Не удается подключиться к логкальным ресурсам через VPN

точно пингуется? нужно убедиться, что на пинг отвечает именно веб сервер, а не кто-то вместо него.

если хост действительно достигаем, но траффика на уровне приложения всё равно нет, тогда возможно фаервол? посмотри curl -v

иначе смотри в таблицы маршрутизации клиенте и сервере wireguard.

Трейсроут долетает до ip WG интерфейса роутера, а куда дальше неизвестно. Curl -trace -v по домену пишет trying….

Командой ping ресурс пингуется

это не конкретезирует, к сожалению. я ставлю на то, что на пинг отвечает wireguard. чтобы убедиться, можешь как-то перерезать траффик между веб сервером и wireguard’ом и увидеть, что пинг скорее всего не пропадёт.

а форвардинг пакетов на wireguard сервере включён?

и что по фаерволам?

Так, сейчас сделал клиентом еще один микротик. При трейсроуте с микротика в офисе все идет как надо на локальные ip адреса, а при трейсе с микроика-клиента, трейсроут упирается в ip WG интерфейса роутера в офисе, так же не должно быть

Доступ по вг есть к внутренним ресурсам, которые находятся непосредственно под роутером в офисе, а доступ к локальным ресурсам, которые находятся в других подсетях в сети нет. То есть, наш роутер подключен к вышестоящему роутеру, остальные ресурсы идут от него и по вг не получается выйти на них

трейсроут упирается в ip WG интерфейса роутера в офисе, так же не должно быть

ну как бы не должно, но это может не иметь отношения к делу, если где-то режется icmp траффик типа time-exceeded. это именно то, что использует traceroute.

То есть, наш роутер подключен к вышестоящему роутеру, остальные ресурсы идут от него и по вг не получается выйти на них

если я правильно понимаю, от вышестоящего роутера нет маршрутов до локальных ресурсов

Да, маршрутов нет, но на роутере включен маскорад. Из сети роутера доступ к ресурсам есть

ранее упоминалось, что маршрутизация со стороны клиента рабоает ок, значит роутер пушит маршрут клиентам правильно. но сам он также должен статический маршрут из офисной сети в сеть впн.

Маршрутизация настроена, клиенты вг пингуют устройства в сети офиса и также в обратную сторону

тогда firewall

Разобрался, на роутере не было правила форварда с WG на WAN. Спасибо!

И еще одна проблема. Я изначально немного сжато написал цепочку. Выглядит она так. Микротик в офисе подключен к облачному микротику с РФ ip, а уже к нему клиенты. Т.е микротик в офисе тоже клиент. Нужно сделать так, чтобы с определенной подсети(WIFI) 0.0.0.0/0 ходил через облачный микротик. Все настроил, все работает, ip определяется как ip сервера. Но, часть сайтов работает, часть нет. Такое чувство, что сайты по ip просто блочат, но это очень странно, т.к даже яндекс не работает. С чем это может быть еще связано?

да, действительно странно. может есть какой-то конфликт dns или dhcp, и хост использует то маршрут от главного роутера, то маршрут от микротика?

тут нужно глубже покопать и найти закономерность какую-то. одни и те же сайты блочатся или нет? с одних и тех же хостов или нет? посмотреть таблицы маршрутизации, arp таблицы, посравнивать.

Но, часть сайтов работает, часть нет. Такое чувство, что сайты по ip просто блочат, но это очень

mtu поправь и погугли iptables clamp mss to mtu