WireGuard BE550 derrière F660 (DMZ + port forwarding) : octets envoyés OK, aucun reçu

[Bensof2]

Bonjour,

J’essaie de configurer un serveur WireGuard sur un routeur TP-Link Archer BE550 situé derrière un modem ZTE F660 d’Algérie Télécom, pour pouvoir me connecter à distance depuis l’extérieur.

Topologie réseau

• Le modem ZTE F660 est connecté à Internet.

• Le routeur TP-Link Archer BE550 est branché derrière le modem.

• Le WAN de l’Archer reçoit une IP privée du modem en 192.168.1.x.

• Le LAN de l’Archer est sur un autre sous-réseau, en 192.168.50.0/24.

• Le modem a bien une IPv4 publique sur sa connexion PPPoE.

Ce que j’ai configuré

Sur le modem ZTE F660 :

• DMZ activée vers l’IP WAN de l’Archer.

• Redirection de port UDP 51820 vers l’IP WAN de l’Archer.

• La connexion WAN choisie est la PPPoE publique.

Sur le TP-Link Archer BE550 :

• Serveur WireGuard activé

• Port d’écoute : 51820

• J’ai créé un client WireGuard dans la liste des comptes.

• J’ai aussi configuré un DDNS TP-Link.

Côté client WireGuard

J’ai testé depuis un téléphone en 4G, donc hors du Wi-Fi local.

J’ai essayé avec :

• l’IP publique du modem comme Endpoint

• puis le nom DDNS

J’ai aussi testé avec :

• AllowedIPs = 0.0.0.0/0

Symptôme principal

Dans l’application WireGuard :

• les octets envoyés augmentent

• les octets reçus restent à 0

Donc le client semble tenter la connexion, mais aucune réponse ne revient du serveur.

Ce qui semble déjà correct

• le modem a bien une IP publique

• le WAN de l’Archer est bien derrière le modem

• le LAN de l’Archer est différent de celui du modem

• le serveur WireGuard est activé

• le client WireGuard existe bien dans la liste

Ce que je cherche à comprendre

Je voudrais savoir où le blocage est le plus probable :

• filtrage du ZTE F660 malgré DMZ + port forwarding ?

• problème spécifique de WireGuard sur le TP-Link BE550 derrière un double NAT ?

• paramètre manquant côté Archer ?

• comportement particulier du F660 avec les flux UDP entrants ?

Je peux fournir des captures d’écran de l’interface sans informations sensibles, mais je préfère éviter de publier :

• IP publique complète

• nom de domaine DDNS

• clés WireGuard

• captures contenant des identifiants ou MAC complètes

Merci d’avance.