AmneziaWG на Keenetic настраивается без сторонних прошивок и без отдельного клиента: в KeeneticOS это не самостоятельный протокол, а дополнительные параметры обычного подключения WireGuard. Прошивка называет их ASC и умеет брать прямо из файла конфигурации.

Вопрос только в версии. Параметры AmneziaWG менялись вместе с протоколом, и поддержку прошивка получала в разное время: конфиг, который работает на одном Keenetic, на соседнем, с прошивкой ниже, работать не будет. Разберём, какой набор с какой версии поддерживается, как это сверить с вашим файлом и что делать, если прошивка не подходит.

Какие параметры понимает прошивка

Обычный WireGuard выдаёт себя заголовками и размерами служебных пакетов — подробно об этом в разборе AmneziaWG. Параметры AmneziaWG меняют ровно эти признаки, и с каждой версией протокола их становилось больше.

Параметры С какой версии KeeneticOS
Jc, Jmin, Jmax, S1, S2, H1–H4 — базовый набор 4.2; из файла подхватываются с 4.3.4
плюс S3, S4, I1–I5 — набор AmneziaWG 2.0 ветка 5.1
параметры AmneziaWG 3.1 тестовая сборка 5.2 Alpha 11

Базовый набор. По документации Amnezia, поддержка появилась в сборке KeeneticOS 4.2 Alpha 2. До версии 4.3.3 включительно файл конфигурации загружался как обычный WireGuard, а параметры приходилось вписывать отдельной командой в командной строке роутера. Начиная с 4.3.4 они подхватываются из файла сами.

Набор второй версии. В заметках о выпусках KeeneticOS 5.1 записано: добавлена поддержка расширенных параметров ASC через импорт файла конфигурации или командную строку. Это сборка 5.1 Alpha 3 от 28 февраля 2026 года. Дальше импорт исправляли: в Alpha 5 — загрузку конфигураций с параметрами ASC, в Beta 4 — ошибку с параметром I1, а в ветке 5.2 улучшили проверку этих параметров при импорте. На основном канале обновлений ветка 5.1 вышла версией 5.1.1 в июле 2026 года. Ветка 5.0, которая шла на основном канале до лета, расширенных параметров не знает.

Версия 3.1. Поддержку её параметров добавили в тестовую сборку KeeneticOS 5.2 Alpha 11 от 25 сентября 2026 года. На момент написания ветка 5.2 доступна только в тестовых каналах обновлений.

Что делают параметры. S1–S4 — случайные добавки к пакетам четырёх видов: началу рукопожатия, ответу на него, служебному cookie-ответу и пакетам с данными; S3 и S4 закрывают последние два. H1–H4 заменяют номера типов сообщений, по которым WireGuard узнаётся с первого байта. I1–I5 описывают пакеты, которые клиент отправляет перед рукопожатием; это необязательные параметры.

Отсюда простое правило совместимости. Добавки S1–S4 и номера H1–H4 должны совпадать с сервером: сервер ждёт пакеты именно такого вида. Прошивка, которая не знает S3 и S4, не сможет их соблюдать — даже если загрузит остальное.

Какой конфиг выдаёт кабинет DCore

Для роутера в личном кабинете DCore подходят два профиля семейства WireGuard. Это два разных подключения к серверу, со своими ключами, поэтому и файлы у них разные.

Профиль в кабинете Что внутри файла Нужная прошивка
AmneziaWG Jc, Jmin, Jmax, S1–S4, H1–H4 KeeneticOS 5.1 и новее
WireGuard обычные поля WireGuard, без параметров ASC любая с компонентом «WireGuard VPN»

Профиль AmneziaWG у нас — набор второй версии: в нём есть S3 и S4, а H1–H4 заданы одиночными числами. Значит, на прошивках 4.x и 5.0 он не заработает, а на 5.1 загружается целиком из файла; параметры версии 3.1 ему не нужны. Сейчас в наших файлах нет и I1–I5, поэтому вписывать их не нужно.

Конфиг берут целиком из кабинета и ничего в нём не меняют: значения параметров в файле уже согласованы с сервером, к которому он выдан.

В том же файле задан MTU — значение взято с сервера, его стоит оставить как есть. При завышенном MTU на мобильных сетях встречается узнаваемая картина: мелкие запросы проходят, крупные страницы не открываются. Почему так бывает, разобрано в статье про MTU в туннеле.

Как загрузить конфигурацию

Порядок тот же, что для обычного WireGuard, — меняется только файл.

  1. В разделе «Управление» откройте «Настройки системы» и нажмите «Изменить набор компонентов». Найдите «WireGuard VPN», отметьте его и нажмите «Обновить NDMS», если компонента ещё нет. Роутер перезагрузится сам.
  2. В личном кабинете DCore добавьте устройство и выберите протокол AmneziaWG. Скачайте файл .conf.
  3. В веб-конфигураторе Keenetic откройте «Интернет» → «Другие подключения», нажмите «Загрузить из файла» и выберите скачанный файл.
  4. В настройках созданного подключения отметьте «Использовать для выхода в интернет» и нажмите «Сохранить».
  5. Переведите переключатель подключения в положение «Включено».

Флажок из шага 4 ставят и тогда, когда туннель нужен не всем устройствам: без него подключение не появится в «Приоритетах подключений». Чтобы через туннель шли только выбранные устройства, в разделе «Интернет» → «Приоритеты подключений» основное подключение в политике по умолчанию держат выше WireGuard, а для нужных устройств заводят отдельную политику. Как именно — в статье про выборочную маршрутизацию.

Если прошивка ниже 5.1

Вариантов два.

Обновить прошивку. Если для вашей модели на основном канале уже есть ветка 5.1, это самый простой путь: после обновления конфиг AmneziaWG загружается как есть. Версию прошивки видно в веб-конфигураторе роутера, а обновление ставится оттуда же.

Взять профиль WireGuard. Он не содержит параметров ASC и загружается на любой прошивке с компонентом «WireGuard VPN». Порядок тот же, только в кабинете выбирается протокол WireGuard. Отличие одно — в каких сетях соединение устанавливается: обычный WireGuard подключается не во всех сетях, AmneziaWG — стабильнее.

Собирать набор AmneziaWG вручную командой в командной строке на прошивке ниже 5.1 смысла нет: команда принимает только базовые параметры, а наш сервер ждёт и S3 с S4.

Проверка после загрузки

Рукопожатие. В карточке подключения отображается время последнего рукопожатия. Обновляется — туннель установлен. Не обновляется, а счётчик отправленного растёт — пакеты уходят, но ответа нет: проверьте, тот ли файл загружен и подходит ли прошивка.

Прошивка не принимает файл. Сверьте её версию с таблицей выше: нашему профилю AmneziaWG нужна 5.1. Если прошивка уже 5.1, поставьте последнюю сборку ветки: ошибки импорта параметров ASC в ней исправляли несколько раз.

Рукопожатие есть, а сайты не открываются. Сначала убедитесь, что файл загружен из кабинета без правок, а прошивка — 5.1 или новее: если добавка S4 не совпадёт с сервером, рукопожатие пройдёт, а пакеты с данными сервер отбросит. Если с этим всё в порядке, проверяйте маршрут, как для любого туннеля, — порядок в статье «Подключился, но интернета нет».

После перезагрузки роутера туннель не поднимается сам. Узнаваемая история, к AmneziaWG не относится, — разобрана отдельно.

AmneziaWG или обычный WireGuard на роутере

Что важно Что выбрать
Прошивка 4.x или 5.0, а обновления до 5.1 для модели нет WireGuard
Прошивка 5.1, обычный WireGuard подключается не всегда AmneziaWG
Прошивка 5.1, обычный WireGuard работает без нареканий любой: по скорости разница невелика
Нужен туннель только для части устройств любой плюс приоритеты подключений

Разница в скорости небольшая: основные добавки AmneziaWG приходятся на рукопожатие, а к пакетам с данными добавляется префикс S4 — не длиннее 32 байт. Потолок скорости на роутере задаёт не протокол, а процессор модели — об этом в статье про скорость и модели Keenetic.

Коротко

В KeeneticOS AmneziaWG — это параметры ASC у обычного подключения WireGuard. Базовый набор прошивка понимает с версии 4.2 и подхватывает из файла с 4.3.4; параметры S3, S4 и I1–I5 — с ветки 5.1, которая вышла на основной канал версией 5.1.1 в июле 2026 года; параметры версии 3.1 — пока только в тестовой сборке 5.2.

Профилю AmneziaWG из кабинета DCore нужна прошивка 5.1: в нём есть S3 и S4. Загружается он файлом в разделе «Другие подключения», вручную ничего вписывать не нужно. Если прошивка ниже 5.1 и обновления нет, тем же порядком загружается отдельный профиль WireGuard: он работает на любой версии, но подключается не во всех сетях. Общий порядок настройки VPN на этих роутерах — на странице VPN на Keenetic.