Quand le tunnel ne se connecte pas

Un handshake qui n’aboutit jamais a presque toujours l’une de cinq causes.

WireGuard est silencieux par construction : quand il échoue, il ne dit pas pourquoi, il n’achève simplement jamais de handshake. Les causes sont peu nombreuses, et voici l’ordre dans lequel il vaut la peine de les vérifier.

1. Ton accès n’est pas joignable depuis l’extérieur

La cause la plus fréquente de toutes, et elle n’est pas dans ta configuration. Beaucoup de fournisseurs placent leurs clients derrière une IPv4 partagée, aussi appelée CGNAT : ton routeur n’a alors aucune adresse à lui sur internet, et rien ne peut ouvrir une connexion vers lui. Tout peut être correct des deux côtés et le tunnel ne montera pourtant jamais.

Le remède est du côté du fournisseur — demande-lui une adresse IPv4 publique, une dynamique suffit, souvent peu chère ou gratuite. L’IPv6, là où elle est proposée, évite entièrement le problème.

2. Le point de terminaison est faux, ou le port n’a jamais été redirigé

Endpoint doit être une adresse que ton appareil peut joindre depuis l’endroit où il se trouve. Deux cas fréquents : le serveur est derrière un routeur domestique dont le port UDP n’a jamais été redirigé, ou l’adresse est dynamique et a changé depuis.

3. L’UDP est bloqué sur le réseau où tu es

WireGuard fonctionne sur UDP, pas sur TCP. Certains réseaux d’hôtel, d’aéroport, de campus ou d’entreprise n’autorisent que les ports 80 et 443 en TCP. Test rapide : essaie la même connexion en cellulaire. Si elle fonctionne là et échoue sur ce Wi-Fi, c’est le réseau qui filtre, et rien n’est faux dans ta configuration.

4. Les clés ne correspondent pas

Chaque côté doit détenir la clé publique de l’autre. Une configuration bâtie à la main finit souvent sans la clé publique du serveur, ou la tienne n’a jamais été ajoutée sur le serveur. Le symptôme est identique à celui d’un point de terminaison faux : le silence.

5. L’horloge est très décalée, ou AllowedIPs est trop étroit

WireGuard rejette les handshakes dont les horodatages paraissent invraisemblables — si la date de ton appareil est nettement fausse, remets-la en automatique. Et si le tunnel est monté mais que la destination que tu vises n’y est pas routée, rien ne semble se produire : voir DNS, routage et tunnel partiel.

Toujours bloqué

Envoie-nous ce que l’application indique, ce qui a changé et sur quel réseau tu es — et, s’il te plaît, caviarde ta clé privée d’abord.