Настройка VPN-сервера на роутере Keenetic: OpenVPN, WireGuard и AmneziaWG

Зачем нужен VPN-сервер на роутере Keenetic

VPN-сервер на роутере Keenetic позволяет организовать защищённое соединение между вашим домашним или офисным сетевым оборудованием и внешними устройствами. Это может быть полезно для доступа к корпоративным ресурсам, для объединения двух офисов в единую сеть или для безопасного подключения к домашней сети из любой точки мира. В отличие от использования VPN-клиента на отдельном устройстве, сервер на роутере обеспечивает защиту для всех устройств, подключённых к домашней сети, без необходимости настраивать каждое из них.

Keenetic поддерживает несколько протоколов VPN: OpenVPN, WireGuard, PPTP, L2TP и AmneziaWG. Каждый из них имеет свои особенности, и выбор зависит от ваших задач. OpenVPN — это классический протокол с высокой степенью настраиваемости, но он сложнее в конфигурации. WireGuard — современный и быстрый протокол, который проще настраивается и обеспечивает хорошую производительность. AmneziaWG — это модификация WireGuard с дополнительной обфускацией, которая помогает обходить блокировки.

Важно понимать, что для работы VPN-сервера необходим белый внешний IP-адрес. Если ваш провайдер выдаёт серый IP (например, при использовании CGNAT), прямое подключение к роутеру извне будет невозможно. В этом случае можно использовать облачные сервисы KeenDNS, но они поддерживают только HTTP/HTTPS-трафик, поэтому для VPN они не подходят. Если у вас динамический белый IP, потребуется настроить DDNS, чтобы иметь постоянное доменное имя для подключения.

Подготовка роутера: проверка IP и настройка DDNS

Перед настройкой VPN-сервера необходимо убедиться, что ваш роутер имеет белый внешний IP-адрес. Это можно сделать, зайдя в веб-интерфейс роутера и посмотрев значение в разделе «Интернет» или «Состояние». Если IP начинается с 10., 172.16-31. или 192.168., скорее всего, он серый. Также можно проверить IP на сайте типа 2ip.ru и сравнить его с адресом, который показывает роутер. Если адреса совпадают — IP белый.

Если IP динамический, необходимо настроить DDNS. Keenetic имеет встроенный сервис KeenDNS, который позволяет привязать доменное имя к вашему динамическому IP. Для этого перейдите в раздел «Доменное имя» в веб-конфигураторе, введите желаемое имя латиницей, выберите поддомен и укажите режим «Прямой доступ». Важно: режим «Через облако» не подходит для VPN, так как он работает только с HTTP/HTTPS. После сохранения настроек проверьте доступность домена, открыв его в браузере.

Если у вас статический белый IP, DDNS не нужен — вы можете использовать IP-адрес напрямую. Однако для удобства и на случай смены IP всё равно рекомендуется настроить DDNS.

Установка компонентов VPN в KeeneticOS

Для работы VPN-сервера необходимо установить соответствующие компоненты в операционной системе роутера. Зайдите в веб-интерфейс Keenetic, перейдите в раздел «Общие настройки» → «Обновления и компоненты» и нажмите «Изменить набор компонентов». В списке найдите нужный компонент: для OpenVPN это «Клиент OpenVPN» (несмотря на название, он работает и как сервер), для WireGuard — «WireGuard VPN», для AmneziaWG — также «WireGuard VPN», так как AmneziaWG основан на WireGuard.

Установите галочку напротив нужного компонента и нажмите «Обновить NDMS». Роутер загрузит и установит компонент. После этого в разделе «Другие подключения» появится возможность создавать VPN-подключения соответствующего типа.

Обратите внимание: для AmneziaWG версий 1.5 и 2.0 требуется KeeneticOS версии 5.1 или новее. Если у вас более старая версия, вы можете использовать AmneziaWG 1.0, который поддерживается начиная с версии 4.2 Alpha 2. Для проверки версии KeeneticOS зайдите в «Настройки системы» → «Система».

Настройка OpenVPN-сервера между двумя Keenetic

Рассмотрим сценарий, когда нужно объединить две домашние сети через OpenVPN-туннель. Для этого потребуется два роутера Keenetic, один из которых будет сервером, другой — клиентом.

Шаг 1: Генерация статического ключа. Скачайте и установите программу OpenVPN на компьютер. Затем откройте командную строку от имени администратора и выполните команды:

cd C:\Program Files\OpenVPN\bin
openvpn.exe --genkey --secret static.key

В папке bin появится файл static.key. Откройте его в блокноте и скопируйте содержимое.

Шаг 2: Настройка сервера. Скачайте файл static-server (его можно найти в интернете или создать самостоятельно). Откройте его в блокноте и замените содержимое между тегами secret на ваш ключ. Затем в веб-интерфейсе роутера-сервера перейдите в «Другие подключения» → «VPN-подключения», добавьте новое подключение, укажите имя, тип «OpenVPN» и вставьте содержимое файла static-server в поле «Конфигурация OpenVPN». Убедитесь, что в поле «Подключаться через» выбрано «Любое интернет-подключение». Сохраните настройки.

Шаг 3: Настройка клиента. На роутере-клиенте установите компонент «Клиент OpenVPN». Скачайте файл static-client, откройте его и замените строку remote на ваш DDNS или IP-адрес сервера. Вставьте ключ в соответствующий раздел. Добавьте новое VPN-подключение на клиенте, вставив содержимое файла в конфигурацию.

Шаг 4: Дополнительные настройки. Для доступа к интернету через туннель на сервере необходимо открыть порт UDP 1194 в межсетевом экране. Также потребуется настроить NAT и маршрутизацию через Telnet. Подключитесь к роутеру-серверу по Telnet (например, telnet 192.168.1.1), введите логин и пароль, затем выполните команды:

interface OpenVPN0
no ip global
interface OpenVPN0
security-level private
no isolate-private
ip nat 10.1.0.2 255.255.255.255
system configuration save

Эти команды разрешают устройствам из удалённой сети доступ в интернет через сервер.

Подключение к внешнему OpenVPN-серверу

Если вы хотите подключить роутер Keenetic к уже существующему OpenVPN-серверу (например, предоставленному вашим провайдером или корпоративным администратором), процесс будет проще. Вам понадобится конфигурационный файл .ovpn.

Установите компонент «Клиент OpenVPN» в KeeneticOS. Затем перейдите в «Другие подключения» → «VPN-подключения» и добавьте новое подключение. В поле «Тип (протокол)» выберите «OpenVPN». Скопируйте содержимое конфигурационного файла в поле «Конфигурация OpenVPN».

Если в конфигурации указан auth-user-pass, но логин и пароль не встроены, вам нужно добавить их вручную. Найдите строку auth-user-pass и замените её на:

логин
пароль

Если сервер использует сертификаты, они обычно указаны в отдельных файлах. В конфигурации найдите строки ca, cert, key и закомментируйте их, поставив # в начале. Затем в конец файла добавьте содержимое сертификатов в виде:

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----
...
-----END RSA PRIVATE KEY-----

После этого включите подключение и сохраните настройки.

Настройка WireGuard VPN на Keenetic

WireGuard — это современный протокол VPN, который отличается высокой скоростью и простотой настройки. Для его использования на Keenetic необходимо установить компонент «WireGuard VPN» через «Обновления и компоненты».

После установки перейдите в «Другие подключения» → «VPN-подключения» и добавьте новое подключение. В качестве типа выберите «WireGuard». Вам потребуется указать приватный ключ, IP-адрес туннеля и, для клиента, публичный ключ сервера и его адрес. Если вы настраиваете сервер, вам нужно сгенерировать ключи. Это можно сделать на компьютере с установленным WireGuard или через онлайн-генератор.

Для подключения к внешнему WireGuard-серверу вы можете загрузить файл конфигурации .conf. В Keenetic есть функция «Загрузить из файла» в разделе VPN-подключений. Просто выберите файл, и роутер автоматически создаст подключение. После этого установите галочку «Использовать для выхода в интернет», если хотите, чтобы весь трафик шёл через VPN, и включите подключение.

WireGuard поддерживает раздельное туннелирование, что позволяет направлять через VPN только определённые подсети или домены. Это настраивается в разделе «Сетевые правила» → «Маршрутизация».

Использование AmneziaWG для обхода блокировок

AmneziaWG — это протокол на основе WireGuard, который добавляет обфускацию трафика, что помогает обходить блокировки VPN. Он поддерживается в KeeneticOS начиная с версии 5.1 Alpha 3. Для установки AmneziaWG необходимо обновить KeeneticOS до версии 5.1 или новее, возможно, через канал разработчика.

Чтобы настроить AmneziaWG, вам понадобится файл конфигурации .conf, который можно получить из приложения AmneziaVPN. Важно, чтобы версия протокола в файле соответствовала поддерживаемой роутером. AmneziaWG 1.5 и 2.0 требуют KeeneticOS 5.1+, а AmneziaWG 1.0 работает на версиях 4.2 Alpha 2 и выше. Если вы используете Amnezia Premium, учтите, что их конфигурации используют AmneziaWG 3.1, который KeeneticOS не поддерживает.

Процесс настройки аналогичен WireGuard: установите компонент «WireGuard VPN», затем загрузите файл конфигурации через «Другие подключения» → «VPN-подключения» → «Загрузить из файла». После загрузки включите подключение и настройте маршрутизацию по своему усмотрению.

Перед обновлением KeeneticOS до dev-сборки рекомендуется сделать резервную копию системы и настроек, так как dev-сборки могут быть менее стабильными.

Маршрутизация трафика: весь VPN или только нужные сайты

После настройки VPN-подключения важно правильно настроить маршрутизацию, чтобы трафик шёл так, как вам нужно. В Keenetic есть несколько вариантов:

1. Весь трафик через VPN — в этом случае все устройства в домашней сети будут использовать VPN для выхода в интернет. Для этого в настройках VPN-подключения установите галочку «Использовать для выхода в интернет» и убедитесь, что VPN-подключение является приоритетным (в разделе «Приоритеты подключений»).

1. Через VPN всё, кроме российских сайтов — это полезно, если вы хотите обходить блокировки, но сохранить быстрый доступ к локальным ресурсам. Для этого в разделе «Сетевые правила» → «Маршрутизация» добавьте правило, которое исключает домены .ru, .рф и .su из VPN-туннеля.

1. Через VPN только определённые IP-подсети — если вам нужно, чтобы только некоторые устройства или сервисы использовали VPN, вы можете указать конкретные IP-адреса или подсети в правилах маршрутизации.

1. Комбинированный вариант — можно комбинировать домены и IP-подсети, создавая гибкие правила.

Для настройки маршрутизации перейдите в «Сетевые правила» → «Маршрутизация» и добавьте нужные правила. Убедитесь, что порядок правил правильный: более специфичные правила должны быть выше.

Решение типичных проблем при настройке VPN

При настройке VPN на Keenetic могут возникнуть некоторые проблемы. Рассмотрим самые распространённые.

Проблема: VPN-подключение не появляется в списке типов. Это может быть связано с тем, что компонент VPN не установлен. Убедитесь, что вы установили «Клиент OpenVPN» или «WireGuard VPN» через «Обновления и компоненты». Если компонент установлен, но тип не отображается, попробуйте удалить и заново установить компонент.

Проблема: подключение устанавливается, но интернет не работает через VPN. Проверьте, что в настройках VPN-подключения установлена галочка «Использовать для выхода в интернет». Также убедитесь, что VPN-подключение имеет приоритет над основным подключением. В разделе «Приоритеты подключений» перетащите VPN выше основного канала.

Проблема: не удаётся подключиться к серверу из-за серого IP. Как уже упоминалось, для VPN-сервера нужен белый IP. Если у вас серый IP, вы можете использовать только VPN-клиент для подключения к внешним серверам. Для сервера придётся обратиться к провайдеру за белым IP или использовать сторонние сервисы.

Проблема: ошибка "invalid H1 value" при загрузке конфигурации AmneziaWG. Эта ошибка возникает, если версия KeeneticOS ниже 5.1. Обновите прошивку до версии 5.1 или новее, либо используйте конфигурацию AmneziaWG 1.0.

Проблема: недостаточно места для обновления. Если при обновлении KeeneticOS появляется сообщение «Недостаточно места», отключите неиспользуемые компоненты в разделе «Обновления и компоненты», чтобы уменьшить размер обновления.

Сравнение протоколов VPN и рекомендации по выбору

Выбор протокола VPN зависит от ваших приоритетов: скорость, безопасность, простота настройки или устойчивость к блокировкам.

OpenVPN — самый гибкий и настраиваемый протокол. Он поддерживает множество алгоритмов шифрования и может работать через TCP или UDP. Однако он сложен в настройке и требует ручной генерации ключей и сертификатов. Подходит для корпоративных сетей и опытных пользователей.

WireGuard — современный протокол, который работает быстрее OpenVPN и проще в настройке. Он использует современную криптографию и имеет меньший объём кода, что снижает риск уязвимостей. Идеален для большинства домашних пользователей.

AmneziaWG — это WireGuard с обфускацией, которая помогает обходить блокировки. Он особенно полезен в странах с жёсткой интернет-цензурой. Требует более новую версию KeeneticOS.

PPTP и L2TP — устаревшие протоколы, которые имеют слабую безопасность и не рекомендуются к использованию. Они поддерживаются Keenetic, но лучше выбрать более современные варианты.

Для большинства пользователей оптимальным выбором будет WireGuard, так как он сочетает скорость, безопасность и простоту. Если вам нужно обходить блокировки, используйте AmneziaWG. OpenVPN стоит выбирать, если у вас есть специфические требования или вы подключаетесь к корпоративной сети.

Вопросы и ответы