WireGuard и шлюз при трансграничном удалённом доступе: MTU, асимметрия маршрутов, DNS и задержки

Ключевые выводы

Начинайте с path MTU: у UDP у WireGuard нет отката как у TCP; «чёрные дыры» проявляются как случайные подвисания на крупных TLS-записях.
Асимметрия (разный вход и выход) может пропускать ping и ломать долгие сессии — трассируйте оба направления явно.
Split DNS — это продуктовое решение: корпоративные резолверы в туннеле и публичные вне его должны соответствовать смыслу AllowedIPs.
Наблюдение за задержкой — в одной панели с CPU: для «тонкого» удалённого доступа выбор региона сильнее влияет на хвост RTT, чем число ядер.

Сетевая инфраструктура и платы, иллюстрация к теме безопасного трансграничного подключения — Иллюстрация носит ориентировочный характер; подтверждайте счётчиками `wg`, трассировкой с обеих сторон и трассом резолверов.

1. MTU: первый подозреваемый на длинных каналах

WireGuard шифрует поверх UDP. Если MTU туннеля плюс накладные расходы превышает лимит участка оператора, получаются тихие чёрные дыры при установленном DF или при ошибочной фрагментации. Симптомы: SSH на короткие команды жив, а git push замирает; сайт грузится частично; VNC рисует лишь мелкие области. Сначала добейтесь диагноза по сети, а не «CPU на Mac»: снизьте MTU интерфейса или ограничьте MSS для TCP на стороне шлюза и зафиксируйте потолок для каждого пути (домашний провайдер, модем, аэропорт Wi‑Fi).

# Клиент macOS (подставьте имя своего интерфейса)
ifconfig utun9 | grep mtu
ping -D -s 1400 gateway.example.com   # двоичный поиск до отказа с DF

Согласуйте работу с MTU с единым объявлением MSS на шлюзе, если там завершается TCP; иначе клиенты всё равно пробуют слишком крупные кадры. Если на облачном Mac крутятся контейнеры, оверлеи добавляют ещё один уровень заголовков — см. руководство по производственному Docker на облачном Mac Apple Silicon (arm64/amd64, bind mount, кеш сборки и лимиты тарифов), как дополнительная инкапсуляция конкурирует с диском и CPU на том же хосте.

2. Асимметричная маршрутизация и «работает, кроме…»

Обратный трафик с другого публичного IP, чем вход, ломает наивные правила фаервола и иногда привязки NAT. Возможен сценарий: рукопожатия WireGuard проходят, а приложения «сыпятся» при появлении второго маршрута по умолчанию или policy routing. Снимайте картину в обе стороны: с клиента, со шлюза и с точки зрения облачного Mac, если он не совпадает со шлюзом. Если перед туннелем стоят ещё VPN или SD-WAN, проверьте, что правила PostUp не переставляют метки так, что в туннель уходит только половина потока.

Когда удалённый доступ в основном для CI или сборок, асимметрия чаще даёт «рваные» загрузки артефактов, а не полный обрыв — чувствительность очередей к хвостовой задержке похожа на поведение облачных раннеров; полезно логировать RTT и ретраи отдельно от средней пропускной способности и не списывать сбои только на «мало ядер».

3. Split DNS и полный туннель

Указание DNS = на внутренний резолвер без маршрутизации соответствующих префиксов через WireGuard даёт утечки или NXDOMAIN в зависимости от split-horizon. Решите явно: внутренние имена только внутри туннеля, публичные — на локальном резолвере или цепочка форвардинга на шлюзе. Согласуйте это с AllowedIPs — широкие маршруты тянут больше трафика в туннель и меняют задержку для звонков, которые вы хотели оставить локально. Зафиксируйте порядок резолверов из scutil --dns на macOS после подключения и после сна.

4. Наблюдение за задержкой и выбор региона

Для интерактивного удалённого доступа измеряйте RTT, джиттер и потери отдельно от пропускной способности. Тариф 200 Мбит/с не поможет, если по UDP-паттернам, похожим на QUIC, в часы пик видны всплески до 80 мс. Логируйте счётчики WireGuard (transfer, latest handshake) вместе с прикладными пробами (время TLS, пропуски кадров демонстрации экрана). Выбирая регион облачного Mac, для ежедневной работы операторов ориентируйтесь на POP ближе к людям; для тяжёлых артефактов — на зеркала реестров и кеши сборок, даже если это другой регион.

5. Симптом — причина — действие (кратко)

Симптом	Вероятная причина	Предпочтительное действие
Крупные передачи замирают, мелкий ping в порядке	MTU / чёрная дыра PMTUD	Снизить MTU туннеля; лестница ping с DF; при необходимости clamp MSS
Handshake ок, приложения нестабильны	Асимметрия или policy routing	Проверить IP входа/выхода; выровнять метки и default route
Внутренние имена не резолвятся	DNS не согласован с маршрутами туннеля	Сопоставить резолвер с `AllowedIPs`; проверить split-horizon
Лаг интерфейса под нагрузкой	RTT/джиттер, не CPU	Сменить регион или сузить полный туннель

6. Конфигурация облачного Mac после «честной» сети

Когда MTU, маршруты и DNS согласованы, оставшаяся медлительность уже область ядер, памяти и диска. Запись экрана, индексация в Xcode и параллельные симуляторы чувствительны к унифицированной памяти и запасу SSD сильнее, чем к «проволочной» скорости VPN. Сравнивайте тарифы на странице тарифы и характеристики только после чистого базиса по RTT — иначе переплатите за железо, которое не исправит географию.