Решение проблем

Найдите симптом, посмотрите, как он выглядит в панели, и выполните шаги. Большинство ответов начинается на странице ноды: её баннер, вкладки Профили, События, Логи и Доктор, а также страница «Здоровье».

Команды на ноде выполняются от root. Служба агента — mistgate-node, её лог в журнале:

journalctl -u mistgate-node -n 100 --no-pager

Нода не выходит на связь#

Как это выглядит

• Ждём агента: ноду добавили, но агент ещё ни разу не подключился. Баннер пишет, до какого времени действует команда установки, или что она устарела.
• Хостер моргнул (серый): нет связи меньше 10 минут. Короткие провалы обычно на стороне хостера; алертов пока нет.
• Недоступна: нет связи 10 минут и дольше. Открывается алерт «Нода недоступна», пишется событие «перестала отвечать».

Что делать

1. Откройте панель хостера и проверьте, что сервер запущен.

2. Если запущен, зайдите по SSH и перезапустите агента (баннер даёт эту команду для копирования):

   sh

   systemctl restart mistgate-node && journalctl -u mistgate-node -n 50 --no-pager

3. Проверьте, что нода достаёт до панели: агент всегда подключается сам, по адресу из своей команды установки (--panel host:port, по умолчанию порт 443). Его может не пускать исходящий файрвол на ноде или входящий на сервере панели.

4. На стороне панели точке подключения агентов нужен TLS: публичный адрес должен работать с --acme-domain или --tls-cert, либо у панели должен быть отдельный --agent-listen. См. «Конфигурацию».

5. Если в логе написано, что для агента не выполнен enroll или нода выведена из флота, агент завершается, и systemd его не перезапускает. Подключите его заново Новой командой установки со страницы ноды.

6. Для далёкой или медленной ноды увеличьте Разрывать связь с агентом после и Таймаут подключения агента в Настройках ноды.

Ноде, у которой команда установки устарела, нужна Новая команда установки; старая больше не сработает.

Подключение ноды не проходит#

mistgate-node enroll печатает enroll: и причину.

install нужен root и каталог состояния после enroll: сначала выполните enroll, с тем же --state-dir, если вы его меняли.

Если Получить команду установки в админке отвечает «panel address is not configured», панель не знает адреса, по которому агентам подключаться: выполните setup с --public-url или запустите serve с --agent-addr (см. CLI).

Профиль не запускается#

Как это выглядит

• На вкладке Профили ноды у профиля написано Не запустился с причиной, а баннер ноды пишет «„<профиль>“ не запустился».
• Проверка глазами клиента показывает «✕ не запущен»; пишется событие «„<профиль>“ не запустился».

Когда порт освободился, Перезапустите профиль (или примените исправление доктора Перезапустить профиль).

Порт внутри диапазона прыжков другого профиля или занятый Caddy и другим веб-сервером на TCP 443 доктор тоже покажет. Диалог добавления профиля на ноду заранее проверяет порт и сертификат и предлагает свободный порт.

Клиенты подключаются, но трафик не идёт#

Как это выглядит

• Проверки проходят с ошибками (туннель поднимается, одна тестовая страница не открывается) или не проходят с «Туннель работает, а выход ноды в интернет нет» или «Тестовые сайты отвечают ошибкой».
• Алерт объясняет это в причине; люди говорят «подключено, но ничего не открывается».

Что проверить

1. Собственный резолвер ноды — пункт доктора Резолвер сервера. Имена для проверки разрешает нода; если они не разрешаются, примените Исправить резолвер.
2. DNS для трафика пользователей в Настройках ноды — резолверы для трафика ваших пользователей. Пусто — резолвер самого сервера.
3. WARP: если не проходят только профили с выходом через WARP, см. «WARP не работает».
4. AmneziaWG: пункт доктора Бэкенд AmneziaWG предупреждает, когда файрвол хоста отбрасывает пересылаемый трафик (часто из-за Docker на том же сервере).
5. Пункты доктора Чужие правила файрвола и Следы других VPN: чужое правило nat или перенаправления может съедать трафик.
6. Пункт доктора IPv6: адрес IPv6, который не соединяется наружу, заставляет подвисать сайты с IPv6-записями.

Если проверки зелёные, а не подключается один человек, посмотрите на него: статус (отключён, срок истёк, квота выбрана) и устройства на странице «Пользователи». См. «Пользователи и группы».

Хостер режет UDP#

Hysteria2 и AmneziaWG работают поверх UDP, а некоторые хостеры режут UDP на части портов или целиком.

Как это выглядит

• Проверка не проходит с «Нет рукопожатия: UDP-трафик, скорее всего, не доходит».
• «„<профиль>“ не отвечает на порту N, а другой профиль этой ноды отвечает: хостер режет UDP-порт N».
• «Жива, но трафик не идёт»: «похоже, хостер режет этот UDP-порт» или, на 443 или нескольких портах, «похоже, хостер режет входящий UDP целиком».
• Для AmneziaWG статус профиля на вкладке Профили ноды различает два случая: «До порта не дошёл ни один пакет: хостер или фаервол режет этот UDP-порт» и «Пакеты приходят, но рукопожатие не завершается: параметры обфускации на ноде и в конфиге различаются».

Что делать

1. Проверьте файрвол или группу безопасности в панели хостера: UDP-порты профиля (и его диапазон прыжков) должны быть открыты для входящего трафика.
2. Перенесите профиль на другой порт этой ноды: Сменить порт на вкладке Профили ноды.
3. Если закрыты все порты, напишите в поддержку хостера или перенесите ноду.

Проверка использует основной порт профиля, а не диапазон прыжков по портам, поэтому закрытый диапазон прыжков здесь не виден.

Часы уходят#

Как это выглядит

• Пункт доктора Часы: «Внимание» при расхождении с часами панели больше 2 секунд или без синхронизации NTP, «Проблема» — больше 30 секунд.
• События ноды: «часы сервера расходятся с панелью на N с», когда расхождение больше 30 секунд.

На неверных часах ломаются сертификаты, коды из приложения-аутентификатора и рукопожатия WireGuard.

Что делать на ноде:

timedatectl set-ntp true
timedatectl

Если коды для входа в админку не подходят, проверьте часы сервера панели и телефона: код принимается только в пределах одного 30-секундного шага в любую сторону.

Нет модуля ядра AmneziaWG#

Как это выглядит

• У профиля на ноде: «AmneziaWG не запустился на ноде: посмотри „Бэкенд AmneziaWG“ в настройках ноды».
• Пункт доктора Бэкенд AmneziaWG сообщает, что рабочего бэкенда нет; Заголовки ядра перечисляет, чего не хватает для модуля.

Что делать

• Проще всего: переключите Бэкенд AmneziaWG ноды на Авто (модуль ядра, если он уже загружен, иначе userspace) или Userspace. Userspace модуль не нужен, нужен только /dev/net/tun.

• Чтобы работать на модуле ядра, выберите Модуль ядра. Свежий агент соберёт модуль сам после вашего подтверждения; пока модуль не готов, AmneziaWG работает в userspace. Иначе выполните сборку на ноде сами; без --yes команда только печатает план:

  sh

  mistgate-node awg prepare-kernel
  mistgate-node awg prepare-kernel --yes

  Поддерживаются Debian и Ubuntu (apt), не в контейнере, без Secure Boot, с systemd. Сборка, запущенная панелью, пишет лог в журнал unit mistgate-awg-prepare.

• Если доктор пишет, что служебный файл скрывает /dev/net/tun (устаревший unit), один раз выполните mistgate-node install.

См. AmneziaWG.

WARP не работает#

Как это выглядит

• Карточка WARP ноды: Не работает, Нет бэкенда или На паузе.
• Пункт доктора Выход через WARP сообщает о проблеме; у профиля написано «Нет рабочего WARP на ноде».
• «Прямой профиль этой ноды работает, а „<профиль>“ нет: мёртв его выход через WARP».

Профили с выходом через WARP при этом закрываются: напрямую в интернет они трафик не выпускают.

Что делать

1. В карточке WARP: Перезапустить WARP и посмотреть рукопожатие, проверки и последнюю ошибку. Перечитать у Cloudflare обновляет данные аккаунта.
2. На паузе: нажмите Возобновить.
3. «WARP не может работать на этом хосте»: таблицу маршрутов, приоритет правила или имя интерфейса WARP занял другой инструмент (например, старая настройка wg-quick). Уберите его конфигурацию.
4. Нет бэкенда: на ноде нет ни модуля ядра WireGuard, ни /dev/net/tun; выполните mistgate-node install, чтобы получить актуальный служебный файл.
5. «Профили с выходом через WARP не стартуют: у ноды нет аккаунта WARP»: зарегистрируйте или импортируйте аккаунт на ноде либо переключите эти профили на прямой выход.

Нода без IPv6 для WARP подходит. См. WARP.

Обновление откатилось#

Как это выглядит

• На странице «Обновления» нода в состоянии Откатилась; Последнее обновление объясняет почему.
• Раскатка на паузе, открыт алерт «Обновление ноды остановилось».
• События ноды: «обновление откатилось».

Устранив причину, продолжите или отмените раскатку и обновите ноду новой раскаткой. См. «Обновления».

Админка недоступна#

Ошибки запуска mistgate serve и что они значат: