VPN на роутере Keenetic: пошаговая настройка WireGuard и VLESS

Сценарий повторяется у меня в поддержке из недели в неделю. Человек настроил VPN на телефоне, всё отлично. На ноутбуке — тоже. Потом дошёл до телевизора, а там приложение ставить некуда, потом вспомнил про приставку в детской, и тут приходит правильная мысль: зачем настраивать каждое устройство, если весь домашний трафик и так идёт через одну коробку.

Роутер — единственная дверь из вашей квартиры в интернет. Поставили замок — он работает для всех, кто через неё выходит, и телевизору не нужно уметь ничего самому. Один раз настроили, дальше живёте. Keenetic тут, по моему опыту, самый удобный из массовых: человеческий веб-интерфейс, модульная прошивка и нормальный механизм выборочной маршрутизации. Я ставил его родителям, себе на дачу и паре знакомых, так что грабли, на которые вы наступите, я, кажется, уже собрал все. Разберу по шагам.

Зачем вообще тащить VPN на роутер

Главная причина одна: есть устройства, где клиент поставить негде. Smart TV с урезанной операционкой, приставка, консоль, колонка, камера — либо магазина приложений нет, либо в нём нет нужного, либо есть, но работает через раз. Роутер решает вопрос разом для всего, что подключено к домашней сети, включая то, что вы принесёте домой в следующем году. Вторая причина — ничего не надо включать: туннель поднят постоянно, забыть невозможно. Для семьи это, по моему опыту, решающий аргумент. Объяснять домашним, куда нажимать, приходится ровно ноль раз. Третья — арифметика: устройств у семьи пятнадцать-двадцать, и настраивать каждое руками — вечер, которого мне жалко.

Теперь честно про минусы, и оговорюсь о них сразу, а не когда вы всё настроили и обнаружили странное. Шифрование ест процессор: роутер — не компьютер, чип у него слабенький, и на бюджетных моделях скорость через туннель проседает ощутимо. Второй минус хуже. Если весь трафик пойдёт через VPN, российские сервисы начнут капризничать — банки, госпорталы, маркетплейсы, доставка, — они иностранные адреса не любят. Лечится выборочной маршрутизацией, и это обязательный этап, а не опция для аккуратистов. Кстати, если вам нужен один телевизор, посмотрите заодно отдельный разбор про VPN на Smart TV и приставках.

[Изображение: схема домашней сети — какие устройства идут через туннель, какие напрямую]

Какие модели потянут

Вопрос «поддерживает ли мой Keenetic VPN» распадается на два: есть ли компонент в прошивке и хватит ли процессора. С компонентами просто — WireGuard в KeeneticOS живёт давно и есть почти везде, где ещё выходят обновления; роутер снят с поддержки, компонента может не оказаться, и тут я ничем не помогу. А с процессором интереснее, и ниже примерная картина по классам.

Конкретных цифр намеренно не пишу: они зависят от прошивки, числа клиентов и от того, что ещё крутится на роутере. Точный ответ даёт только тест на вашем железе. Правило простое: тариф больше сотни мегабит, а роутер базовый — этой сотни через туннель вы не увидите. Не поломка и не вина VPN, а чистая физика: процессору надо шифровать каждый пакет, и он делает это как умеет. Почему так, я разбирал в статье о том, почему VPN тормозит.

Впрочем, отдельно про протоколы. WireGuard на Keenetic работает штатно и настраивается за пять минут. VLESS штатной поддержки не имеет — о нём в своём разделе, и там всё сложнее.

Подготовка: прошивка и компоненты

Прежде чем настраивать, приведите роутер в порядок, и не пропускайте этот шаг, даже если он выглядит формальностью: половина странных проблем, которые я разбирал, лечилась обновлением прошивки — в старых сборках компоненты вели себя иначе, и человек честно повторял инструкцию, а она честно не работала. Действий ровно два.

Обновите прошивку. Зайдите в веб-интерфейс роутера (обычно 192.168.1.1 или my.keenetic.net), найдите раздел с общими настройками и обновлениями. Доступна новая версия — ставьте. Роутер перезагрузится, минуты на три связь пропадёт.

Установите нужные компоненты. KeeneticOS собирается из модулей, лишнее памяти не занимает. В том же разделе есть управление набором компонентов — список всего, что можно поставить. Найдите и отметьте:

• клиент WireGuard — он же VPN-компонент с таким названием;
• компонент с приоритетами подключений и политиками доступа — без него не получится направлять отдельные устройства в туннель;
• если планируете работать со списками маршрутов — компонент, добавляющий статическую маршрутизацию.

После выбора роутер установит отмеченное и перезагрузится. Ещё пара минут. И третье, необязательное, но я бы советовал: зайдите в список подключённых устройств и дайте им человеческие имена — «Телевизор в гостиной» вместо «android-a4f91c». Когда дойдёте до политик и увидите два десятка одинаковых строчек, скажете себе спасибо. Я не сделал и потом полчаса выяснял, какой из трёх безымянных андроидов телевизор.

[Изображение: страница выбора компонентов KeeneticOS с отмеченным клиентом WireGuard]

WireGuard: основной способ

Это рабочий путь для Keenetic, и занимает он несколько минут. Сначала возьмите конфигурацию: в кабинете выберите WireGuard и запросите конфиг для роутера — придёт файл или текст, внутри которого приватный ключ устройства, адрес в туннеле, публичный ключ сервера, его адрес с портом и разрешённые подсети. Не знаете, какой конфиг нужен, — напишите в поддержку, скажите, что настраиваете Keenetic, пришлют готовый. Дальше в веб-интерфейсе роутера.

1. Откройте раздел с другими подключениями — там, где живут VPN-клиенты всех типов.
2. Добавьте новое подключение WireGuard.
3. Удобнее всего загрузить файл конфигурации целиком: Keenetic разберёт его сам и разложит по полям. Если файла нет, а есть текст, заполняйте руками: ключи, адрес интерфейса, адрес и порт сервера, разрешённые подсети.
4. Включите поддержание соединения (keepalive) — обычно это поле с интервалом в секундах. Без него туннель имеет привычку тихо засыпать за NAT провайдера.
5. Сохраните и включите подключение. В списке оно должно загореться как активное.

Про четвёртый пункт скажу отдельно: когда-то он стоил мне половины ночи. Вечером всё работало идеально, а утром интернет на телевизоре пропадал, и я искал проблему в телевизоре, потом в политиках, потом в провайдере. Вернее, искал везде, кроме пустого поля keepalive. NAT провайдера тихо закрывал неактивную сессию, туннель этого не замечал и продолжал считать себя живым. Заполните поле сразу. Если же интерфейс поднялся, а зелёного статуса нет, виноват либо порт (провайдер режет UDP), либо неверно скопированный ключ: ключи длинные, потерять символ проще простого.

[Изображение: список подключений Keenetic с активным WireGuard-туннелем]

И важный момент, который пропускают многие. Туннель поднялся, но трафик через него ещё не идёт: роутер не знает, кого туда отправлять. За это отвечают политики доступа, им посвящены следующие разделы. К слову, если вы выбираете протокол именно для роутера, WireGuard почти всегда правильный ответ: он легче для процессора. Сравнение с OpenVPN у меня разложено отдельно.

VLESS на Keenetic: когда без него никак

Скажу сразу, если честно: штатной поддержки VLESS в KeeneticOS нет. Роутер умеет WireGuard, IPsec, OpenVPN, SSTP и ещё несколько классических протоколов, но VLESS в этот список не входит. Зачем он тогда нужен? Затем, что WireGuard неплохо опознаётся системами фильтрации и в некоторых сетях просто не поднимется, а VLESS с Reality этим не страдает. Путь есть, но для тех, кто не боится консоли: на роутер ставится пакетный менеджер Entware — нужен USB-порт и флешка, — дальше в это окружение ставится прокси-клиент с VLESS и настраивается перенаправление трафика. Звучит бодро. На практике иначе, и вот во что вы ввязываетесь.

• нужна модель с USB-портом — на базовых линейках его часто нет;
• нужна флешка, которая будет постоянно торчать в роутере;
• настройка идёт через командную строку, а не мышкой;
• после обновления прошивки конструкция может потребовать внимания;
• процессорная нагрузка выше, чем у WireGuard, — на слабом роутере это чувствуется.

Моё мнение: для дома это, скажем так, перебор в девяти случаях из десяти. Работает WireGuard — оставайтесь на нём. Не работает никак, а VLESS нужен на всю сеть, — честнее посмотреть в сторону роутера с OpenWrt, где такое делается штатными средствами, либо поставить рядом отдельную маленькую машинку. Есть и компромисс, который выручает чаще всего: WireGuard на роутере для устройств без приложений, а на телефонах и ноутбуках — обычный клиент с VLESS. Два уровня, каждый на своём месте.

Маршрутизация: чтобы банки не отвалились

Вот раздел, который делает всю затею пригодной для жизни, и пропустить его нельзя. Включили туннель, назначили основным — и через него уходит весь трафик, после чего выясняется, что банковское приложение ругается, госпортал показывает странное, доставка не определяет адрес, а видео с российского хостинга грузится вдвое медленнее, потому что летит через половину Европы и обратно. Дом формально работает. Просто жить в нём неудобно. Решается двумя подходами, и комбинировать их полезнее, чем выбирать один.

По устройствам. Самое простое и надёжное, я сам так и живу. Телевизор и приставка — в туннель, остальное напрямую. Делается через политики доступа, следующий раздел целиком про это.

По адресам назначения. Тут вы говорите роутеру: эти подсети всегда идут мимо туннеля, напрямую через провайдера. В Keenetic для этого есть статические маршруты — правило указывает подсеть назначения и подключение, через которое её слать. Подход рабочий, но с ограничением: маршруты задаются по IP, а не по доменам, крупный банк живёт на десятке подсетей, и подсети меняются, так что вести список руками — занятие на любителя.

Поэтому совет, к которому я пришёл не сразу: не загоняйте весь дом в туннель, выковыривая оттуда исключения. Сделайте наоборот. Пусть дом ходит напрямую, а в туннель попадают только те устройства, которым это правда нужно: меньше работы, меньше поломок, и домашние не приходят к вам с вопросами. Про выборочный пропуск трафика вообще — в разборе раздельного туннелирования, там та же логика на уровне одного устройства.

Политики доступа: разные правила для разных устройств

Это лучшая часть Keenetic, и ради неё многие его и держат, я в том числе. Кстати, смысл простой: вы создаёте несколько политик — наборов правил о том, через какое подключение ходит трафик, — и раскидываете по ним устройства, телевизор в одну, рабочий ноутбук в другую, остальное в третью. Живёт всё это в разделе приоритетов подключений.

1. Создайте новую политику, назовите по-человечески: «Через VPN».
2. Укажите приоритет подключений — WireGuard-туннель первым. Решите, что делать при его падении: пускать трафик через провайдера или не пускать вовсе. Второе строже, первое удобнее.
3. Перейдите к списку зарегистрированных устройств, найдите телевизор или приставку и назначьте им созданную политику.
4. Всем остальным оставьте политику по умолчанию, где основным идёт провайдер.

[Изображение: экран политик доступа с распределением устройств по подключениям]

Если нужен только телевизор, настройка сводится к этим четырём пунктам: создали политику, кинули в неё устройство, готово, остальной дом даже не заметит. Но есть два замечания из опыта, и оба я выучил трудным способом. Первое: устройство должно быть в списке зарегистрированных, и если телевизора там нет — включите его и обновите страницу. Второе тоньше. Привязка идёт по MAC-адресу, а телефоны и часть телевизоров любят подменять его при каждом подключении, так что в настройках Wi-Fi отключите приватный или случайный MAC для домашней сети. Иначе устройство будет выпадать из политики, а вы будете думать, почему сегодня работает, а вчера не работало. Я думал два дня.

Проверяем, что всё работает

Проверять надо с самого устройства, а не из веб-интерфейса: статус «подключено» говорит лишь о том, что туннель жив, и ничего — о том, кто в него попадает. На устройстве, которое вы засунули в политику с VPN, откройте страницу проверки соединения: должен показаться адрес VPN-сервера, а не ваш домашний. Потом то же с устройства, которое в туннель не попало, — там адрес обязан остаться прежним. Показывают одно и то же — политика не применилась. Телевизор проверить сложнее, браузера на нём может не быть, и выручает хитрость: временно назначьте политику телефону, проверьте с него, потом верните. Скорость мерьте до включения туннеля и с ним, на одном устройстве и желательно по кабелю — Wi-Fi добавляет случайностей. Падение будет. Вопрос в размере. Упало до неприемлемого — попробуйте другой узел, география сервера влияет сильно.

[Изображение: сравнение теста скорости до и после включения туннеля на роутере]

Семь проблем, с которыми сталкиваются все

Туннель не поднимается. Проверьте ключи — их, по моему опыту, копируют с потерей символов постоянно. Дальше порт: у некоторых провайдеров UDP на нестандартных портах чувствует себя плохо, попросите конфиг на другом порту.

Туннель поднялся, а трафик не идёт. Классика Keenetic, мне пишут про это чаще всего. Подключение создано, но ни одно устройство в него не направлено. Идите в политики доступа и назначьте кого-нибудь.

Скорость упала сильнее, чем ожидали. Сначала класс роутера в таблице выше, потом смена сервера на более близкий. Модель базовая, а канал быстрый — вариантов немного: смириться или оставить в туннеле те устройства, которым полоса не нужна.

Отваливается через несколько часов. Почти наверняка keepalive, тот самый, из-за которого я не спал. Найдите в настройках интервал поддержания соединения и выставьте, если пустой.

Устройство выпадает из политики. Случайный MAC-адрес, мой любимый. Отключите приватный адрес для домашней сети в настройках Wi-Fi устройства.

Российские сервисы не работают. Значит, в туннель ушло больше, чем нужно. Пересоберите схему: по умолчанию всё идёт напрямую, а в VPN попадают только выбранные устройства. Подробности про то, почему банки и госсервисы закрываются от VPN, — в отдельной статье.

После обновления прошивки всё сломалось. Бывает, хоть и редко — я видел пару раз. Зайдите в настройки и проверьте параметры; иногда проще удалить подключение и создать заново из того же конфига. Политики придётся переназначить.

Что в итоге

Настройка делится на три шага, и ни один нельзя пропустить: обновить прошивку и поставить компоненты, поднять WireGuard-подключение, раскидать устройства по политикам доступа. Третий — самый важный, и именно его чаще всего забывают. Не пытайтесь загнать в туннель весь дом. Отправьте туда то, чему это нужно — телевизор, приставку, консоль, — а остальное пусть ходит напрямую: и скорость сохраните, и с банками не поссоритесь. И держите в голове процессор: роутер шифрует всё своими силами, и на бюджетной модели потолок окажется ниже вашего тарифа. Это не повод отказываться. Это повод заранее понимать, чего ждать.

Конфигурацию для роутера можно получить вместе с ключом — четырнадцать дней теста, карта не нужна, как раз успеете померить скорость на своём железе. Застрянете на любом шаге — поддержка подскажет по конкретной модели: скажите, какой у вас Keenetic, и пришлют конфиг под него.

Частые вопросы

Как настроить VPN на Keenetic?

Обновите прошивку, доставьте в наборе компонентов клиент WireGuard, создайте подключение и загрузите в него конфигурацию из личного кабинета. После этого обязательно зайдите в политики доступа и укажите, какие устройства ходят через туннель — без этого шага подключение будет активно, но трафик через него не пойдёт.

Какие модели Keenetic поддерживают VPN?

Практически все, которые ещё получают обновления прошивки: WireGuard есть и на базовых линейках, и на старших. Разница не в поддержке, а в производительности — чем слабее процессор, тем ниже потолок скорости через туннель. Проверить просто: откройте на роутере список компонентов и поищите там нужный клиент.

Как пустить через VPN только телевизор?

Создайте отдельную политику доступа, в которой первым приоритетом стоит VPN-подключение, и назначьте эту политику телевизору в списке зарегистрированных устройств. Все остальные устройства остаются на политике по умолчанию и продолжают ходить через провайдера напрямую.

Падает ли скорость на роутере?

Да, падает всегда — вопрос в том, насколько. Шифрование считает процессор роутера, и на базовых моделях потолок может оказаться в разы ниже тарифа. На старших линейках запас обычно достаточный. Точную цифру даст только замер на вашем устройстве, до и после включения туннеля.