VPN для роутеров

Один раз настраиваете роутер — и через туннель ходит весь дом. Приложение на каждом устройстве больше не нужно, а те, куда его в принципе не поставить, наконец получают доступ.

Что это даёт

• Телевизор, приставка, колонка. Устройства, куда VPN-приложение не поставить, работают через туннель наравне с телефоном.
• Ничего не нужно включать. Подключился к домашней сети — уже под защитой. Никто в семье не забудет нажать кнопку.
• Отдельный слот. Роутер получает свой ключ и не занимает ни одно из пяти мест основной подписки.

Чего это не даёт

Роутер защищает только дома. Вне дома телефон и ноутбук по-прежнему подключаются приложением по обычной ссылке-подписке — она продолжает работать как раньше и живёт независимо от роутерной.

Ключ для роутера

Для роутера выдаётся отдельная ссылка. Обычная ссылка-подписка на нём не заработает — и это не сбой, а осознанное решение.

Где взять

1. Откройте бот @quantovpn_bot.
2. Перейдите в Мой профиль.
3. Нажмите Ключ для роутера и затем Получить ключ.
4. Скопируйте ссылку целиком — она понадобится при настройке.

Ссылка выглядит так:

https://quantovpn.dev/r/XXXXXXXXXXXXXXXX?t=XXXXXXXXXXXXXXXXXXXXXXXX

Что о ней важно знать

• Нужна активная подписка. Ключ выдаётся только при ней и действует ровно столько же. Продлили подписку — срок ключа подтянется сам.
• Ссылка личная. По ней подключаются к вашему ключу, поэтому не выкладывайте её и не пересылайте.
• Если утекла — перевыпустите. Кнопка «Выпустить заново» в том же разделе мгновенно отключает старую ссылку и выдаёт новую.
• Список серверов обновляется сам. Роутер периодически перечитывает ссылку, так что при смене узлов ничего перенастраивать не нужно.

Почему обычная ссылка не подходит

Наша обычная подписка отдаётся в формате приложений Happ и INCY. Роутер работает на другом ядре и такой формат не понимает — вместо серверов он получил бы подсказку об установке приложения. Роутерная ссылка отдаёт список серверов в том виде, который ядро на роутере читает напрямую.

Какой роутер подойдёт

Нужен роутер, на который можно поставить стороннее ПО. Обычная коробка из магазина, скорее всего, не подойдёт — и это стоит проверить до покупки подписки, а не после.

Если роутер не подходит

Не обязательно менять его целиком. Рядом ставится небольшая коробка — мини-ПК или одноплатный компьютер — и настраивается шлюзом: роутер остаётся раздавать сеть, а через туннель ходят те устройства, которым вы это назначите. Способ рабочий, но требует больше возни, чем настройка самого роутера.

Keenetic

На Keenetic VPN поднимается через XKeen — набор, который запускает нужное ядро прямо на роутере. Самый распространённый вариант в России, поэтому с ним и больше всего готовых подсказок.

Что понадобится

• Keenetic с актуальной версией KeeneticOS;
• USB-накопитель от 2 ГБ — на большинстве моделей ставить некуда без него, и он будет отформатирован;
• доступ в веб-интерфейс роутера;
• ссылка для роутера из бота.

Проверка за минуту: потянете ли

Прежде чем что-то менять, убедитесь, что попадёте в роутер по SSH. Если этот шаг не выходит — остальное не выйдет тем более, и лучше остановиться здесь.

1. Зайдите в веб-интерфейс роутера — адрес на наклейке снизу, обычно 192.168.1.1.
2. В разделе управления пользователями разрешите своему пользователю доступ к командной строке.
3. Откройте на компьютере терминал и выполните:

   ssh admin@192.168.1.1

   Должен появиться запрос пароля, а после ввода — приглашение роутера.

Получилось — идите дальше. Не получилось — это и есть та точка, где мы поможем быстрее, чем вы разберётесь сами.

Что сделать в веб-интерфейсе

1. Подключите USB-накопитель. В разделе с приложениями и накопителями отформатируйте его в ext4. Всё, что на нём было, удалится.
2. В разделе обновлений и компонентов установите три компонента. Ищите по словам в названии: Netfilter (модули ядра подсистемы сетевой фильтрации), OPKG (поддержка репозитория Entware) и SSH (клиент и сервер).
3. После установки роутер перезагрузится сам. Дождитесь, пока он снова начнёт раздавать интернет.

Установка XKeen

Дальше — командная строка. Команды мы здесь не приводим намеренно: XKeen активно развивается, и указанная сегодня команда через месяц может оказаться устаревшей. Рабочие и поддерживаемые авторами шаги всегда лежат в самом проекте:

github.com/jameszeroX/xkeen — раздел с установкой.

Ориентир по времени: установка Entware и XKeen занимает 15–30 минут, если всё идёт гладко. Роутер в это время может несколько раз перезагрузиться.

Куда вставить нашу ссылку

Это единственный шаг, который относится к нам, — и здесь важно не запутаться. У XKeen нет окна «вставьте подписку»: его настройки — это несколько пронумерованных файлов на накопителе роутера. Ссылка нужна в том из них, который отвечает за исходящие подключения (в нём перечислены серверы). Второй файл, маршрутизации, определяет, что идёт через туннель, а что напрямую.

Точные имена файлов и способ подстановки подписки описаны в документации XKeen — они менялись между версиями, поэтому смотрите ту, что соответствует вашей установке.

Как убедиться, что заработало

1. На любом устройстве домашней сети откройте сайт, показывающий ваш адрес в интернете, — например 2ip.ru.
2. Страна должна совпасть с выбранным сервером. Если показывает вашего провайдера — трафик идёт мимо туннеля.
3. Откройте сайт, который без VPN не открывался. Открылся — всё на месте.
4. Откройте любой российский сайт. Если он стал заметно медленнее — вернитесь к разделу что через VPN, а что нет.

Если хочется управлять из браузера

XKeen умеет работать не только с ядром Xray, но и с альтернативным, к которому есть веб-панель управления — удобно, если не хочется каждый раз заходить по SSH. Мы такую связку не проверяли и обещать её работу с нашей ссылкой не будем: наша выдача рассчитана на ядро Xray. Если решите пробовать — сначала добейтесь, чтобы работал базовый вариант, и только потом меняйте ядро.

OpenWrt и GL.iNet

На OpenWrt всё делается пакетами. Устройства GL.iNet работают на той же основе, поэтому порядок одинаковый — разница только в том, что у GL.iNet поверх есть собственный упрощённый интерфейс.

Проверка за минуту: хватит ли места

Самая частая причина неудачи здесь — не команды, а нехватка памяти. Клиент с ядром весит несколько мегабайт, и на бюджетных моделях их просто нет. Подключитесь к роутеру по SSH и выполните:

df -h /overlay

Если в колонке доступного места меньше 10 МБ — ставить некуда. Варианты: расширить память внешним накопителем либо взять устройство помощнее. Продолжать без этого смысла нет.

Порядок действий

1. Установите клиент на ядре Xray — passwall2 или аналог. Команды зависят от версии OpenWrt и архитектуры вашего роутера, поэтому берите их в документации выбранного пакета, а не по общим советам из интернета: пакет для чужой версии не встанет.
2. После установки в веб-интерфейсе роутера появится новый раздел. В нём найдите добавление подписки — в отличие от XKeen, здесь это обычное поле ввода.
3. Вставьте ссылку для роутера из бота и нажмите обновление списка. Должны появиться наши серверы.
4. Выберите сервер и включите правило для трафика домашней сети — обычно это переключатель «включить» плюс выбор режима работы.
5. Проверьте результат так же, как описано выше для Keenetic: откройте 2ip.ru с любого домашнего устройства.

Точные названия пунктов меню отличаются от версии к версии прошивки и пакета, поэтому здесь описано «что сделать», а не «куда нажать». Если запутались в конкретной сборке — напишите в @quantovpn_support с версией прошивки, подскажем по ней.

ASUS с прошивкой Merlin

Штатная прошивка ASUS нужное ядро запускать не умеет, поэтому сначала ставится Merlin — сообщественная прошивка для тех же устройств, а уже поверх неё Entware и клиент.

Порядок действий

1. Убедитесь, что ваша модель поддерживается Merlin, и установите её вместо штатной прошивки.
2. Подключите USB-накопитель и установите на него Entware.
3. Установите клиент на ядре Xray из репозитория Entware.
4. Укажите в его конфигурации ссылку для роутера из бота.
5. Запустите клиент и проверьте, что трафик домашней сети идёт через туннель.

Что через VPN, а что нет

Гнать через туннель вообще всё — плохая идея. Российские банки, госуслуги и доставки часто отказываются работать с иностранного адреса, а видео из соседнего города будет идти через другую страну и тормозить.

Разумная схема

• Напрямую: российские сайты и сервисы, банки, госуслуги, локальные видеосервисы, игры с российскими серверами.
• Через VPN: всё остальное — то, что без туннеля не открывается или работает с перебоями.

Такое разделение настраивается в любом из перечисленных клиентов: в них есть готовые наборы правил по странам, и достаточно включить набор для России в режим «напрямую». Это самая полезная настройка из всех — она же чаще всего и пропускается.

Отдельные устройства мимо туннеля

Иногда проще исключить не сайты, а устройство целиком: рабочий ноутбук, к которому подключается служебная сеть, или телевизор с российскими сервисами. В клиентах это делается правилом по адресу устройства в домашней сети — закрепите за ним постоянный адрес, чтобы правило не слетело после перезагрузки.

DNS и утечки

Самая частая ошибка при настройке роутера: трафик уже идёт через туннель, а запросы имён сайтов по-прежнему уходят провайдеру. Внешне всё работает, но часть смысла теряется, и некоторые сайты продолжают не открываться.

Что сделать

• Включите в клиенте разрешение имён через туннель — обычно это отдельная настройка с указанием стороннего сервера имён.
• Проверьте, что роутер не подставляет устройствам DNS провайдера в обход клиента.
• Убедитесь, что сайты, которые без VPN не открывались, теперь открываются: если сайт не открывается, а внешний адрес уже иностранный, дело почти всегда именно в разрешении имён.

Шифрование запросов на самом роутере

У Keenetic есть встроенная поддержка шифрованного разрешения имён — DNS поверх TLS и DNS поверх HTTPS. Включается в настройках интернет-фильтров, отдельного пакета не требует. Полезно даже без VPN: провайдер перестаёт видеть, какие сайты вы открываете, хотя сам факт подключения к ним остаётся виден.

Одно предупреждение: если шифрованный DNS настроен и на роутере, и в клиенте, они начинают спорить за одни и те же запросы. Оставьте что-то одно — обычно проще доверить разрешение имён клиенту, раз уж трафик всё равно идёт через него.

Как проверить результат

1. Откройте на любом домашнем устройстве сайт, показывающий ваш внешний адрес — он должен показать страну выбранного сервера.
2. Откройте сайт проверки утечек DNS — в списке не должно быть серверов вашего провайдера.
3. Проверьте, что российские сайты открываются быстро: если они тоже пошли через туннель, вернитесь к разделу о маршрутизации.

Если не работает

Клиент не видит серверы по ссылке

Проверьте, что вставили ссылку целиком, вместе с частью после знака вопроса. Без неё ссылка не действует — это защита, чтобы чужой не подставил свой ключ. Если скопировали правильно, а серверов нет — проверьте, активна ли подписка: у неактивной ссылка честно отвечает, что подписка неактивна.

Серверы появились, но интернета нет

Чаще всего дело в маршрутизации: правило не включено или охватывает не ту сеть. Проверьте, что правило применяется к вашей домашней подсети, а выбранный сервер отмечен активным.

Работает, но медленно

Слабые роутеры упираются в собственный процессор — шифрование съедает его целиком, и скорость падает в разы. Проверьте загрузку процессора роутера под нагрузкой. Если он загружен полностью, роутер не потянет вашу скорость, и помогут только выборочная маршрутизация или более мощное устройство.

Часть сайтов не открывается

Похоже на разрешение имён — смотрите раздел о DNS. Если после его настройки не открываются именно российские сайты, значит они уходят в туннель: настройте их напрямую.

Перестало работать после смены серверов

Клиент обновляет список по ссылке не мгновенно. Обновите подписку в нём вручную — серверы подтянутся.

Частые вопросы

Роутер займёт одно из моих пяти устройств?

Нет. У роутера свой ключ, он не пересекается с пятью местами обычной подписки. Телефоны и ноутбуки продолжают подключаться как раньше.

Нужна ли отдельная оплата?

Нет. Ключ для роутера входит в действующую подписку и заканчивается вместе с ней.

Можно ли оставить VPN и на телефоне?

Да, и так правильнее: дома телефон идёт через роутер, вне дома — через приложение. Обе ссылки работают одновременно и не мешают друг другу.

Сколько устройств выдержит роутер?

Ограничение не в количестве, а в мощности процессора роутера. Десяток обычных устройств — не проблема; упереться можно на одном, которое качает на полной скорости.

Я поменял роутер, что делать со ссылкой?

Ничего — вставьте её в новый роутер. Если старый ушёл в чужие руки, перевыпустите ключ в боте: старая ссылка сразу перестанет работать.

Почему в списке для роутера меньше серверов?

Потому что точки для мобильных сетей роутеру не отдаются — подробнее об этом в разделе о ключе. Все наши собственные серверы в списке есть.