Cele mai multe probleme cu un VPN se reduc la câteva cauze, iar dacă le verifici în ordinea potrivită îți salvezi o seară. Rulează comenzile pe server, dacă un pas nu spune altfel. Exemplele folosesc WireGuard pe portul implicit 51820/udp; pentru OpenVPN sau Xray, pune numele serviciului și portul tău.
Ultima verificare la 2026-11-13.
1. Serverul e pe un plan cu IPv4 propriu?
Un client VPN se conectează către serverul tău din exterior. Un plan NAT lasă să intre din exterior un singur port, portul tău SSH personal, așa că niciun VPN nu poate funcționa pe el. Dacă panoul arată o adresă cu un port de tipul 20xxx, ești pe NAT. Trecerea la un IPv4 propriu îți păstrează datele și nu cere reinstalare; vezi Schimbarea adresei IP.
2. Serviciul rulează?
systemctl status wg-quick@wg0
journalctl -u wg-quick@wg0 -n 30 --no-pager
La OpenVPN unitatea se numește de obicei openvpn-server@server, la Xray xray. Un serviciu care nu a pornit spune aproape întotdeauna motivul în ultimele rânduri ale logului: o greșeală de scriere în configurație, un fișier de cheie lipsă, un port deja ocupat.
3. Ascultă pe portul la care te aștepți?
ss -ulpn | grep 51820 # UDP: WireGuard, OpenVPN prin UDP
ss -tlpn | grep 443 # TCP: Xray / VLESS, OpenVPN prin TCP
Dacă nu apare nimic, serviciul nu ascultă acolo, orice ar scrie în configurație. Compară portul cu cel din client.
4. Îl lasă firewall-ul să treacă?
ufw status verbose
Dacă firewall-ul e activ și portul tău nu apare în listă, deschide-l:
ufw allow 51820/udp
Atenție la protocol: WireGuard are nevoie de UDP, iar o regulă 51820/tcp nu-i folosește la nimic. Lasă regula pentru SSH la locul ei înainte să activezi sau să reîncarci firewall-ul, altfel îți închizi singur accesul. Dacă se întâmplă totuși, consola din browser din panou te readuce înăuntru.
5. Ajunge clientul chiar la server?
La WireGuard îți spune handshake-ul:
wg show
latest handshake: N seconds ago la un peer înseamnă că clientul a ajuns la server și cheile se potrivesc. Dacă nu există deloc rândul de handshake, clientul n-a ajuns niciodată. Atunci verifică, în ordinea asta: IP-ul și portul endpoint-ului din configurația clientului, firewall-ul de la pasul 4 și dacă cheia publică a clientului e în blocul [Peer] de pe server (și invers).
6. Se conectează, dar nu se deschide nimic?
Tunelul funcționează, dar serverul nu lasă traficul să iasă spre internet. Verifică redirecționarea:
sysctl net.ipv4.ip_forward
Trebuie să afișeze 1. Dacă nu, activeaz-o permanent:
echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-vpn.conf
sysctl --system
Apoi verifică regula NAT. Într-o configurație WireGuard este rândul PostUp cu MASQUERADE, iar numele interfeței din el trebuie să fie numele real al interfeței serverului:
ip -br addr
Dacă rândul spune -o eth0, dar interfața ta se numește altfel, corectează configurația și repornește serviciul.
7. Testează din altă rețea
Conectează-te de pe date mobile în loc de Wi-Fi-ul de acasă sau roagă pe cineva din altă țară să încerce. Dacă VPN-ul merge acolo, dar nu din rețeaua ta obișnuită, serverul e în regulă și ceva de pe traseu blochează conexiunea.
- Ca să vezi dacă serverul tău e accesibil dintr-o anumită țară: Cum verifici dacă IP-ul VPS-ului tău este accesibil din Rusia și Iran.
- Acolo unde WireGuard și OpenVPN sunt recunoscute și blocate, VLESS + Reality arată ca un HTTPS obișnuit și e mult mai greu de blocat.
8. Tot nu merge?
Deschide un tichet și scrie ce ai verificat: rezultatul pașilor 2–5 și numele clientului tău VPN. Cu ele, de obicei îți putem spune unde e problema chiar din primul răspuns.
Comentarii
Încă nu există comentarii. Fii primul.