VPN-сервер и VPN-подключение на Keenetic: две роли, которые путают

WireGuard VPN-сервер на Keenetic — это приложение роутера, которое принимает подключения из интернета и пускает их в домашнюю сеть: к файлам на накопителе, камере, рабочему столу компьютера. К выходу в интернет через сторонний VPN-сервис оно отношения не имеет: для этого в KeeneticOS есть другой раздел — подключение WireGuard.

Названия почти одинаковые, протокол один и тот же, а задачи противоположные. Отсюда самая частая ошибка: человек ставит приложение VPN-сервера, чтобы «включить VPN на роутере», и не понимает, почему для домашних устройств ничего не изменилось.

Кто к кому подключается

Всё различие — в направлении.

	VPN-сервер	VPN-подключение
Кто начинает соединение	вы снаружи, роутер ждёт	роутер сам, к внешнему серверу
Зачем	попасть в домашнюю сеть из интернета	вывести домашние устройства в интернет через другой узел
Где настраивается	страница «Приложения»	страница «Другие подключения»
Компонент системы	«WireGuard VPN-сервер»	«WireGuard VPN»
Что нужно от провайдера	публичный IP-адрес	ничего особенного
Что меняется для устройств дома	ничего	выбранные устройства выходят в сеть с адреса внешнего сервера

Документация Keenetic оговаривает, что у самого протокола ролей нет: понятия «клиент» и «сервер» в WireGuard условны, сервером называют устройство, которое ожидает подключения, а клиентом — то, которое его начинает. Роли появляются из того, кто ждёт и кто звонит.

VPN-сервер: вход домой из интернета

Приложение появилось в KeeneticOS 5.0. Сначала ставится компонент «WireGuard VPN-сервер» — в общих настройках системы, через «Изменить набор компонентов», — после чего на странице «Приложения» появляется одноимённая плитка.

Настроек немного:

• «Доступ к сети» — сегмент домашней сети, который увидят подключившиеся;
• «IP-адрес сервера» — внутренний адрес туннеля; клиенты получают адреса из той же подсети;
• «NAT для клиентов» — включён по умолчанию и даёт клиентам сервера выход в интернет;
• «Клиентские пиры» — список тех, кому разрешено подключаться.

Клиент заводится кнопкой «Добавить клиента», и роутер сразу отдаёт готовое: файл конфигурации .conf и QR-код для телефона. Ключи вручную переносить не нужно.

«NAT для клиентов» заслуживает отдельного слова. С ним сервер решает две задачи сразу: из поездки вы не только видите домашние файлы, но и выходите в интернет с домашнего адреса — так, будто сидите дома.

WireGuard — не единственный сервер в прошивке. Есть PPTP, L2TP/IPsec, SSTP, IKEv1 и IKEv2, OpenConnect; OpenVPN настраивается на странице «Другие подключения», где роль задаёт файл конфигурации. Назначение у всех одно — защищённый доступ к домашней сети из интернета.

Серверу нужен публичный адрес, клиенту — нет

Вот место, где схема чаще всего и ломается.

Чтобы к роутеру можно было подключиться снаружи, он должен быть виден из интернета. Документация формулирует это как обязательное условие: роутер должен иметь публичный «белый» IP-адрес, а доменное имя KeenDNS — работать в режиме «Прямой доступ», которому тоже нужен публичный адрес. Иначе подключение к серверу из интернета невозможно.

Многие провайдеры выдают адрес «серый» — общий на сотни абонентов. Исходящие соединения через него работают, входящие нет; подробно это разобрано в статье про CGNAT, там же — как проверить свой адрес за минуту.

Что делать, если адрес серый, а вход домой нужен:

• сервер SSTP или OpenConnect. Эти два типа умеют работать через облако Keenetic даже при частных адресах с обеих сторон; все остальные VPN-серверы требуют публичного. Плата — скорость: соединение идёт через облачный узел, и она зависит от его загрузки;
• публичный адрес у провайдера. Обычно это платная услуга, зато после неё работает любой тип сервера.

Облачный режим самого доменного имени здесь не помощник: через облако KeenDNS пропускает только HTTP и HTTPS — веб-интерфейс роутера так открыть можно, туннель WireGuard нет. В России эта служба с марта 2025 года называется CrazeDNS, устроена она так же.

У VPN-подключения этой проблемы нет вовсе. Роутер сам начинает соединение, а исходящие работают при любом адресе.

VPN-подключение: выход наружу через внешний сервер

Это то, что обычно и имеют в виду под словами «VPN на роутере»: Keenetic подключается к серверу VPN-сервиса и пропускает через него трафик домашних устройств.

Ставится другой компонент — «WireGuard VPN». После этого на странице «Другие подключения» появляется раздел WireGuard с двумя кнопками: «Добавить подключение» для ручной настройки и «Загрузить из файла» — для готовой конфигурации, которую выдаёт сервис. Второй путь короче: ключи, адрес сервера и разрешённые подсети роутер прочитает сам. Начиная с KeeneticOS 5.1 при таком импорте подхватываются и расширенные параметры — в терминах Keenetic они называются ASC, — с которыми выдаётся конфигурация AmneziaWG.

Дальше остаётся решить, кому туннель нужен. Всей сети — включается использование подключения для выхода в интернет. Отдельным устройствам — через приоритеты подключений. Отдельным сайтам — маршрутами. Пошаговый порядок — на странице VPN на Keenetic.

Три ошибки от путаницы ролей

Поставили сервер вместо подключения. Приложение установлено, клиенты заведены, переключатель включён — а телевизор по-прежнему выходит в интернет с домашнего адреса. Всё работает правильно: сервер пускает внутрь и на исходящий трафик домашних устройств не влияет.

Пытаются загрузить конфигурацию сервиса в приложение сервера. Файл от VPN-сервиса описывает подключение к чужому серверу. Его место — раздел WireGuard на странице «Другие подключения».

Ждут работы сервера за серым адресом. Сервер настроен безупречно, QR-код отсканирован, а рукопожатия нет. Дело не в настройках: до роутера с серым адресом снаружи не достучаться.

Можно ли держать оба сразу

Да, и это обычная схема. Роли независимы: сервер и подключение — разные интерфейсы, и роутер бывает тем и другим одновременно. Сервер — чтобы из поездки открыть домашний накопитель. Подключение — чтобы телевизор и приставка ходили через внешний узел.

Так же собирается и связь двух сетей — квартира и дача, дом и офис. Для схем «сеть — сеть» производитель советует не приложение сервера, а страницу «Другие подключения» на обоих роутерах: она гибче. Один роутер ждёт соединения, и ему нужен публичный адрес, второй его начинает.

Что выбрать под задачу

Задача	Что настраивать
Открыть из поездки домашние файлы, камеру, компьютер	VPN-сервер
Выйти в интернет с домашнего адреса, находясь не дома	VPN-сервер с «NAT для клиентов»
Пустить телевизор и приставку через VPN-сервис	VPN-подключение и политика для этих устройств
Связать две сети — квартиру и дачу	подключения WireGuard на обоих роутерах
Нужен вход домой, а адрес у провайдера серый	сервер SSTP или OpenConnect через облако

Коротко

VPN-сервер на Keenetic — это вход: вы подключаетесь из интернета и попадаете в домашнюю сеть. VPN-подключение — выход: роутер сам соединяется с внешним сервером и выводит через него домашние устройства. Сервер живёт на странице «Приложения» и требует публичного адреса; подключение — на странице «Другие подключения» и работает при любом. Если после настройки «VPN на роутере» для домашних устройств ничего не изменилось, скорее всего, настроена не та роль.