VPN на роутере: Keenetic, OpenWrt и ASUS

VPN в приложении защищает одно устройство. Роутер защищает всю квартиру сразу: телевизор, приставку, консоль, ноутбуки и умные устройства, куда приложение не поставить. Один раз настроили — и дальше оно работает само.

Зачем ставить VPN на роутер, а не на телефон

• Один туннель на всё. Не нужно включать VPN на каждом устройстве по отдельности.
• Устройства без приложений. Smart TV, приставки, камеры, холодильник — VPN на них не поставить.
• Не сбивается. Телефон перезагрузился, приложение выгрузилось — на роутере туннель продолжает работать.

Минусы тоже есть, и о них честно: скорость упирается в процессор роутера, а при падении туннеля без интернета может остаться вся домашняя сеть. Поэтому настройки ниже даны с оговорками.

Что понадобится

• файл конфигурации .conf — отдельный, только для роутера (один конфиг = одно устройство);
• роутер с поддержкой WireGuard или с OpenWrt;
• доступ к веб-панели роутера;
• провайдер, который не блокирует UDP.

Keenetic

1. Обновите KeeneticOS. Нужна версия 3.6 и новее (в 4.x настройка удобнее).
2. Добавьте компонент WireGuard. «Управление» → «Общие настройки» → «Изменить набор компонентов» → включите WireGuard.
3. Создайте подключение. «Интернет» → «Другие подключения» → WireGuard → «Создать».
4. Заполните поля из конфига. Значения берите из файла .conf без изменений.
5. Поднимите приоритет. В «Приоритетах подключений» поставьте WireGuard выше провайдера.
6. Пропишите DNS. «Интернет» → «DNS» → 10.66.0.1. Тогда вся квартира получит ещё и блокировку рекламы.

OpenWrt

Сначала поставьте пакеты по SSH:

opkg update
opkg install wireguard-tools kmod-wireguard luci-proto-wireguard

1. Создайте интерфейс. «Network» → «Interfaces» → «Add new interface», протокол — WireGuard VPN.
2. Загрузите конфиг. Кнопка «Load Configuration» и выбор файла .conf. Если вручную — заполните Private Key, а в Peers: Public Key, Endpoint, Allowed IPs, Persistent Keepalive 25.
3. Настройте firewall. Создайте зону wg: input reject, output accept, forward reject, включите masquerade.
4. Раздайте DNS. «Network» → «DHCP and DNS» → в LAN-параметрах укажите 10.66.0.1.
5. Сохраните. «Save & Apply» и проверьте внешний IP.

ASUS

• Стоковая прошивка AsusWRT. WireGuard-клиент есть в свежих версиях у части моделей (RT-AX58U, RT-AX86U, RT-AX88U и новее). «VPN» → «VPN Client» → WireGuard → «Add profile» → импорт .conf.
• AsusWRT-Merlin. Тот же раздел, есть почти на всех моделях. Дополнительно включите «Redirect Internet traffic» → All.
• DNS. «WAN» → «DNS Server» → «No» и вручную 10.66.0.1.

Если WireGuard нет ни в стоке, ни в Merlin — варианта два: поставить OpenWrt на этот роутер или поднять отдельный шлюз на мини-ПК или Raspberry Pi.

Настройки, без которых не заработает

• MTU. Если часть сайтов не открывается — поставьте MTU 1280 на интерфейсе. Это самая частая причина «полурабочего» VPN.
• IPv6. Если провайдер не даёт IPv6 — уберите ::/0 из Allowed IPs и IPv6-адрес из Address, иначе туннель может не подняться.
• Автозапуск. Включите поднятие туннеля при загрузке, иначе после отключения электричества VPN не вернётся.
• UDP. Если провайдер душит UDP, туннель будет «подниматься и отваливаться». Решение — обфускация (AmneziaWG) или другой порт.
• Скорость. Домашний роутер обычно даёт 30–100 Мбит/с по WireGuard, Wi-Fi режет сильнее кабеля.

Как проверить, что всё работает

1. С любого устройства в квартире откройте проверку IP — адрес должен отличаться от обычного.
2. Проверьте DNS: запрос должен уходить на 10.66.0.1.
3. Откройте один российский и один зарубежный сайт — оба должны грузиться.
4. Перезагрузите роутер и убедитесь, что туннель поднялся сам.

Частые вопросы

Можно использовать один конфиг на роутер и телефон?

Нет. На каждое устройство выпускается отдельный конфиг, иначе они будут попеременно отключать друг друга.

Скорость просела вдвое — это нормально?

Для роутера среднего класса — да. Помогают кабель вместо Wi-Fi, диапазон 5 ГГц и MTU 1280.

Нужен ли VPN на роутере, если он есть на телефоне?

Для телевизора, приставки и умных устройств — да, иначе они ходят в интернет напрямую.

Будет ли блокировка рекламы на всех устройствах?

Да, если DNS в роутере указывает на 10.66.0.1: фильтрация работает на уровне DNS для всей сети.