רוב הבעיות עם VPN נובעות מכמה סיבות בודדות, ובדיקה שלהן בסדר הנכון חוסכת ערב שלם. הריצו את הפקודות על השרת, אלא אם שלב מסוים אומר אחרת. בדוגמאות משמש WireGuard בפורט ברירת המחדל שלו 51820/udp; ל-OpenVPN או ל-Xray, החליפו לשם השירות ולפורט שלכם.
נבדק לאחרונה ב-2026-11-13.
1. השרת על חבילה עם IPv4 משלה?
לקוח VPN מתחבר אל השרת שלכם מבחוץ. חבילת NAT מכניסה מבחוץ פורט אחד בלבד, פורט ה-SSH האישי שלכם, ולכן שום VPN לא יכול לעבוד עליה. אם לוח הבקרה מציג כתובת עם פורט כמו 20xxx, אתם על NAT. מעבר ל-IPv4 משלכם שומר על הנתונים ולא דורש התקנה מחדש; ראו שינוי כתובת IP.
2. השירות רץ?
systemctl status wg-quick@wg0
journalctl -u wg-quick@wg0 -n 30 --no-pager
ב-OpenVPN היחידה נקראת בדרך כלל openvpn-server@server, וב-Xray xray. שירות שלא עלה כמעט תמיד כותב את הסיבה בשורות האחרונות של הלוג שלו: שגיאת הקלדה בהגדרות, קובץ מפתח חסר, פורט שכבר תפוס.
3. הוא מאזין בפורט שציפיתם?
ss -ulpn | grep 51820 # UDP: WireGuard, OpenVPN over UDP
ss -tlpn | grep 443 # TCP: Xray / VLESS, OpenVPN over TCP
אם אין פלט, השירות לא מאזין שם, לא משנה מה כתוב בהגדרות. השוו את הפורט לזה שבלקוח.
4. חומת האש מעבירה אותו?
ufw status verbose
אם חומת האש פעילה והפורט שלכם לא ברשימה, פתחו אותו:
ufw allow 51820/udp
שימו לב לפרוטוקול: WireGuard צריך UDP, וכלל ל-51820/tcp לא עוזר לו בכלום. השאירו את כלל ה-SSH במקומו לפני שאתם מפעילים או טוענים מחדש את חומת האש, אחרת תנעלו את עצמכם בחוץ. אם זה בכל זאת קרה, הקונסולה בדפדפן שבלוח הבקרה תחזיר אתכם פנימה.
5. הלקוח באמת מגיע לשרת?
ב-WireGuard ה-handshake מספר לכם:
wg show
latest handshake: N seconds ago אצל peer אומר שהלקוח הגיע לשרת והמפתחות תואמים. אם אין שורת handshake בכלל, הוא מעולם לא הגיע. אז בדקו בסדר הזה: ה-IP והפורט של ה-endpoint בהגדרות הלקוח, חומת האש משלב 4, והאם המפתח הציבורי של הלקוח נמצא בבלוק [Peer] בשרת (וגם להפך).
6. מתחבר, אבל שום דבר לא נפתח?
המנהרה עובדת, אבל השרת לא מוציא את התעבורה לאינטרנט. בדקו את ההעברה:
sysctl net.ipv4.ip_forward
התוצאה חייבת להיות 1. אם לא, הפעילו אותה לצמיתות:
echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-vpn.conf
sysctl --system
אחר כך בדקו את כלל ה-NAT. בהגדרות WireGuard זו השורה PostUp עם MASQUERADE, ושם הממשק שבה חייב להיות השם האמיתי של ממשק השרת:
ip -br addr
אם בשורה כתוב -o eth0 אבל הממשק שלכם נקרא אחרת, תקנו את ההגדרות והפעילו מחדש את השירות.
7. נסו מרשת אחרת
התחברו דרך הסלולר במקום ה-Wi-Fi בבית, או בקשו ממישהו במדינה אחרת לנסות. אם ה-VPN עובד שם אבל לא מהרשת הרגילה שלכם, השרת תקין ומשהו בדרך חוסם את החיבור.
- כדי לראות אם השרת שלכם בכלל נגיש ממדינה מסוימת: איך לבדוק אם כתובת ה-IP של ה-VPS שלכם נגישה מרוסיה ומאיראן.
- איפה ש-WireGuard ו-OpenVPN מזוהים ונחסמים, VLESS + Reality נראה כמו HTTPS רגיל והרבה יותר קשה לחסום אותו.
8. עדיין תקועים?
פתחו פנייה וכתבו מה בדקתם: הפלט של שלבים 2–5 ושם לקוח ה-VPN שלכם. עם זה אנחנו בדרך כלל יכולים לומר איפה זה נשבר כבר בתשובה הראשונה.
תגובות
אין עדיין תגובות. היו הראשונים.