Amnezia подключается, но интернета нет: что делать

Знакомая ситуация

Иконка VPN в Amnezia горит, статус — «подключено», таймер идёт, а браузер при этом крутит «колёсико» и ничего не загружает. Это один из самых частых вопросов по Amnezia, и в 95% случаев причина одна и та же — трафик действительно идёт в туннель, но не может выйти в интернет на стороне сервера или потерян маршрут DNS.

Причина 1: DNS не резолвится внутри туннеля

Самый частый сценарий. Туннель поднят, IP-пакеты ходят, но запрос имени сайта (DNS) не доходит до сервера, либо доходит, но ответ блокируется провайдером на пути обратно. В результате браузер физически не может узнать IP сайта и виснет на загрузке. Проверить просто: попробуйте открыть IP-адрес напрямую (например, 1.1.1.1 в браузере) — если открывается, а обычные сайты по доменному имени нет, проблема точно в DNS.

Решение: в настройках профиля Amnezia/WireGuard явно укажите рабочий DNS (1.1.1.1 или 8.8.8.8) вместо DNS, который подставляет ваш провайдер по умолчанию.

Причина 2: сервер Amnezia сам не имеет доступа в интернет

Если вы разворачивали свой VPS под Amnezia самостоятельно, проблема может быть на стороне сервера: неправильно настроен NAT/forwarding (`iptables`/`nftables`), не включён `ip_forward` в sysctl, либо у хостинг-провайдера заблокирован исходящий трафик с этого сервера (бывает у некоторых дешёвых VPS после жалоб на абьюз). В этом случае туннель технически работает, но пакеты дальше сервера не уходят.

Причина 3: маршруты (AllowedIPs) настроены неверно

Если в конфиге WireGuard указано не `0.0.0.0/0`, а более узкий диапазон, часть трафика может вообще не попадать в туннель и пытаться идти напрямую — а провайдер этот прямой трафик к VPN-серверу блокирует. Стоит перепроверить, что AllowedIPs покрывает весь трафик, который должен идти через VPN.

Причина 4: провайдер режет именно установленные VPN-сессии

Иногда хендшейк проходит успешно (статус «подключено»), но дальнейший полезный трафик DPI вырезает избирательно, опознав протокол по сигнатуре уже после установления сессии. Внешне это выглядит ровно как «подключено, но без интернета» — и тут не помогут ни DNS, ни маршруты, потому что блокируется сам канал.

Если ничего из этого не помогло

Когда причина в избирательной блокировке протокола DPI, единственный надёжный путь — сменить протокол на тот, что маскируется под обычный HTTPS-трафик (VLESS + Reality), а не пытаться донастраивать WireGuard/AmneziaWG до бесконечности. Готовые сервисы с таким протоколом и автоматическим подбором рабочего сервера снимают необходимость вручную чинить DNS, маршруты и NAT на собственном VPS.