VPN на Keenetic: WireGuard штатными средствами
В KeeneticOS поддержка WireGuard встроена — сторонние прошивки не нужны. Компонент подключается в системных настройках, а конфигурацию можно загрузить файлом.
Порядок настройки
- 1
В разделе «Управление» откройте «Настройки системы», нажмите «Изменить набор компонентов», отметьте «WireGuard VPN» и нажмите «Обновить NDMS». Роутер перезагрузится сам.
- 2
Скачайте конфигурацию WireGuard из личного кабинета DCore.
- 3
В разделе «Интернет» → «Другие подключения» найдите блок WireGuard и нажмите «Загрузить из файла».
- 4
В настройках созданного подключения отметьте «Использовать для выхода в интернет» и нажмите «Сохранить», затем переведите переключатель подключения в положение «Включено». Флажок нужен и тогда, когда туннель предназначен не всем устройствам: без него подключение не появится в «Приоритетах подключений».
Что важно учесть на Keenetic
Приоритеты подключений вместо ручных маршрутов
Keenetic решает выборочную маршрутизацию своим механизмом: в разделе «Приоритеты подключений» создаётся политика, в неё добавляется интерфейс WireGuard, а затем к политике привязываются нужные устройства из списка зарегистрированных. Ни маршрутов, ни правил файрвола писать не требуется.
Процессор ограничивает скорость сильнее тарифа
Шифрование выполняет процессор роутера. На младших моделях линейки потолок через WireGuard заметно ниже гигабитного канала, и туннель становится узким местом. Если провайдер даёт больше, чем роутер успевает шифровать, разумнее пустить в туннель только часть устройств.
AmneziaWG загружается так же — файлом
В терминах Keenetic параметры AmneziaWG называются ASC. Базовый набор прошивка понимает с версии 4.2 и с 4.3.4 подхватывает из файла конфигурации, набор AmneziaWG 2.0 с параметрами S3 и S4 — с ветки 5.1, на основном канале с версии 5.1.1. Параметры версии 3.1 появились в тестовой сборке 5.2 Alpha 11. Профиль AmneziaWG из кабинета DCore второго поколения, поэтому ему нужна прошивка 5.1; на прошивке ниже, в том числе 5.0, загрузите отдельный профиль WireGuard.
Отдельные сайты — маршрутами DNS
Начиная с KeeneticOS 5.0 в туннель можно направить не устройство целиком, а список доменов: на вкладке «Маршруты DNS» страницы «Маршрутизация» он привязывается к подключению WireGuard. Правило действует на устройства в политике по умолчанию и только пока они спрашивают имена у роутера — шифрованный DNS в браузере выводит их из-под него.
Проверка идёт по рукопожатию
В карточке подключения отображается время последнего рукопожатия. Если оно не обновляется, а трафик «отправлено» растёт, пакеты уходят в никуда: обычно это закрытый UDP-порт у провайдера или неверный адрес сервера.
Частые вопросы
Можно ли установить VPN на роутер Keenetic?
Да, штатными средствами: клиент WireGuard входит в KeeneticOS как подключаемый компонент «WireGuard VPN», конфигурация загружается файлом, сторонняя прошивка не нужна. С KeeneticOS 5.1 тем же способом загружается и профиль AmneziaWG из кабинета.
Нужна ли сторонняя прошивка?
Нет. Клиент WireGuard входит в состав KeeneticOS как подключаемый компонент, устанавливать альтернативные прошивки не требуется.
Можно ли направить в туннель только один компьютер?
Да, через «Приоритеты подключений»: создаётся политика с интерфейсом WireGuard, и к ней привязывается конкретное устройство. Остальная сеть продолжит работать напрямую.
Поддерживает ли Keenetic AmneziaWG?
Да. В KeeneticOS параметры AmneziaWG называются ASC и задаются у подключения WireGuard. Базовый набор поддерживается с версии 4.2 и с 4.3.4 подхватывается из файла конфигурации, набор AmneziaWG 2.0 — с ветки 5.1, на основном канале с версии 5.1.1, параметры версии 3.1 — с тестовой сборки 5.2 Alpha 11. Конфигурация загружается кнопкой «Загрузить из файла», как у обычного WireGuard.
Можно ли пустить через туннель только отдельные сайты?
Да, начиная с KeeneticOS 5.0: на вкладке «Маршруты DNS» страницы «Маршрутизация» список доменов привязывается к подключению WireGuard. Действует это на устройства в политике по умолчанию, которые получают адреса имён от роутера.
Что делать, если модель не поддерживает WireGuard?
На старых моделях доступны другие типы подключений, а также можно поднять туннель не на роутере, а на самих устройствах. Второй вариант обычно быстрее: их процессоры мощнее роутерных.
Разобраться глубже
- AmneziaWG на KeeneticВ KeeneticOS AmneziaWG — это не отдельный протокол, а параметры WireGuard, которые прошивка называет ASC. Базовый набор она понимает с версии 4.2, параметры S3, S4 и I1–I5 — с ветки 5.1, версию 3.1 — с тестовой сборки 5.2. Разбираем, какой конфиг на какой прошивке заработает и как его загрузить.
- Выборочная маршрутизация на KeeneticПриоритеты подключений в KeeneticOS решают задачу без единой строки маршрутов: одни устройства ходят через WireGuard, другие мимо. Разбираем, как устроен механизм, чем политика отличается от статического маршрута и что изменилось с появлением маршрутов DNS в версии 5.0.
- Маршруты для VPN на KeeneticВ KeeneticOS три способа отправить в туннель не всю сеть, а отдельные назначения: статический маршрут по адресу, список маршрутов из bat-файла и маршруты DNS по доменным именам, появившиеся в версии 5.0. Разбираем, что умеет каждый, где он настраивается и почему маршрут по имени иногда молча не срабатывает.
- VPN-сервер и клиент на KeeneticVPN-сервер на Keenetic пускает вас из интернета в домашнюю сеть, а VPN-подключение выводит домашнюю сеть в интернет через внешний сервер. Настраиваются они в разных разделах, и серверу нужен публичный адрес, без которого клиент прекрасно обходится. Разбираем, что из двух нужно под вашу задачу.
- Туннель не поднимается после перезагрузкиРоутер перезагрузился — WireGuard не встал, но стоит нажать выключить и включить, и всё работает. Причина почти всегда в порядке запуска: туннель пытается подняться раньше, чем готов интерфейс, через который он идёт. Разбираем четыре варианта и как отличить их по журналу.
- Скорость VPN на KeeneticАппаратное ускорение роутера не работает для трафика в туннеле — шифрование считает процессор. Разбираем, откуда берётся потолок скорости, почему он не совпадает с тарифом провайдера, как измерить свой предел за пять минут и на что смотреть при выборе модели.
- Два туннеля на KeeneticРазвести устройства по разным туннелям через политики получается, а вот отправить один и тот же адрес разным устройствам через разные туннели — нет: маршруты в KeeneticOS общие для всех политик. Разбираем, где проходит граница, что добавили маршруты DNS и когда проще держать второй VPN на самом устройстве.
Готовая конфигурация для Keenetic
30+ серверов в 7 странах, MTProto-прокси для Telegram, до 5 устройств на подписку.
Попробовать бесплатноЧас доступа без оплаты, выдаётся один раз