Amnezia на Keenetic: настройка VPN на роутере, протоколы и маршрутизация

Зачем настраивать AmneziaVPN на роутере Keenetic

Установка VPN непосредственно на роутер Keenetic решает сразу несколько задач, которые трудно закрыть при использовании VPN только на отдельных устройствах. Во-первых, это единая точка защиты для всей домашней сети: смартфоны, ноутбуки, телевизоры, игровые приставки и умные колонки автоматически попадают в зашифрованный туннель без необходимости устанавливать и настраивать приложения на каждом гаджете. Во-вторых, роутер работает круглосуточно, поэтому VPN-соединение активно всегда, а не только когда пользователь запустил клиент на компьютере. Это особенно важно для устройств интернета вещей, которые не имеют собственных средств настройки VPN.

Кроме того, использование AmneziaWG на роутере обеспечивает более высокий уровень защиты от блокировок по сравнению с обычным WireGuard. AmneziaWG — это форк WireGuard с дополнительной обфускацией, которая маскирует handshake и делает трафик неотличимым от обычного HTTPS. Провайдеру сложнее вычислить и заблокировать такое соединение, что особенно актуально в условиях активного регулирования интернета. Роутер, в отличие от компьютера, работает постоянно, и его трафик легче анализировать, поэтому защита от DPI здесь критически важна.

Наконец, настройка VPN на роутере позволяет гибко управлять маршрутизацией: можно направить через VPN весь трафик, только определённые сайты или IP-подсети, оставив доступ к локальным ресурсам напрямую. Это даёт возможность, например, использовать VPN для обхода блокировок, но сохранить высокую скорость для российских сервисов.

Совместимость Keenetic с AmneziaWG: версии протокола и прошивки

Прежде чем приступать к настройке, важно разобраться в совместимости версий протокола AmneziaWG и прошивки KeeneticOS. На момент написания материала существует несколько версий AmneziaWG: 1.0 (также называемая Legacy), 1.5 и 2.0. Каждая из них имеет свои особенности обфускации и требования к поддержке на роутере.

AmneziaWG 1.0 — самая старая версия, которая поддерживается в KeeneticOS начиная с версии 4.2 Alpha 2, но полная поддержка без дополнительных команд появилась только в версии 4.3.4. Эта версия протокола считается устаревшей и более подвержена блокировкам, однако она остаётся единственным вариантом для роутеров с прошивкой ниже 5.1.

AmneziaWG 1.5 и 2.0 — более новые версии с улучшенной обфускацией. Они нативно поддерживаются в KeeneticOS только начиная с версии 5.1 Alpha 3. Если попытаться загрузить конфигурационный файл AmneziaWG 1.5/2.0 в прошивку 5.0.8 или ниже, появится ошибка "Wireguard": invalid H1 value. Для большинства моделей Keenetic и Netcraze обновление до версии 5.1 доступно через канал разработчика (dev-сборка).

Важно отметить, что файлы конфигурации Amnezia Premium выпускаются только для AmneziaWG 3.1, который KeeneticOS пока не поддерживает нативно. Преобразовать такой файл в конфигурацию AmneziaWG 2.0 невозможно — подключение не будет работать. Поэтому для настройки на роутере необходимо использовать Self-hosted сервер или сторонние VPN-сервисы, предоставляющие конфигурации AmneziaWG 1.5/2.0.

Подготовка роутера: обновление прошивки и резервная копия

Перед настройкой VPN необходимо убедиться, что роутер работает на подходящей версии KeeneticOS. Если у вас версия 5.0.8 или ниже, и вы планируете использовать AmneziaWG 1.5/2.0, потребуется обновление до версии 5.1 или новее. Для этого в веб-конфигураторе перейдите в раздел «Настройки системы» (⚙️ Управление) и выберите канал обновления NDMS — «Канал разработчика». После этого система предложит установить dev-сборку.

Стоит помнить, что dev-сборки могут быть менее стабильными, чем официальные релизы. Перед обновлением рекомендуется ознакомиться с известными проблемами и списком изменений на форуме Keenetic. Также после перехода на канал разработчика лучше отключить автоматическое обновление, чтобы новая dev-сборка не установилась без вашего ведома.

Если при обновлении возникает ошибка «Недостаточно места», необходимо уменьшить размер обновления, отключив неиспользуемые компоненты в разделе «Настройки системы» → «Изменение набора компонентов». Перед любыми изменениями обязательно создайте резервную копию системы и настроек: в разделе «Управление» скачайте два файла — firmware и startup-config. Это позволит откатиться в случае проблем.

Получение конфигурационного файла AmneziaWG

Для настройки VPN на роутере потребуется файл конфигурации с расширением .conf. Его можно получить двумя основными способами: через собственный Self-hosted сервер или через сторонний VPN-сервис, предоставляющий конфигурации AmneziaWG.

Если вы используете Amnezia Self-hosted, файл конфигурации можно экспортировать из приложения AmneziaVPN. Для этого в приложении выберите свой сервер, затем «Поделиться подключением» и укажите «Оригинальный формат AmneziaWG». Важно, чтобы версия протокола соответствовала возможностям вашего роутера: для KeeneticOS 5.1 и новее подойдут AmneziaWG 1.5/2.0, для более старых прошивок — только AmneziaWG 1.0 (Legacy).

Если вы используете сторонний VPN-сервис, например GigaInternet, файл .conf придёт на почту или в Telegram после оплаты подписки или запроса демо-доступа. В этом случае убедитесь, что сервис поддерживает AmneziaWG и предоставляет конфигурации, совместимые с KeeneticOS.

Структура файла .conf стандартна для WireGuard: секция [Interface] содержит PrivateKey, Address и DNS, секция [Peer] — PublicKey, Endpoint и AllowedIPs. В зависимости от версии AmneziaWG в блоке [Interface] могут присутствовать дополнительные параметры обфускации: S3, S4 и I1. Наличие этих параметров определяет, какая версия протокола используется: если есть S3 и S4 — это AmneziaWG 2.0, если только I1 — 1.5, если ничего — 1.0.

Пошаговая настройка VPN на Keenetic: базовые шаги

Процесс настройки VPN на роутере Keenetic состоит из нескольких этапов. Рассмотрим их по порядку.

Шаг 1. Настройка DNS. Перейдите в раздел «Интернет-фильтры» (🛡️ Сетевые правила), вкладка «Настройка DNS», и добавьте серверы 8.8.8.8, 8.8.4.4, 1.1.1.1, 1.0.0.1 и 9.9.9.9. Затем в разделе «Кабель Ethernet» (🌐 Интернет) включите опцию «Игнорировать DNSv4 интернет-провайдера» и отключите IPv6, выбрав режим «Не используется». Эти действия носят рекомендательный характер, но помогают избежать утечек DNS и конфликтов с VPN.

Шаг 2. Установка компонента WireGuard VPN. В разделе «Настройки системы» (⚙️ Управление) нажмите «Изменить набор компонентов», найдите в поиске «wireguard» и установите галочку для «WireGuard VPN». Подтвердите изменения и дождитесь обновления NDMS.

Шаг 3. Загрузка конфигурации. Перейдите в раздел «Другие подключения» (🌐 Интернет), нажмите «Загрузить из файла» и выберите файл .conf. После загрузки поставьте галочку «Использовать для выхода в интернет» и сохраните. Затем включите созданное подключение переключателем.

После этих шагов VPN-соединение должно установиться. Однако важно правильно настроить маршрутизацию, чтобы трафик шёл через VPN нужным образом. Варианты маршрутизации рассмотрим в следующем разделе.

Варианты маршрутизации трафика через VPN

После создания VPN-подключения на роутере Keenetic необходимо выбрать, какой трафик будет направляться через туннель. Доступны четыре основных варианта.

Вариант 1: Весь трафик через VPN. Это самый простой и безопасный вариант. Все устройства в домашней сети будут использовать VPN для выхода в интернет. Настройка сводится к тому, чтобы в свойствах VPN-подключения была включена опция «Использовать для выхода в интернет». Подходит, если вы хотите максимальной конфиденциальности и не зависите от скорости.

Вариант 2: Через VPN всё, кроме российских сайтов (.ru, .рф, .su). Этот вариант позволяет обходить блокировки зарубежных ресурсов, но сохранять быстрый доступ к российским сервисам. Для этого в настройках роутера необходимо добавить правило, исключающее домены .ru, .рф и .su из VPN-туннеля. В KeeneticOS это делается через раздел «Сетевые правила» → «Маршрутизация».

Вариант 3: Через VPN только определённый список IP-подсетей. Если вам нужно, чтобы через VPN ходили только конкретные ресурсы (например, заблокированные сайты), можно указать их IP-адреса или подсети. Остальной трафик пойдёт напрямую. Это экономит трафик и повышает скорость.

Вариант 4: Комбинированный — через VPN только определённые домены и IP-подсети. Наиболее гибкий вариант, позволяющий точно указать, какие ресурсы использовать через VPN. Настройка требует добавления правил в разделе «Сетевые правила» → «Маршрутизация».

Выбор варианта зависит от ваших задач. Для большинства пользователей оптимальным является вариант 2 или 4, так как они обеспечивают баланс между безопасностью и скоростью.

Особенности настройки для старых прошивок KeeneticOS 5.0.8 и ниже

Если ваш роутер работает на KeeneticOS 5.0.8 или ниже, и вы не можете или не хотите обновляться до версии 5.1, существуют ограничения. Для Self-hosted серверов с AmneziaWG 1.5/2.0 потребуется преобразовать конфигурацию в формат AmneziaWG 1.0 (Legacy).

В файле конфигурации AmneziaWG 2.0 присутствуют параметры S3, S4 и I1. Для использования на старых прошивках необходимо создать новый файл конфигурации, выбрав в приложении AmneziaVPN протокол AmneziaWG Legacy. Если на сервере нет Legacy, его нужно установить с помощью AmneziaVPN версии 4.8.11.4 (в этой версии он называется просто AmneziaWG). На сервере можно одновременно иметь обе версии протокола, главное — чтобы они использовали разные порты.

Если в вашем файле конфигурации отсутствуют параметры S3 и S4, но есть I1, его можно использовать, удалив строку с I1. Если же параметров S3, S4 и I1 нет вовсе, файл подходит для старых прошивок без изменений.

Важно помнить, что AmneziaWG 1.0 более уязвим к блокировкам, поэтому для длительного использования рекомендуется всё же обновиться до KeeneticOS 5.1. Также для старых прошивок существуют сторонние решения, о которых можно узнать в Telegram-группе Amnezia VPN (RU).

Использование AmneziaVPN для доступа к домашней сети через VPS

Один из практических сценариев — использование AmneziaVPN и роутера Keenetic для построения туннеля во внутреннюю сеть. Это полезно, когда вы находитесь вдали от дома и хотите получить доступ к устройствам в своей локальной сети (например, к экспериментальному стенду или домашнему серверу).

Схема работает следующим образом: на виртуальном сервере (VPS/VDS) разворачивается VPN-сервер AmneziaWG, а домашний роутер Keenetic подключается к этому серверу в режиме клиента. Внешние клиенты (например, ваш ноутбук) также подключаются к VPN-серверу. Таким образом, все устройства оказываются в одной виртуальной сети, и вы можете обращаться к домашним устройствам по их локальным IP-адресам.

Для реализации потребуется:

• Виртуальный сервер с Linux (например, Ubuntu 22.04 LTS) и Docker;
• Роутер Keenetic с прошивкой 4.3.4 или выше;
• Приложение AmneziaVPN версии 4.8.10.0 для развёртывания сервера.

Развёртывание сервера выполняется через приложение AmneziaVPN: выбираете «Self-hosted VPN», вводите реквизиты SSH, выбираете протокол AmneziaWG и устанавливаете. После этого на роутере настраивается VPN-подключение с использованием полученного конфигурационного файла. Важно настроить маршрутизацию на роутере так, чтобы трафик к домашним устройствам шёл через VPN, а не напрямую.

Этот подход не требует «белого» IP-адреса у провайдера, так как VPN-сервер имеет публичный адрес. Протокол AmneziaWG обеспечивает защиту от блокировок и более высокую скорость по сравнению с SSTP.

Решение типичных проблем при настройке

При настройке AmneziaVPN на роутере Keenetic могут возникнуть типичные проблемы. Рассмотрим их и способы решения.

Ошибка «Wireguard: invalid H1 value». Эта ошибка возникает при попытке загрузить конфигурацию AmneziaWG 1.5/2.0 в KeeneticOS 5.0.8 или ниже. Решение — обновить прошивку до версии 5.1 или новее, либо использовать конфигурацию AmneziaWG 1.0.

Не удаётся подключиться к VPN. Проверьте, что в конфигурации указан правильный Endpoint (адрес сервера и порт). Убедитесь, что порт не блокируется провайдером. В некоторых случаях помогает смена порта на нестандартный (например, 33483/udp). Также проверьте, что в настройках роутера включён компонент WireGuard VPN.

Низкая скорость соединения. Роутеры с маломощным процессором могут не справляться с шифрованием WireGuard на высоких скоростях. Если скорость ниже ожидаемой, попробуйте отключить IPv6 на роутере или использовать более производительную модель. Также проверьте, не перегружен ли VPN-сервер.

Интернет не работает после подключения VPN. Убедитесь, что в настройках VPN-подключения включена опция «Использовать для выхода в интернет». Проверьте правила маршрутизации — возможно, трафик не направляется через VPN. Попробуйте пропинговать 8.8.8.8 с устройства за роутером.

Если проблема не решается, обратитесь к документации Amnezia или на форум Keenetic.

Сравнение с альтернативными способами настройки VPN на роутере

AmneziaWG — не единственный протокол, который можно использовать на роутере Keenetic. Рассмотрим альтернативы и их особенности.

Обычный WireGuard. Базовый протокол WireGuard поддерживается KeeneticOS нативно. Он быстрый и простой в настройке, но не имеет встроенной обфускации, поэтому его трафик легче обнаружить и заблокировать. Если вы не сталкиваетесь с блокировками, WireGuard может быть достаточным.

OpenVPN. Классический протокол с широкими возможностями настройки, но более медленный и сложный в конфигурации. Поддерживается KeeneticOS, но требует ручной настройки сертификатов и ключей.

SSTP. Протокол на основе SSL/TLS, который может работать через Keenetic Cloud без «белого» IP. Однако, как показывает практика, SSTP может быть подвержен блокировкам со стороны провайдеров.

AmneziaWG сочетает в себе скорость WireGuard и защиту от DPI благодаря обфускации. Это делает его предпочтительным выбором для регионов с активным регулированием интернета. Кроме того, AmneziaVPN предоставляет удобные инструменты для развёртывания собственного сервера.

При выборе протокола учитывайте требования к скорости, стабильности и защите от блокировок. Для большинства пользователей AmneziaWG является оптимальным решением.

Вопросы и ответы