Передача трафика через туннель прерывается или сопровождается резким падением пропускной способности. В логах ядра фиксируются отброшенные пакеты.

• Сообщения в dmesg: wireguard: wg0: Packet has invalid nonce/counter: underflow/overflow или Packet is a replay! Dropping..
• Внезапные задержки и обрывы активных TCP-сессий при нестабильном интернет-канале (Wi-Fi, Satellite, LTE).
• Счетчик rx перестает увеличиваться, несмотря на наличие входящих дейтаграмм на сетевой карте.
• После ручного перезапуска туннеля трафик временно восстанавливается.

1. Принцип работы Replay Counter в протоколе WireGuard

WireGuard защищает трафик от атак повторного воспроизведения (Replay Attacks) с помощью 64-битного счетчика нонсов (Nonce) и скользящего окна (Sliding Window) размером 2048 пакетов. Пакеты, пришедшие вне пределов окна или повторно, немедленно отбрасываются ядром.

2. Анализ состояния нестабильности канала (Jitter / Packet Reordering)

Если пакеты в канале сильно переупорядочиваются (packet reordering) из-за проблем провайдера или агрегации каналов (Multipath), старые пакеты выпадают из окна валидации:

# Проверка стабильности задержек и переупорядочивания
ping -c 100 -i 0.1 <IP_СЕРВЕРА>

# Захват пакетов для анализа дубликатов
tcpdump -nn -i any udp port 51820 -c 1000

3. Устранение дублирования пакетов на сетевом оборудовании

Проверьте настройки сетевого оборудования на предмет петель коммутации (Spanning Tree Loops) или неправильной балансировки bond-интерфейсов:

# Проверка ошибок на физическом интерфейсе хоста
ip -s link show eth0

4. Принудительная инициализация нового сессионного ключа

Если счетчик нонсов переполнился (передано $2^{64}$ пакетов) или рассинхронизировался, принудительно вызовите повторное рукопожатие:

# Быстрый сброс сессии без размонтирования интерфейса
wg set wg0 peer <PublicKey> endpoint <Endpoint_IP:Port>