Чтобы настроить VPN на роутере, нужны три вещи: роутер, прошивка которого умеет WireGuard или AmneziaWG, файл конфигурации .conf из личного кабинета и несколько минут в веб-интерфейсе роутера. После этого через зашифрованное соединение идёт трафик всех домашних устройств — телевизора, игровой приставки, ноутбуков, — и ставить приложение на каждое из них не нужно.
В этой статье — зачем ставить VPN на роутер, какие модели подходят, чем WireGuard отличается от AmneziaWG и что делать, когда сервер меняет адрес. Точные шаги для каждой прошивки собраны в документации: AmneziaWG на роутере и WireGuard на роутере.
Зачем ставить VPN на роутер
VPN на телефоне защищает один телефон. VPN на роутере даёт защищённое соединение всем устройствам дома: всё, что подключено к нему по Wi‑Fi или кабелю, выходит в интернет через один зашифрованный туннель.
- Устройства без VPN-приложений. Многие телевизоры, игровые приставки и умные колонки не дают поставить VPN-клиент — через роутер они получают защищённое соединение без какой-либо настройки на самом устройстве.
- Одна настройка вместо десяти. Не нужно ставить и обновлять приложение на каждом ноутбуке и планшете: новое устройство, подключившееся к домашнему Wi‑Fi, сразу работает через VPN.
- Одно устройство в тарифе. Конфиг на роутере занимает одно устройство в тарифе, сколько бы гаджетов к нему ни было подключено.
- Шифрование для всего дома. Трафик всех устройств идёт до сервера VPN в зашифрованном виде — его содержимое защищено на всём пути через сеть провайдера.
Есть и обратная сторона. Шифрование на роутере выполняет его собственный процессор, поэтому у недорогих моделей скорость через VPN может быть ниже, чем при подключении с компьютера по тому же каналу. А на бесплатном тарифе действует лимит трафика — через роутер его расходует весь дом.
VLESS на роутере настраивается только вручную, и пошаговой инструкции для этого у нас нет. Для роутера выбирайте WireGuard или AmneziaWG — оба выдаются файлом .conf, который прошивки импортируют напрямую.
Какие роутеры подходят
Поддержка зависит не только от производителя, но и от модели и версии прошивки — проверьте свою модель или ту, что собираетесь купить. Краткая сводка по платформам есть на странице VPN для роутера, а здесь — что важно для настройки.
Keenetic
Keenetic поддерживает AmneziaWG нативно, начиная с KeeneticOS 4.2 Alpha 2, — отдельный пакет не нужен. На KeeneticOS 4.3.4 и новее дополнительные параметры AmneziaWG (ASC) подтягиваются из файла .conf автоматически. На версиях с 4.2 по 4.3.3 их нужно один раз ввести через командную строку роутера — нужные строки уже собраны в карточке подключения, в разделе «Параметры для роутера (Keenetic ASC)». Обычный WireGuard на Keenetic тоже работает.
OpenWrt
OpenWrt поддерживает WireGuard. Для AmneziaWG нужны пакеты amneziawg-openwrt: kmod-amneziawg, amneziawg-tools и luci-proto-amneziawg. Готовых сборок в официальном репозитории нет, а модуль ядра должен точно совпадать с вашей сборкой OpenWrt, поэтому пакеты под свою версию берут из community-репозиториев. Не в один клик, но процесс подробно описан.
GL.iNet
GL.iNet поддерживает WireGuard. Ряд моделей (Brume 3, Flint 3, Flint 2, Beryl AX) поддерживает AmneziaWG в отдельных прошивках; более широкая официальная поддержка — с прошивки 4.9.
Asus, DD-WRT и pfSense
WireGuard работает и на других роутерах с его поддержкой — например, Asus (включая Asuswrt-Merlin), DD-WRT и pfSense; поддержка зависит от модели и версии прошивки. Инструкций по AmneziaWG для этих платформ у нас нет — на них используйте WireGuard.
WireGuard или AmneziaWG на роутере
Оба протокола используют одно и то же шифрование, и скорость у них сопоставима. Разница — в том, как выглядит трафик в сети.
- WireGuard — самый распространённый вариант: он работает на всех платформах из этой статьи, а настройка самая простая.
- AmneziaWG — это WireGuard с обфускацией трафика: он добавляет дополнительный слой обработки трафика. Из-за данных обфускации MTU у него чуть меньше — 1280 против 1420 у WireGuard. Выбирайте AmneziaWG, если вам важна дополнительная стабильность соединения.
Начните с WireGuard — он работает на всех перечисленных роутерах. Если у вас Keenetic, где AmneziaWG работает нативно, и вам важна стабильность, можно сразу взять AmneziaWG. На OpenWrt для него нужны пакеты, а на GL.iNet поддержка зависит от модели и прошивки (подробнее — выше). Сменить протокол можно в любой момент кнопкой «Сменить протокол» в карточке подключения — после этого импортируйте в роутер новый файл.
RuSolv выдаёт конфигурации AmneziaWG в формате 1.0 — именно его роутеры поддерживают шире всего. Тот же файл .conf, что и для телефона, подходит и роутеру.
Как настроить VPN на роутере: пошагово
Шаг 1. Подготовьте прошивку
Откройте веб-интерфейс роутера и посмотрите версию прошивки. Для Keenetic от неё зависит, нужно ли вводить параметры AmneziaWG вручную. На OpenWrt для AmneziaWG сначала установите пакеты amneziawg-openwrt под вашу сборку. Если прошивка старая, обновите её: на Keenetic с прошивкой 4.1.0–4.1.3 после смены адреса сервера не помогает даже перезапуск подключения (подробнее ниже).
Шаг 2. Создайте подключение в личном кабинете
- Войдите в личный кабинет и откройте раздел «Подключения».
- Нажмите «Новое подключение», в карточке «Конфиг для локации» нажмите «Выбрать» и выберите локацию.
- Выберите протокол — «WireGuard» или «AmneziaWG». Выбор появляется, если в локации доступны оба протокола; иначе протокол выбирается автоматически.
- Выберите способ — «Устройство из тарифа» или «Код активации», — нажмите «Далее», а затем «Создать подключение».
На бесплатном тарифе доступен один конфиг WireGuard или AmneziaWG в бесплатных локациях, для него нужен привязанный Telegram. На Pro — столько устройств, сколько входит в тариф.
Шаг 3. Скачайте файл .conf
Роутеру нужен файл, а не QR-код. В карточке подключения нажмите «Скачать» — или получите тот же файл в Telegram-боте.
Кнопка «Скачать с IP-адресом» появляется, когда в файле указано имя сервера, и нужна только тем роутерам, которые имя сервера не принимают. Такой файл после смены адреса сервера придётся скачивать заново, поэтому, если роутер понимает обычный файл, берите его.
Оставьте выключенным «Авто-перенос при сбое сервера» в карточке подключения — по умолчанию он выключен. Если его включить, при сбое сервера подключение перенесётся на другой, и файл на роутере перестанет работать, пока вы не импортируете новый.
Шаг 4. Импортируйте файл в роутер
- Откройте веб-интерфейс роутера.
- Импортируйте файл .conf в WireGuard-клиент роутера или создайте интерфейс вручную из параметров файла.
- Для AmneziaWG на Keenetic с прошивкой 4.2–4.3.3 введите параметры из раздела «Параметры для роутера (Keenetic ASC)», заменив
WireguardNна имя интерфейса из командыshow interface.
Подробности для каждой платформы — в документации: AmneziaWG на роутере, WireGuard на роутере.
Шаг 5. Включите подключение и проверьте
Поднимите интерфейс и направьте через него нужный трафик — весь или только выбранных устройств, если прошивка это позволяет. Затем откройте на любом домашнем устройстве сайт whatismyip.com: адрес должен соответствовать выбранной локации.
Что делать после смены адреса сервера
Иногда сервер меняет адрес — например, во время технических работ. Роутер сам не переподключается: подключение выглядит включённым, но трафик не идёт.
- Обычный файл (с именем сервера) снова заработает, если выключить и включить подключение на роутере.
- Файл с IP-адресом сам не заработает никогда — после смены адреса скачайте его заново и импортируйте.
- Keenetic с прошивкой 4.1.0–4.1.3 не подхватывает новый адрес даже после перезапуска подключения — обновите прошивку до 4.1.4 или 4.2+.
- OpenWrt может обновлять адрес сам, если DNS-запросы самого роутера идут мимо VPN. Задайте у пира
persistent_keepalive(например, 25), добавьте в/etc/crontabs/rootнужную строку ниже и выполните/etc/init.d/cron restart.
Для WireGuard:
* * * * * /usr/bin/wireguard_watchdog
Для AmneziaWG:
* * * * * /usr/bin/amneziawg_watchdog
Отдельно о смене самого подключения: если вы меняете локацию или протокол либо сервер выводится из эксплуатации, выпускается новый файл, и роутер остаётся без VPN, пока вы не импортируете его. О таких изменениях мы присылаем уведомление.
Частые вопросы
Сколько устройств тарифа занимает роутер?
Одно. Конфиг на роутере — это одно устройство в тарифе, сколько бы телефонов, телевизоров и ноутбуков ни было подключено к нему.
Хватит ли бесплатного тарифа для роутера?
Для пробы — да: на бесплатном тарифе есть один конфиг WireGuard или AmneziaWG с лимитом 10 ГБ в месяц в бесплатных локациях; он включается после привязки Telegram. Но через роутер этот лимит расходует весь дом, и когда он исчерпан, подключение останавливается до 1-го числа следующего месяца. На Pro трафик не ограничен, в том числе на роутере.
Роутер пишет «invalid H1 value». Что делать?
Прошивка получила конфигурацию AmneziaWG версии 1.5 или 2.0, которую не умеет разбирать. Загрузите файл формата 1.0 — именно его RuSolv выдаёт по умолчанию — или обновите прошивку: на Keenetic версии 1.5 и 2.0 поддерживаются нативно с KeeneticOS 5.1.
Можно ли поставить на роутер VLESS?
Только вручную, и пошаговой инструкции для этого у нас нет. Для роутера выбирайте WireGuard или AmneziaWG.
Нужно ли что-то настраивать на телефонах и телевизоре?
Нет. Если через VPN направлен весь трафик роутера, любое устройство, подключённое к домашнему Wi‑Fi или кабелю, выходит в интернет через него автоматически.
Вывод
VPN на роутере настраивается один раз: создайте подключение WireGuard или AmneziaWG, скачайте файл .conf и импортируйте его в прошивку, а после технических работ на сервере не забудьте переподключиться. Весь дом при этом занимает одно устройство в тарифе, а на Pro трафик не ограничен и на роутере.
