AWG_DPI_HANDSHAKE_TIMEOUT Сетевое оборудование и VPN

AmneziaWG: Ошибка Client timeout waiting for server response (Блокировка DPI)

Обновлено: 25.08.2026 · Официальная документация ↗

Клиент отправляет Handshake Initiation, но Handshake Response от сервера не приходит (rx bytes = 0).
В интерфейсе Amnezia статус меняется на 'Таймаут подключения' через 15–30 секунд.
VPN работает через мобильный интернет, но блокируется на сетях фиксированных провайдеров (или наоборот).
Сетевой дамп tcpdump на сервере показывает, что входящие UDP пакеты отсекаются на уровне ТСПУ оператора.

1. Проверка прохождения трафика на стороне сервера

Запустите сниффер на VPS, чтобы понять, доходят ли пакеты обфусцированного рукопожатия:

tcpdump -nn -i eth0 udp port <ВАШ_AWG_ПОРТ>

Если на сервере нет пакетов при нажатии 'Подключить' в клиенте — порт или протокол блокируется на ТСПУ провайдера.

2. Смена порта AmneziaWG на нестандартный UDP

Провайдеры часто блокируют диапазон портов WireGuard по умолчанию (51820). Смените порт на случайный или используйте квази-порты:

# В /etc/amnezia/amnezia-wg/awg0.conf измените:
ListenPort = 443   # Или любой порт из диапазона 20000-60000

3. Тонкая настройка параметров обфускации (Obfuscation Tuning)

Стандартные параметры обфускации могут попасть под обновленные сигнатуры DPI. Измените параметры в конфигурациях сервера и клиента:

[Interface]
# Количество мусорных пакетов перед инициализацией (1-10)
Jc = 5
# Минимальный и максимальный размер мусорного пакета (байт)
Jmin = 50
Jmax = 1000
# Магические смещения и сигнатуры заголовков (уникальные для каждого сервера)
S1 = 68
S2 = 112
H1 = 1294812738
H2 = 981274912
H3 = 471928471
H4 = 192847192

4. Настройка MTU для предотвращения фрагментации

[Interface]
MTU = 1280

Значение MTU 1280 гарантирует отсутствие фрагментации UDP пакетов даже с учетом дополнительных заголовков обфускации.

💡 Практика специалистов: Не используйте дефолтные значения H1-H4 (1, 2, 3, 4) из публичных инструкций. Генерируйте случайные 32-битные числа (от 100000000 до 2000000000), чтобы сигнатура вашего сервера была уникальной.

Частые вопросы (FAQ)

Почему WireGuard сразу блокируется, а AmneziaWG работает?

WireGuard имеет строго фиксированный заголовок первого пакета (байт 0x01) и фиксированные размеры сообщений (148 байт). AmneziaWG заменяет типы сообщений на случайные байты H1-H4 и добавляет мусорную нагрузку (Junk), разрушая сигнатуры.

Должны ли параметры S1, S2, H1-H4 совпадать на клиенте и сервере?

Да, значения S1-S2 (длины префиксов) и H1-H4 (магические заголовки инициализации/ответа) обязаны быть абсолютно идентичными на сервере и у клиента.

Помогает ли смена UDP порта на порт 443 (HTTPS) или 53 (DNS)?

Да, многие промежуточные DPI-фильтры пропускают UDP-трафик на портах 53 и 443 (QUIC/HTTP3) без жесткого сигнатурного анализа.

Что делать, если провайдер полностью блокирует весь UDP трафик к зарубежным IP?

В таком случае используйте Amnezia с протоколами инкапсуляции в TCP/TLS, такими как Xray/VLESS (Reality) или Shadowsocks с плагинами маскировки.