TUIC не подключается: диагностика QUIC, порта и TLS

Почему TUIC не подключается? Основные причины

TUIC — современный прокси-протокол, работающий поверх QUIC (UDP). Если подключение не устанавливается, проблема обычно кроется в одном из уровней: сеть, сервер, клиент или TLS. В этой статье мы последовательно разберём все возможные точки отказа.

Чаще всего диагностика сводится к трём вопросам: работает ли UDP-порт снаружи, передаётся ли трафик по QUIC, и принимает ли клиент сертификат TLS. Если хотя бы один из этих компонентов настроен неверно, соединение не будет установлено.

Важно понимать: TUIC не использует TCP, поэтому классические проверки вроде telnet не подходят. Нам нужны инструменты для работы с UDP и QUIC.

Проверка QUIC и UDP: работает ли протокол

QUIC — это протокол на основе UDP. Первым делом убедимся, что UDP-трафик действительно доходит до сервера.

Самый простой способ — запустить на сервере захват трафика через tcpdump:

tcpdump -i eth0 udp port YOUR_PORT

Попробуйте подключиться с клиента. Если вы видите входящие UDP-пакеты — значит базовый UDP проходит. Если не видно ничего, скорее всего порт заблокирован файрволом или провайдером.

На клиенте можно проверить отправку UDP с помощью утилиты nc (netcat) в режиме UDP:

echo "ping" | nc -u -w2 SERVER_IP YOUR_PORT

Но учтите: TUIC не отвечает на произвольные UDP-датаграммы, поэтому ответа не будет. Эта проверка лишь показывает, уходят ли пакеты в сеть.

Также обратите внимание, что QUIC использует UDP, а не TCP. Некоторые антивирусы или файрволы могут блокировать неизвестный UDP-трафик.

Диагностика порта: от клиента до сервера

Проверка доступности UDP-порта — обязательный шаг. Сделать это можно несколькими способами.

Самый надёжный — использовать ss или netstat на сервере:

ss -unlp | grep YOUR_PORT

Вы должны увидеть строку, что процесс слушает UDP-порт. Если процесса нет — проверьте конфигурацию TUIC и запустите службу заново.

Затем проверьте, что сервер видит входящие пакеты. Если порт прослушивается, но пакеты не приходят, возможно, они блокируются на уровне ядра (iptables/firewalld) или DDoS-защиты хоста.

Для проверки из интернета можно использовать онлайн-инструменты, но они часто не поддерживают UDP. Поэтому лучше всего проверять с реального клиента и наблюдать за логами TUIC.

Если вы используете облачный сервер, не забудьте открыть UDP-порт в панели управления (security group). TCP-порт недостаточен.

Проблемы TLS и сертификатов

TUIC шифрует соединение с помощью TLS. Это значит, что клиент должен доверять сертификату сервера. Большинство проблем возникает именно на этом этапе.

Проверьте следующие моменты:

• Сертификат не самоподписанный — если вы используете самоподписанный сертификат, клиент должен иметь параметр certificates или disable_insecure_certificate (в зависимости от реализации). Не рекомендуется ставить insecure навсегда.
• Срок действия сертификата — убедитесь, что сертификат не просрочен. Проверить можно командой openssl s_client -connect SERVER:PORT -quic, но не все версии OpenSSL поддерживают QUIC.
• SNI (Server Name Indication) — клиент должен указывать правильное имя хоста, которое соответствует сертификату. Если вы заходите по IP, а сертификат выдан на домен, возникнет ошибка.

В логах TUIC часто появляются сообщения вроде “tls: failed to verify certificate” или “x509: certificate is not valid”. Если вы видите их — причина в сертификате.

Для диагностики с сервера можно протестировать цепочку сертификатов:

echo | openssl s_client -connect YOUR_DOMAIN:port 2>/dev/null | openssl x509 -noout -dates

Но это работает только для TCP. Для QUIC лучше применить специализированный инструмент, например qkey или quic-tester.

Настройка клиента: распространённые ошибки

Если сервер в порядке, ищем проблему в клиенте. Рассмотрим типичные ошибки на примере популярных клиентов: NekoBox, sing-box, TUIC-Client.

1. Неверный адрес сервера. Убедитесь, что вы используете именно IP или домен, который прослушивает TUIC. Если за сервером стоит прокси или CDN, возможны несоответствия.

2. Ошибка в UUID или токене. UUID и токен должны совпадать с серверным конфигом. Любая ошибка приведёт к отклонению соединения.

3. Неправильный параметр ALPN (Application-Layer Protocol Negotiation). TUIC может требовать ALPN h3 для QUIC. Если клиент не передаёт нужный ALPN, сервер может разорвать соединение.

4. Использование TCP вместо UDP. Некоторые клиенты по ошибке настраивают TUIC как TCP-прокси. Проверьте, что в профиле используется протокол TUIC и транспорт QUIC.

5. Неправильный порт. Убедитесь, что порт в клиенте совпадает с портом на сервере, и он указан как UDP.

Также обратите внимание на логи клиента. В sing-box можно включить логирование уровня debug и посмотреть точную причину отказа.

Сетевые ограничения и блокировки

Иногда проблема не в вашем сервере, а в сети. Многие провайдеры блокируют или ограничивают UDP-трафик, особенно на нестандартных портах. Это типично для корпоративных сетей, но встречается и у домашних операторов.

Попробуйте сменить порт на более распространённый (например, 443). Это часто помогает обойти фильтрацию.

Ещё один нюанс — MTU (Maximum Transmission Unit). Если MTU слишком маленький, QUIC-пакеты могут фрагментироваться, что приводит к потере соединения. В этом случае проверьте настройки сети на клиенте и сервере.

Для диагностики сетевых блокировок можно использовать mtr или traceroute, но они работают по ICMP/TCP. Если UDP-пакеты теряются, вы увидите это по статистике потерь.

Пошаговый план диагностики

Соберём всё в полезный чек-лист:

1. Проверьте, что сервер TUIC запущен и слушает UDP-порт: ss -unlp | grep PORT.
2. Убедитесь, что UDP-порт открыт в файрволе ОС и на панели облачного провайдера.
3. Захватите трафик на сервере: tcpdump -i any udp port PORT. Посмотрите, приходят ли пакеты от вашего клиента.
4. Если пакеты не приходят — проблема в сети. Попробуйте другой порт или другой канал связи (например, мобильный интернет).
5. Если пакеты приходят, но клиент всё равно не подключается, проверьте лог TUIC на сервере. Ищите ошибки TLS, неверный UUID или ALPN.
6. В клиенте проверьте все параметры: адрес, порт, UUID, токен, SNI, ALPN, позволяет ли клиент использовать недоверенный сертификат.
7. Включите отладочное логирование в клиенте и посмотрите, на каком этапе обрывается соединение.
8. Попробуйте применить другой клиент (например, sing-box) для изоляции проблемы.

Если все шаги выполнены, а подключение по-прежнему не работает, сверьтесь с актуальной официальной документацией TUIC на GitHub или TUIC Wiki.