Когда WireGuard съедает собственный маршрут

Мониторинг показывает, что peer недоступен, и подозрение падает на провайдера или фильтрацию. Но иногда туннель теряет связь по собственной таблице маршрутизации: UDP-пакет к публичному endpoint попадает в default route, который уже указывает внутрь этого же WireGuard.

Это классическая рекурсия underlay/overlay. Handshake перестаёт проходить, хотя интерфейс поднят и конфигурация peer не менялась. Проверяйте не только wg show, но и фактический путь до endpoint: ip route get .

Закрепите адрес каждого endpoint отдельным маршрутом через физический шлюз либо настройте policy routing так, чтобы транспорт туннеля не зависел от самого туннеля. Для BGP добавьте фильтры префиксов и защиту от утечки маршрута; для mesh отдельно проверьте, что резервный путь не создаёт петлю.

Проверка на узле: ip route get , ip rule, wg show, tcpdump -ni udp port . Если после смены маршрута handshake исчезает, сначала д...