AmneziaWG подключается, но нет интернета: причины и решение

Знакомая картина

Иконка VPN в Amnezia горит, статус «подключено», таймер идёт — а браузер крутит колёсико и ничего не грузит. Или иначе: дома по Wi-Fi всё нормально, а стоит переключиться на мобильный интернет — либо VPN вообще не поднимается, либо подключается, но без доступа в сеть. Оба случая — по сути одна и та же проблема: туннель формально установлен, но полезный трафик через него не проходит.

Почему мобильный интернет режет VPN жёстче, чем Wi-Fi

На мобильных сетях оборудование глубокой инспекции трафика (DPI) развёрнуто плотнее и обновляется чаще, чем у многих домашних провайдеров. WireGuard в исходном виде имеет узнаваемый заголовок хендшейк-пакета, который DPI распознаёт почти мгновенно — отсюда и появился AmneziaWG, призванный этот отпечаток скрыть.

Но даже AmneziaWG помогает не всегда: на части мобильных сетей блокировка работает не по сигнатуре протокола, а по поведенческому анализу — объёму и паттерну трафика на нетипичный порт, самому факту шифрованного UDP-туннеля на нестандартный сервер.

Причина 1: DNS не резолвится внутри туннеля

Самый частый сценарий. Пакеты ходят, но запрос имени сайта не доходит до сервера или ответ блокируется на обратном пути. Браузер физически не может узнать IP сайта и зависает на загрузке.

Как проверить: откройте в браузере IP-адрес напрямую, например 1.1.1.1. Если он открывается, а обычные сайты по имени — нет, дело именно в DNS.

Решение: в настройках профиля Amnezia/WireGuard явно укажите рабочий DNS (1.1.1.1 или 8.8.8.8) вместо того, что подставляет провайдер по умолчанию.

Причина 2: оператор блокирует именно этот UDP-порт

Самая частая причина сбоя конкретно в мобильных сетях. Хендшейк может пройти успешно, но дальнейший трафик на этот порт режется избирательно.

Причина 3: агрессивные таймауты NAT на мобильной сети

Соединение устанавливается, но рвётся через несколько секунд простоя — типично для мобильного NAT с короткими таймаутами.

Причина 4: свой сервер не имеет исходящего доступа

Если вы разворачивали VPS под Amnezia самостоятельно: неправильный NAT/forwarding (iptables/nftables), не включён ip_forward в sysctl, либо у хостинга заблокирован исходящий трафик с сервера — такое бывает у дешёвых VPS после жалоб на абьюз. Туннель технически работает, но пакеты дальше сервера не уходят.

Причина 5: DPI режет уже установленную сессию

Иногда хендшейк проходит, статус — «подключено», но дальнейший полезный трафик DPI вырезает выборочно, опознав протокол по сигнатуре уже после установления сессии. Внешне это неотличимо от «подключено, но без интернета» — и тут не помогут ни DNS, ни маршруты, потому что блокируется сам канал.

Когда чинить это самостоятельно уже не имеет смысла

Если самостоятельная настройка VPS, iptables и DNS вас не привлекает изначально — держать свой сервер и чинить его при каждой новой волне блокировок не обязательно. Готовый сервис с заранее настроенным протоколом с маскировкой снимает всю эту возню целиком.

Итог

«Подключено, но нет интернета» в Amnezia почти всегда сводится к трём вещам: DNS не резолвится, оператор режет конкретный порт или уже установленную сессию, либо проблема на стороне собственного сервера. Проверить DNS и AllowedIPs можно за пять минут, но если причина в избирательном DPI — донастройка WireGuard только оттягивает переход на протокол с полноценной маскировкой.