WireGuard 客户端通过透明代理服务器科学上网失败

[lockejet]

局域网内小主机LNAS配置了VPN服务器和透明代理服务器v2raya，局域网其他主机通过LNAS上网。v2raya在redirect模式下，局域网其他主机和VPN客户端科学上网一切正常，但是在tproxy模式下，其他局域网主机基本正常（但有时候异常），OpenVPN和StrongSwan客户端科学上网成功，但WireGuard客户端则失败。请问什么情况？

小主机LNAS配置

v2raya

• 透明代理/系统代理=启用：分流规则与规则端口所选模式一致
• TPROXY模式
• Routing A, 防止DNS污染=关闭, 特殊模式=关闭

wireguard 服务器

包括配置文件和脚本：

root@lnas:~# cat /etc/wireguard/wgs0.conf
[Interface]
PrivateKey = ****=
Address = 10.5.0.1/16,fda5::1/64
ListenPort = 1380
PostUp = logger -t wireguard 'Tunnel WireGuard IFACE started'
PostUp = rm -rf /etc/resolvconf/run
PostUp = "/etc/wireguard/helper/add-fw-rules.sh"
#PostUp = resolvectl dns %i 10.5.0.1,fda5::1
PostDown = logger -t wireguard 'Tunnel WireGuard IFACE stopped'
PostDown = "/etc/wireguard/helper/del-fw-rules.sh"
#DNS = 10.5.0.1,fda5::1
MTU = 1412
[Peer]
PublicKey = ****=
AllowedIPs = 10.5.10.5/32,fda5::1005/128
root@lnas:~#
root@lnas:~# cat /etc/wireguard/helper/add-fw-rules.sh
#!/bin/sh
## commands
IPT=/usr/sbin/iptables
IP6T=/usr/sbin/ip6tables
## interfaces
PHY_IFACE=enp2s0
VIR_IFACE=wgs0
## subnet ( wireguard subnets, in the form like 10.0.0.0/16 or fc00::/64 )
SUB_NET=10.5.0.0/16
SUB_NET6=fda5::/64
## listen port
WG_PORT=1380
## IPv4 ##
$IPT -t nat -I POSTROUTING -s $SUB_NET -o $PHY_IFACE -j MASQUERADE
$IPT -I INPUT -i $VIR_IFACE -j ACCEPT
$IPT -I FORWARD -i $PHY_IFACE -o $VIR_IFACE -j ACCEPT
$IPT -I FORWARD -i $VIR_IFACE -o $PHY_IFACE -j ACCEPT
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
$IPT -I INPUT -i $PHY_IFACE -p udp --dport $WG_PORT -j ACCEPT
## IPv6 ##
$IP6T -t nat -I POSTROUTING -s $SUB_NET6 -o $PHY_IFACE -j MASQUERADE
$IP6T -I INPUT -i $VIR_IFACE -j ACCEPT
$IP6T -I FORWARD -i $PHY_IFACE -o $VIR_IFACE -j ACCEPT
$IP6T -I FORWARD -i $VIR_IFACE -o $PHY_IFACE -j ACCEPT
$IP6T -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
$IP6T -I INPUT -i $PHY_IFACE -p udp --dport $WG_PORT -j ACCEPT

dnsmasq 及 resolv.conf

root@lnas:~# cat /etc/dnsmasq.d/dns.conf
local-service=net #若取消此句则部分地址不能被监听
bind-interfaces # 适用于在同一主机的不同接口或 IP 地址上运行多个 dns 服务器。
#interface=enp2s0,wgs0,ovpns4,ovpns6
interface=enp2s0,wgs0,ovpns4
#interface=enp2s0,wgs0,ovpns6
port=53
<其他配置省略>
root@lnas:~#
root@lnas:~# cat /etc/resolv.conf
# v2rayA DNS hijack
#nameserver 223.6.6.6
#nameserver 119.29.29.29
###
## NS for IPv4
nameserver 192.168.8.240
## NS for IPv6
## If  not configured, curl -6 loopsofzen.uk(v2raya direct) may failed:
## curl: (52) Empty reply from server
nameserver fd00::240
###

表现情况

• LNAS小本机[Debian]
  • curl -4 google.com：OK
• 局域网主机[Windows7；设置网关和DNS为小主机LNAS之IP]
  • 浏览器：访问 google.com 成功
  • 命令行：curl -4 google.com，有时候成功，有时候失败（curl: (52) Empty reply from server）
• WireGuard 客户端@手机,通过移动网络
  • 浏览器：访问 google.com 成功
• OpenVPN 客户端@手机，通过移动网络
  • 浏览器：访问 google.com 成功
• OpenVPN 客户端@笔记本，手机开启热点
  • 浏览器：访问 google.com 成功
• StrongSwan 客户端@手机，通过移动网络
  • 浏览器：访问 google.com 成功