Τα περισσότερα προβλήματα με VPN καταλήγουν σε λίγες αιτίες, και αν τις ελέγξετε με τη σωστή σειρά γλιτώνετε ένα βράδυ. Τρέξτε τις εντολές στον server, εκτός αν ένα βήμα λέει κάτι άλλο. Τα παραδείγματα χρησιμοποιούν WireGuard στην προεπιλεγμένη θύρα 51820/udp· για OpenVPN ή Xray, βάλτε το όνομα της δικής σας υπηρεσίας και τη δική σας θύρα.
Τελευταίος έλεγχος 2026-11-13.
1. Είναι ο server σε πακέτο με δική του IPv4;
Ο client του VPN συνδέεται προς τον server σας απ' έξω. Ένα πακέτο NAT αφήνει απ' έξω μόνο μία θύρα, την προσωπική σας θύρα SSH, οπότε κανένα VPN δεν μπορεί να λειτουργήσει εκεί. Αν ο πίνακας ελέγχου δείχνει διεύθυνση με θύρα του τύπου 20xxx, είστε σε NAT. Η μετάβαση σε δική σας IPv4 κρατά τα δεδομένα σας και δεν απαιτεί επανεγκατάσταση· δείτε Αλλαγή διεύθυνσης IP.
2. Τρέχει η υπηρεσία;
systemctl status wg-quick@wg0
journalctl -u wg-quick@wg0 -n 30 --no-pager
Στο OpenVPN η μονάδα λέγεται συνήθως openvpn-server@server, στο Xray xray. Μια υπηρεσία που δεν ξεκίνησε γράφει σχεδόν πάντα την αιτία στις τελευταίες γραμμές του log της: ένα τυπογραφικό λάθος στις ρυθμίσεις, ένα αρχείο κλειδιού που λείπει, μια θύρα που χρησιμοποιείται ήδη.
3. Ακούει στη θύρα που περιμένετε;
ss -ulpn | grep 51820 # UDP: WireGuard, OpenVPN μέσω UDP
ss -tlpn | grep 443 # TCP: Xray / VLESS, OpenVPN μέσω TCP
Αν δεν βγαίνει τίποτα, η υπηρεσία δεν ακούει εκεί, ό,τι κι αν γράφουν οι ρυθμίσεις. Συγκρίνετε τη θύρα με αυτή στον client.
4. Την αφήνει να περάσει το τείχος προστασίας;
ufw status verbose
Αν το τείχος προστασίας είναι ενεργό και η θύρα σας δεν υπάρχει στη λίστα, ανοίξτε την:
ufw allow 51820/udp
Προσέξτε το πρωτόκολλο: το WireGuard χρειάζεται UDP, και ένας κανόνας 51820/tcp δεν του κάνει τίποτα. Αφήστε στη θέση του τον κανόνα για το SSH πριν ενεργοποιήσετε ή φορτώσετε ξανά το τείχος προστασίας, αλλιώς θα κλειδώσετε τον εαυτό σας έξω. Αν συμβεί παρ' όλα αυτά, η κονσόλα στον browser του πίνακα ελέγχου σάς βάζει ξανά μέσα.
5. Φτάνει πράγματι ο client στον server;
Στο WireGuard το λέει το handshake:
wg show
latest handshake: N seconds ago σε έναν peer σημαίνει ότι ο client έφτασε στον server και τα κλειδιά ταιριάζουν. Αν δεν υπάρχει καθόλου γραμμή handshake, δεν έφτασε ποτέ. Τότε ελέγξτε με αυτή τη σειρά: την IP και τη θύρα του endpoint στις ρυθμίσεις του client, το τείχος προστασίας από το βήμα 4 και αν το δημόσιο κλειδί του client βρίσκεται στο μπλοκ [Peer] του server (και αντίστροφα).
6. Συνδέεται, αλλά δεν ανοίγει τίποτα;
Το τούνελ λειτουργεί, αλλά ο server δεν βγάζει την κίνηση στο internet. Ελέγξτε την προώθηση:
sysctl net.ipv4.ip_forward
Πρέπει να εμφανίζει 1. Αν όχι, ενεργοποιήστε την μόνιμα:
echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-vpn.conf
sysctl --system
Μετά ελέγξτε τον κανόνα NAT. Στις ρυθμίσεις του WireGuard είναι η γραμμή PostUp με MASQUERADE, και το όνομα της διεπαφής σε αυτήν πρέπει να είναι το πραγματικό όνομα της διεπαφής του server:
ip -br addr
Αν η γραμμή λέει -o eth0 αλλά η διεπαφή σας λέγεται αλλιώς, διορθώστε τις ρυθμίσεις και επανεκκινήστε την υπηρεσία.
7. Δοκιμάστε από άλλο δίκτυο
Συνδεθείτε με δεδομένα κινητής αντί για το Wi-Fi του σπιτιού, ή ζητήστε από κάποιον σε άλλη χώρα να δοκιμάσει. Αν το VPN δουλεύει εκεί αλλά όχι από το συνηθισμένο σας δίκτυο, ο server είναι εντάξει και κάτι ενδιάμεσα μπλοκάρει τη σύνδεση.
- Για να δείτε αν ο server σας είναι καν προσβάσιμος από μια συγκεκριμένη χώρα: Πώς να ελέγξετε αν η IP του VPS σας είναι προσβάσιμη από τη Ρωσία και το Ιράν.
- Όπου το WireGuard και το OpenVPN αναγνωρίζονται και μπλοκάρονται, το VLESS + Reality μοιάζει με κανονικό HTTPS και είναι πολύ πιο δύσκολο να μπλοκαριστεί.
8. Ακόμα τίποτα;
Ανοίξτε ένα ticket και γράψτε τι ελέγξατε: την έξοδο των βημάτων 2–5 και το όνομα του client VPN σας. Με αυτά συνήθως σας λέμε από την πρώτη απάντηση πού σκαλώνει.
Σχόλια
Δεν υπάρχουν ακόμη σχόλια. Γίνετε ο πρώτος.