При попытке пустить весь интернет-трафик через туннель (AllowedIPs = 0.0.0.0/0) утилита wg-quick блокирует применение конфигурации или хост полностью теряет доступ к сети.

• Ошибка при запуске: [#] ip route add ... Error: Routing loop detected или RTNETLINK answers: File exists.
• После старта туннеля соединение с сервером разрывается, так как пакеты к самому Endpoint WireGuard заворачиваются внутрь туннеля.
• Теряется доступ к серверу по SSH при запуске интерфейса.
• Неправильно настроенные правила ip rule и метки пакетов fwmark.

1. Понимание механизма изоляции маршрутов в wg-quick

Когда вы указываете AllowedIPs = 0.0.0.0/0, утилита wg-quick использует специальную таблицу маршрутизации (table 51820) и правила политик маршрутизации (Policy Routing), чтобы исключить пакеты самого WireGuard из общего туннелирования с помощью метки fwmark.

2. Проверка и очистка конфликтующих правил ip rule

Проверьте текущие таблицы маршрутизации:

ip rule show
ip route show table all

Если остались мусорные записи после аварийного завершения предыдущих сессий, удалите их:

ip rule del table 51820 2>/dev/null
ip route flush table 51820 2>/dev/null

3. Исключение локальных подсетей и Endpoint из AllowedIPs

Если wg-quick не может корректно настроить fwmark (например, в некоторых контейнерах), явно укажите исключения или используйте директиву Table = off с ручной настройкой маршрутов:

[Interface]
Address = 10.0.0.2/24
PrivateKey = <Key>
# Отключение автоматического создания маршрута по умолчанию
Table = off

[Peer]
PublicKey = <Server_Key>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0

4. Ручная безопасная маршрутизация через PostUp

Настройте селективные маршруты через команды PostUp:

PostUp = ip route add 10.0.0.0/8 dev wg0
PostUp = ip route add 192.168.0.0/16 dev wg0
PostDown = ip route del 10.0.0.0/8 dev wg0
PostDown = ip route del 192.168.0.0/16 dev wg0

5. Перезапуск туннеля

wg-quick down wg0 && wg-quick up wg0