Наcтройка vpn wireguard

pmtu ?

Его кастомно нужно указать в конфиге сервера или в клиенте?

Правило прописать в iptables на сервере

Правило прописать в iptables на сервере

Это должно выглядеть так?

# firewall-cmd --permanent --direct --add-passthrough ipv4 -t mangle -I FORWARD -p tcp --syn -j TCPMSS --clamp-mss-to-pmtu

# firewall-cmd --add-rich-rule='rule tcp-mss-clamp value=pmtu'

# firewall-cmd --add-rich-rule='rule tcp-mss-clamp value=1420' Value указываем как 1420 или можно меньше?

Или может указать сразу на интерфейсе?

sudo ip link set dev wg0 mtu 1400

Хотя правило добавил:

# firewall-cmd --permanent --direct --add-passthrough ipv4 -t mangle -I FORWARD -p tcp --syn -j TCPMSS --clamp-mss-to-pmtu

А вот на эту rule ругается:

# firewall-cmd --add-rich-rule='rule tcp-mss-clamp value=pmtu Error: INVALID_RULE: unknown element tcp-mss-clamp

Это должно выглядеть так?
firewall-cmd --permanent --direct --add-passthrough ipv4 -t mangle -I FORWARD -p tcp --syn -j TCPMSS --clamp-mss-to-pmtu

Сорри, не знаток именно firewall-cmd, но выглядит вроде похоже к тому о чем я писал. Только не в таблицу FORWARD а в POSTROUTING.

Cпасибо большое. Но огромного прироста скорости я так не увидел, какие ещё могут быть идеи?

Так ты фрагментацию-то в итоге поглядел? Еще ж провайдер может резать udp. В общем, iperf3 в руки и изучай.

Смотреть iptables-save мы тут не телепаты.

Да, вроде пакеты проходят без потерь

[  4]   0.00-1.01   sec   896 KBytes  7.28 Mbits/sec
[  4]   1.01-2.00   sec  1.88 MBytes  15.8 Mbits/sec
[  4]   2.00-3.01   sec  1.75 MBytes  14.6 Mbits/sec
[  4]   3.01-4.01   sec  1.75 MBytes  14.6 Mbits/sec
[  4]   4.01-5.01   sec  1.88 MBytes  15.7 Mbits/sec
[  4]   5.01-6.00   sec  1.75 MBytes  14.9 Mbits/sec
[  4]   6.00-7.01   sec  1.25 MBytes  10.4 Mbits/sec
[  4]   7.01-8.00   sec  1.75 MBytes  14.8 Mbits/sec
[  4]   8.00-9.01   sec  1.75 MBytes  14.7 Mbits/sec
[  4]   9.01-10.01  sec  1.75 MBytes  14.6 Mbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bandwidth
[  4]   0.00-10.01  sec  16.4 MBytes  13.7 Mbits/sec                  sender
[  4]   0.00-10.01  sec  16.4 MBytes  13.7 Mbits/sec                  receiver

iperf Done.

Смотреть iptables-save мы тут не телепаты.

*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Wed Oct 12 10:23:00 2022
# Generated by iptables-save v1.8.7 on Wed Oct 12 10:23:00 2022
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD -i wg0 -j ACCEPT
-A FORWARD -o wg0 -j ACCEPT
COMMIT
# Completed on Wed Oct 12 10:23:00 2022
# Generated by iptables-save v1.8.7 on Wed Oct 12 10:23:00 2022
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -o ens160 -j MASQUERADE
-A POSTROUTING -o ens160 -j MASQUERADE
COMMIT

iperf3, он показывает фрагментацию.

Есть возможность как-то пофиксить фрагметацию пакетов? или вопрос к провайдеру?

Конечно, подбери подходящий mtu. Начни с 1280 и ползи вверх.

Поддерживаю, только начать с более низкого чисилка, 1280 как общепринятое «640кб хватит всем» :), в моей практике было что и его слишком «много».

Конечно, подбери подходящий mtu. Начни с 1280 и ползи вверх.

Я вот сейчас выставил mtu в конфиге на сервере wg0 1420 а на клиенте 1280 или лучше одинаковые выставлять? Мониторинг тоже иногда флапает, вангую что это как раз связано с фрагментации пакетов «Interface wg0: High error rate (>2 for 5m)» Буду тогда дальше проверять, спасибо