Xray VLESS на Archer C6 с OpenWrt: полная настройка прокси на роутере

Почему Archer C6 и OpenWrt подходят для Xray VLESS

TP-Link Archer C6 — популярный бюджетный роутер, который официально поддерживается OpenWrt. Его аппаратная начинка (процессор MediaTek MT7621, 16 МБ флеш-памяти и 128 МБ ОЗУ) достаточна для запуска Xray-core и организации проксирования всего домашнего трафика. В отличие от более старых моделей с 4/32 МБ, Archer C6 позволяет установить необходимые пакеты без экстремальной экономии места.

OpenWrt даёт полный контроль над сетью: вы можете настраивать правила маршрутизации, перехватывать DNS-запросы и управлять межсетевым экраном. Это делает роутер идеальной платформой для VLESS-клиента: все устройства в локальной сети — смартфоны, ноутбуки, Smart TV, IoT-гаджеты — автоматически используют прокси без установки дополнительного ПО. Такой подход особенно удобен, если нужно защитить трафик сразу нескольких устройств или обойти региональные ограничения.

Важно понимать: Archer C6 — не самое мощное устройство. Xray с шифрованием VLESS Reality может загружать процессор на 10–20% при высоких скоростях, но для типичного домашнего использования (просмотр видео, веб-сёрфинг, мессенджеры) его производительности достаточно. Если вы планируете постоянные загрузки на 100+ Мбит/с, стоит рассмотреть более современные модели с ARM-процессорами, но для большинства сценариев Archer C6 справляется отлично.

Подготовка роутера: прошивка OpenWrt и базовые настройки

Прежде чем приступать к установке Xray, убедитесь, что на Archer C6 установлена актуальная версия OpenWrt. Рекомендуется использовать стабильный релиз 23.05 или новее — в них есть все необходимые модули ядра и пакеты. Прошивку можно загрузить с официального сайта OpenWrt, выбрав модель Archer C6 v2 (или v1, если у вас такая версия).

После прошивки подключитесь к роутеру по SSH: ssh root@192.168.1.1. Первым делом обновите списки пакетов:

opkg update

Проверьте свободное место на флеш-накопителе командой df -h. Для установки Xray-core, geoip.dat и geosite.dat потребуется не менее 20–25 МБ свободного места. Если места не хватает, можно настроить extroot — вынести корневую файловую систему на USB-накопитель. Это несложная процедура, описанная в документации OpenWrt, и она значительно расширяет возможности роутера.

Также рекомендуется заменить стандартный dnsmasq на dnsmasq-full, так как он поддерживает более гибкие настройки DNS и интеграцию с Xray. Сделайте это заранее, чтобы избежать обрыва интернета в процессе настройки:

cd /tmp && opkg download dnsmasq-full
opkg remove dnsmasq && opkg install dnsmasq-full --cache /tmp
mv /etc/config/dhcp-opkg /etc/config/dhcp

После этих действий перезагрузите роутер и убедитесь, что интернет работает.

Установка Xray-core и графического интерфейса LuCI

Существует два основных способа установки Xray на OpenWrt: через пакетный менеджер opkg или вручную, скачав бинарный файл с GitHub. В актуальных версиях OpenWrt (23.05+) пакет xray-core доступен в официальном репозитории, поэтому установка проста:

opkg install xray-core

Если пакет не найден (например, на старых сборках), скачайте предварительно скомпилированный бинарник с GitHub-релиза Xray-core. Для Archer C6 нужна архитектура MIPS24kc (файл вида Xray-linux-mipsle-softfloat). Поместите его в /usr/bin/xray и сделайте исполняемым:

chmod +x /usr/bin/xray

Для удобства настройки через веб-интерфейс установите LuCI-модуль luci-app-xray. Готовые пакеты можно найти в репозитории проекта yichya/luci-app-xray. Скачайте два файла: luci-app-xray-fw4_*.ipk и luci-app-xray-shared_*.ipk, затем установите их:

opkg install ./luci-app-xray-shared_*.ipk
opkg install ./luci-app-xray-fw4_*.ipk

Возможно, потребуется доустановить зависимости, например kmod-nft-tproxy. После установки перезагрузите роутер — в меню LuCI появится раздел Services → Xray.

Загрузка geoip.dat и geosite.dat: обязательный шаг

Xray использует файлы geoip.dat и geosite.dat для маршрутизации трафика по географическим и доменным правилам. Без них прокси может работать некорректно: например, весь трафик будет уходить напрямую, игнорируя прокси. Поэтому обязательно установите эти файлы.

Самый простой способ — установить пакет v2ray-geoip из репозитория OpenWrt, а geosite.dat скачать с GitHub:

opkg install v2ray-geoip
wget https://github.com/v2fly/domain-list-community/releases/latest/download/dlc.dat -O /usr/share/geosite.dat

Если места на флешке мало, можно использовать урезанные версии. Например, скачать private.dat из репозитория v2fly/geoip (всего 248 байт) и положить его как /usr/share/geoip.dat. Для geosite можно собрать собственный файл, оставив только нужные категории доменов, но это требует времени и навыков. В большинстве случаев лучше пожертвовать 10–15 МБ ради полноценной маршрутизации.

После установки файлов перезагрузите роутер и проверьте в LuCI, что предупреждение об отсутствии geoip/geosite исчезло.

Конфигурация VLESS-клиента: ручной JSON или LuCI

Настройка VLESS-клиента возможна двумя способами: через графический интерфейс LuCI или редактированием конфигурационного файла /etc/xray/config.json. Для новичков проще использовать LuCI, но ручной JSON даёт больше гибкости.

Через LuCI:

1. Перейдите в Services → Xray.
2. В разделе Xray Servers нажмите Add.
3. Заполните поля: имя сервера, адрес, порт, UUID пользователя.
4. На вкладке протокола выберите VLESS, укажите flow (например, xtls-rprx-vision), security — Reality, и введите параметры Reality: serverName (SNI), publicKey, shortId.
5. Сохраните настройки и выберите добавленный сервер в полях TCP Server и UDP Server на главной странице.

Ручной JSON:

Создайте файл /etc/xray/config.json с примерно таким содержимым:

{
  "inbounds": [
    {"port": 1080, "protocol": "socks"},
    {"port": 1081, "protocol": "dokodemo-door", "settings": {"followRedirect": true}}
  ],
  "outbounds": [
    {
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "YOUR_SERVER",
            "port": 443,
            "users": [
              {"id": "YOUR_UUID", "encryption": "none", "flow": "xtls-rprx-vision"}
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "fingerprint": "chrome",
          "serverName": "YOUR_SNI",
          "publicKey": "YOUR_PUBKEY"
        }
      }
    }
  ]
}

Замените YOUR_SERVER, YOUR_UUID, YOUR_SNI и YOUR_PUBKEY на реальные данные от вашего прокси-провайдера или собственного сервера. После сохранения запустите Xray: /etc/init.d/xray start и добавьте в автозагрузку: /etc/init.d/xray enable.

Маршрутизация трафика: iptables и прозрачный прокси

Чтобы весь трафик с устройств локальной сети шёл через Xray, необходимо настроить перехват пакетов. Для этого используются правила iptables/nftables, которые перенаправляют TCP и UDP трафик на локальный порт Xray (например, 1081).

Создайте файл /etc/firewall.user со следующими правилами (пример для iptables):

# Перехват TCP
iptables -t nat -A PREROUTING -p tcp -m multiport --dports 80,443 -j REDIRECT --to-ports 1081
# Перехват UDP (для DNS и других)
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 1081

Обратите внимание: эти правила перехватывают только порты 80 и 443, а также DNS. Для полного проксирования всех портов можно использовать TPROXY, но это сложнее. В большинстве случаев достаточно перехвата веб-трафика.

Если вы используете LuCI-модуль, он автоматически создаёт необходимые правила при выборе сервера. Однако при ручной настройке убедитесь, что правила добавлены и применены: service firewall restart.

Также важно исключить из перехвата локальные адреса и адреса самого роутера, чтобы не создавать петли. Обычно это делается правилами с -d 192.168.0.0/16 -j RETURN и т.п.

Защита от утечек DNS: настройка dnsmasq и Xray

Одна из самых частых ошибок при настройке прокси на роутере — утечка DNS-запросов. Если DNS-запросы уходят напрямую к провайдеру, ваша активность может быть видна, даже если весь остальной трафик идёт через прокси. Чтобы этого избежать, необходимо перенаправить все DNS-запросы через Xray.

Настройте dnsmasq так, чтобы он использовал локальный DNS-сервер Xray. В файле /etc/dnsmasq.conf добавьте:

server=127.0.0.1#5300

Затем в конфигурации Xray добавьте входящий DNS-сервер на порту 5300, который будет перенаправлять запросы через исходящее VLESS-соединение. Пример входящего блока:

{
  "port": 5300,
  "protocol": "dns",
  "listen": "127.0.0.1"
}

После этого перезапустите dnsmasq и Xray. Проверьте, что DNS-запросы не утекают, с помощью онлайн-тестов, например на dnsleaktest.com или аналогичных сервисах. Все DNS-серверы должны соответствовать IP-адресам вашего прокси-сервера.

Также убедитесь, что на клиентских устройствах в качестве DNS-сервера указан адрес роутера (обычно 192.168.1.1). Если устройства используют внешние DNS (например, 8.8.8.8), Xray может работать некорректно.

Проверка работы и диагностика типичных проблем

После настройки важно убедиться, что прокси работает корректно. С любого устройства в сети зайдите на сайт проверки IP (например, 2ip.ru или whatismyipaddress.com) — ваш IP должен соответствовать IP прокси-сервера. Также проверьте скорость соединения: через VLESS Reality на Archer C6 обычно достигается 20–40 Мбит/с, что достаточно для большинства задач.

Если что-то не работает, начните с логов. В LuCI увеличьте уровень логирования Xray до debug, затем смотрите логи командой logread | grep xray. Частые проблемы:

• Нет соединения с сервером — проверьте правильность адреса, порта, UUID и ключей Reality. Убедитесь, что порт на сервере открыт.
• Трафик идёт напрямую — проверьте правила iptables и наличие geoip/geosite файлов.
• Медленная работа — возможно, процессор роутера перегружен. Попробуйте использовать поток XTLS-Vision, который снижает нагрузку.
• Проблемы с DNS — проверьте настройки dnsmasq и убедитесь, что клиенты используют DNS роутера.

Если вы используете собственный сервер, не забудьте сгенерировать ключи Reality командой xray x25519 и UUID командой xray uuid. Храните приватные ключи в безопасности.

Расширенные сценарии: выборочное проксирование и мониторинг

Иногда нужно направить через прокси только определённые устройства или домены, оставив остальной трафик прямым. Это реализуется с помощью policy-based routing (PBR). В OpenWrt для этого можно использовать пакет pbr-iptables и модуль LuCI pbr.

Установите PBR:

opkg install pbr-iptables

Затем в LuCI (Network → Policy Based Routing) создайте правило, указав MAC-адрес или IP устройства, которое должно ходить через прокси. Остальные устройства будут использовать обычный WAN. Это удобно, например, для рабочего ноутбука, которому нужен зарубежный IP, в то время как домашние устройства остаются на локальном подключении.

Для мониторинга трафика установите vnstat или iftop. vnstat показывает статистику по интерфейсам, iftop —实时ную скорость. Логи Xray можно настроить в конфиге, указав пути для access.log и error.log. Это поможет выявить неудачные подключения и диагностировать проблемы.

Также можно настроить автоматический перезапуск Xray при сбоях, добавив в cron проверку процесса и перезапуск при необходимости.

Безопасность и рекомендации по эксплуатации

Использование VLESS Reality на роутере — это мощный инструмент, но он требует ответственного подхода. Во-первых, всегда используйте уникальные UUID и ключи, не публикуйте их в открытом доступе. Во-вторых, регулярно обновляйте Xray-core и geoip/geosite файлы, чтобы получать актуальные списки доменов и исправления безопасности.

Помните, что Reality маскирует трафик под обычный HTTPS, но это не гарантирует полную анонимность. Провайдер может видеть, что вы подключаетесь к определённому серверу, хотя содержимое трафика останется скрытым. Для максимальной конфиденциальности комбинируйте прокси с другими инструментами, например Tor, но учитывайте их ограничения.

Также следите за температурой роутера: постоянная нагрузка от шифрования может вызвать перегрев. Обеспечьте хорошую вентиляцию и при необходимости снизьте нагрузку, ограничив проксирование только нужных устройств.

Наконец, всегда имейте запасной план: если прокси-сервер недоступен, роутер должен автоматически переключаться на прямое соединение. Настройте failover в LuCI или используйте скрипты, которые проверяют доступность сервера и при необходимости отключают прокси.

Вопросы и ответы