs.
- Только IPv4 при работающем IPv6: сайты с IPv6 пойдут мимо туннеля. Оставьте ::/0 или выключите IPv6 на клиенте.
Готовый конфиг сервера и клиентов — генератор WireGuard. Списки сервисов в других форматах — IP-адреса сервисов. Потери MTU в туннеле — калькулятор MTU.