ВПН на роутер: как установить на OpenWrt и что с Keenetic

ВПН на роутере — это весь дом через один туннель: телевизор, игровая приставка, ноутбук. Мы проверили наш файл на OpenWrt живым подключением — пока в виртуальной машине, а не на железном роутере — и расписали путь по шагам. Штатным прошивкам Keenetic, TP-Link и других он пока не подходит; почему и как понять, что ваш роутер готов, — ниже.

Что даёт ВПН на роутере и чем он хуже приложения

Маяк на телефоне закрывает один телефон. Роутер закрывает всё, что подключено к нему по Wi-Fi или кабелем: телевизоры Samsung и LG, на которые наше приложение не поставить, игровую приставку, ноутбук гостей.

У этого есть цена, и её лучше знать заранее:

• Весь дом идёт через одну страну. У приложения на телефоне есть переключатель «Российские сервисы — мимо туннеля», у роутера по этой инструкции его нет: через туннель идёт всё. Банк и другие российские сайты увидят адрес той страны, которую вы выбрали.
• Кончится доступ — пропадёт интернет у всех. Это главное отличие от приложения, и ему отдан отдельный раздел.
• Скорость зависит и от роутера. Шифрование считает его процессор. На железном роутере скорость мы не мерили.
• Настройка — ваша. Своего приложения для роутера у нас нет: вы ставите пакеты для своей прошивки и загружаете в них наш файл.

Какой роутер подойдёт для ВПН

Решает не марка, а прошивка: знает ли она AmneziaWG 3.0 или новее. Все наши линии работают на AmneziaWG 3 с защитой заголовка — в файле это строка HeaderProtectionKey. Прошивка, которая знает только AmneziaWG 1.x или 2.0, файл не примет. А если строку удалить, туннель не поднимется: защита работает только в паре с сервером. Линий на старой версии мы не держим — маскировка там слабее.

Что известно на 24 сентября 2026 года:

Как понять, что ваш роутер готов: в списке изменений его прошивки (или пакета AmneziaWG для неё) ищите «AmneziaWG 3» или защиту заголовка (header protection). Появилось — наш файл подойдёт. Нужная версия может прийти и с обычным обновлением прошивки, поэтому следите за ними.

Выбираете роутер под ВПН? Моделей мы не советуем и роутеров не продаём. Критерий один: на роутер ставится OpenWrt (список устройств — в таблице оборудования OpenWrt) или его штатная прошивка уже знает AmneziaWG 3.

Как настроить ВПН на роутере с OpenWrt: семь шагов

Шаги — ровно те, что мы прошли 24 сентября 2026 года на OpenWrt 24.10.8 в виртуальной машине. Названия кнопок — как в английском интерфейсе LuCI (веб-страница настройки роутера), в котором мы проверяли; в русском они переведены по смыслу. Понадобится компьютер в сети роутера и вход на роутер по SSH.

Шаг 1. Проверьте версию прошивки и платформу

Откройте LuCI (обычно 192.168.1.1) → Status → Overview. В строке Firmware Version должно быть OpenWrt 24.10.8 — на нём мы проверяли. Пакеты собраны под ядро конкретного выпуска и на другом не встанут; для 25.12.5 они тоже есть, но этот выпуск мы не проверяли. Версия старше — сначала обновите прошивку. Там же строка Target Platform, например mediatek/filogic: она понадобится на следующем шаге.

Шаг 2. Скачайте три пакета AmneziaWG

Откройте выпуски awg-openwrt на GitHub и выберите выпуск с номером вашей прошивки: v24.10.8 (или v25.12.5 — его мы не проверяли). Нужны файлы, чьи имена кончаются на вашу платформу (для mediatek/filogic — на _mediatek_filogic.ipk):

• kmod-amneziawg — модуль ядра;
• amneziawg-tools — утилиты;
• luci-proto-amneziawg — экран настройки в LuCI;
• по желанию luci-i18n-amneziawg-ru — русский перевод этого экрана.

Проверьте дату файлов: не раньше 22 сентября 2026 года. Выпуск по-прежнему называется «…amnezia wg v2.0…», но файлы в нём перезалиты 22 сентября, и внутри уже AmneziaWG 3.1. Файлы, скачанные раньше, — это 2.0 без защиты заголовка, и наш файл с ними не заработает. Для OpenWrt 25.12 файлы кончаются на .apk, а не .ipk.

Шаг 3. Установите пакеты и перезагрузите роутер

Скопируйте файлы на роутер в папку /tmp и поставьте их. С компьютера (Linux, Mac или Windows с OpenSSH), из папки со скачанными файлами:

scp -O *amneziawg*.ipk root@192.168.1.1:/tmp/
ssh root@192.168.1.1
cd /tmp
opkg update
opkg install ./kmod-amneziawg_*.ipk ./amneziawg-tools_*.ipk ./luci-proto-amneziawg_*.ipk

Скачали перевод — добавьте в последнюю строку и его: ./luci-i18n-amneziawg-ru_*.ipk. Ключ -O у scp нужен: без него новые версии scp получают от OpenWrt ответ «sftp-server: not found» — мы это проверили. Остальные пакеты opkg подтянет сам из хранилища OpenWrt; адрес 192.168.1.1 — адрес OpenWrt по умолчанию, у вас может быть другой.

Теперь перезагрузите роутер: System → Reboot. Без перезагрузки протокола «AmneziaWG VPN» в списке не будет: на нашей проверке он появился только после неё.

На OpenWrt 25.12 пакеты ставит не opkg, а apk. Этот путь мы не проходили, команда для него — в описании awg-openwrt.

Шаг 4. Получите файл в личном кабинете

В личном кабинете откройте карточку «Файл для Linux», выберите страну → «Получить файл для Linux» → «Скачать .conf». Карточка называется «для Linux», но файл тот же: роутеру он подходит.

• Файл займёт одно место на тарифе.
• Новый файл для той же страны отключает прежний, а скачать тот же файл второй раз нельзя: ключ на сервере не хранится.
• В файле секретный ключ — храните его как пароль.

Шаг 5. Создайте интерфейс и загрузите файл

1. Network → Interfaces → «Add new interface…».
2. Имя — например, mayak; протокол — «AmneziaWG VPN» → «Create interface».
3. Откроется окно интерфейса на вкладке General Settings. Нажмите «Load configuration…», затем «Select file…» и выберите скачанный файл (или вставьте его текст в поле) → «Import settings».

Ключи, адреса, DNS, параметры маскировки и защита заголовка загрузятся сами. Окно пока не закрывайте — в нём остались три поля.

Шаг 6. Впишите руками три поля

Импорт переносит не всё. В том же окне:

1. Advanced Settings → MTU. Впишите число из строки MTU вашего файла (откройте файл любым текстовым редактором). Импорт эту строку теряет, и без неё роутер возьмёт 1420 вместо числа, посчитанного под линию.
2. Firewall Settings → Create / Assign firewall-zone: выберите wan. Иначе компьютеры и телефоны за роутером не выйдут в интернет через туннель.
3. Peers → «Edit» у записи «Imported peer configuration» → поставьте галку «Route Allowed IPs» → Save. Без неё туннель поднимется, но трафик пойдёт мимо него.

Шаг 7. Сохраните одним разом и проверьте

Нажмите Save в окне интерфейса, затем «Save & Apply» внизу страницы. Всё — одним разом: если поставить галку у пира уже после первого «Save & Apply», изменение не применится, пока не нажать «Restart» у интерфейса.

Проверка. В Network → Interfaces у интерфейса mayak растут RX и TX. С компьютера или телефона, подключённого к роутеру, откройте нашу страницу «Мой IP»: адрес должен смениться на адрес нашего сервера в выбранной стране. На нашей проверке связь появлялась через несколько секунд после «Save & Apply», а после перезагрузки роутера туннель поднимался сам.

Если доступ кончился: без интернета весь дом

Мы проверили это 24 сентября: после удаления устройства в кабинете связь с сервером оборвалась, и роутер остался без выхода в интернет. С Passwall2 перестали открываться даже имена сайтов. Окончание доступа на роутере мы отдельно не проверяли: наш сервер в этом случае перестаёт пускать ключ роутера тем же путём, что и при удалении, поэтому ждите того же.

Что делать:

• Доступ кончился, и вы продлеваете — продлите. Ключ роутера останется прежним, и туннель должен подняться сам. На роутере этот случай мы не проверяли; не поднялся — нажмите «Restart» у интерфейса.
• Не продлеваете или удалили роутер из «Устройств» — отключите ВПН на роутере, как написано в следующем разделе.
• LuCI открывается и без интернета: к настройкам роутера вы доберётесь.

Совет: помните дату окончания доступа — она видна в кабинете — и продлевайте заранее.

Как отключить ВПН на роутере

1. Network → Interfaces → «Delete» у интерфейса mayak → «Save & Apply».
2. Перезагрузите роутер (System → Reboot). На нашей проверке после удаления интерфейса роутер остался без интернета: маршрут по умолчанию ушёл вместе с туннелем, а прежний сам не вернулся. После перезагрузки интернет вернулся.
3. Уже потом удалите устройство в кабинете («Устройства»), чтобы освободить место на тарифе. В обратном порядке дом останется без интернета, пока вы не дойдёте до роутера.

Кнопку «Stop» у интерфейса мы не проверяли — проверенный путь тот, что выше.

ВПН на роутер Keenetic и Netcraze: почему пока нет

Штатная прошивка. KeeneticOS (и Netcraze) с версии 5.1 знает AmneziaWG 2.0 — в своих списках изменений Keenetic называет её параметры «ASC». Защиты заголовка в ней нет: в заметках к выпускам 5.1.1–5.1.6 (последний вышел 24 сентября 2026 года) о ней ни слова. Поэтому наш файл штатный Keenetic не примет, а переделать его под 2.0 нельзя: без строки защиты заголовка туннель не поднимется.

Как понять, что заработает: в списке изменений KeeneticOS появится «AmneziaWG 3» или защита заголовка (header protection). Тогда наш файл можно будет загрузить импортом, как любой файл WireGuard. Появилось, а не выходит — напишите нам, разберёмся вместе.

Keenetic с Entware. Entware — сторонние пакеты для Keenetic. Среди них есть awg-manager: по его описанию, AmneziaWG 3.0 он умеет с версии 2.16.4, то есть наш файл должен принять. Живьём мы это не проверяли: Keenetic в виртуальной машине не запустить, а живого роутера у нас нет. Для ссылки подписки есть пакет XKeen на ядре Xray — это ядро наши серверы пускает, но сам XKeen на Keenetic мы тоже не проверяли.

Отдельную линию на старой версии AmneziaWG «под Keenetic» мы делать не стали: маскировка там слабее.

Passwall2: ВПН на OpenWrt по ссылке подписки

Если на вашем OpenWrt уже стоит Passwall2 или вам удобнее ссылка, чем файл, — это второй путь. Его мы проверили там же, в виртуальной машине, 24 сентября: Passwall2 26.9.16 с Xray 26.9.9, выход и самого роутера, и компьютера за ним — через наш сервер. В ссылке сразу все страны, выбирать их можно в Passwall2.

1. Подключите хранилище пакетов Passwall — как, написано на странице Passwall2 на GitHub. Ключ хранилища — файл ipk.pub; адрес passwall.pub из старых инструкций отвечает ошибкой 404.
2. Замените dnsmasq на dnsmasq-full и поставьте luci-app-passwall2 и xray-core из хранилища Passwall, версии 26.x. Xray из штатного хранилища OpenWrt 24.10 (25.1.30) с Passwall2 26.9.16 не запускается — мы это видели.
3. Возьмите ссылку в кабинете: «Подключение по ссылке» → «Устройство со своей ссылкой» → «Добавить устройство», имя — например, «роутер». «Общая ссылка» роутеру не подойдёт: она ждёт от приложения сведений о его устройстве, а роутерные программы их обычно не присылают.
4. Добавьте ссылку в Passwall2 как подписку (Node Subscribe) и обновите её: появятся узлы по странам. Выберите узел и включите Passwall2. Мы добавили подписку командой — тем же разбором, что у экрана Node Subscribe; сам экран не проходили.

Ссылка — как пароль: по ней к вашему доступу подключится любой, у кого она окажется. И то же предупреждение, что выше: кончится доступ — без интернета весь дом. Passwall2 тогда выключите в его настройках; этот шаг мы на проверке не проходили.

TP-Link, ASUS, Xiaomi, MikroTik, GL.iNet и роутер провайдера

На своих прошивках — пока нет:

• TP-Link и Xiaomi. AmneziaWG в штатных прошивках нет. У части моделей есть другие протоколы, например обычный WireGuard или OpenVPN, но их мы не выдаём: маскировки в них нет.
• ASUS. AmneziaWG нет ни в штатной прошивке, ни в Asuswrt-Merlin.
• MikroTik. В RouterOS 7 AmneziaWG нет.
• GL.iNet. Штатная прошивка знает AmneziaWG 2.0, защиты заголовка в ней пока нет.
• Роутер от провайдера (Ростелеком, МТС и другие). Прошивка своя, сведений об AmneziaWG 3 в ней у нас нет.

Сторонние дополнения для этих роутеров есть, но их мы не проверяли и не обещаем. Если на ваш роутер ставится OpenWrt, путь выше подходит и ему.

Сколько мест на тарифе займёт роутер

Роутер занимает на тарифе одно место, как телефон.

• Файл выдаётся на одну страну. Другая страна — другой файл и ещё одно место; ненужный удалите в «Устройствах».
• «Устройство со своей ссылкой» — тоже одно место, но страны в ней все.

На 24 сентября 2026 года «Старт» — до 3 устройств за 300 ₽ в месяц, «Семья» — до 5 за 500 ₽, «Макс» — до 10 за 700 ₽. Пробный доступ — на одном устройстве: если он уже идёт на телефоне, место для роутера надо освободить («Устройства» в кабинете) или выбрать тариф.

Что мы проверили

• OpenWrt 24.10.8 в виртуальной машине (x86_64), 24 сентября 2026 года. Пакеты awg-openwrt: kmod-amneziawg 3.1.20260906, amneziawg-tools 3.1.20260812, luci-proto-amneziawg 3.1.0. Наш файл загружен кнопкой «Load configuration…»: ключи, адреса, DNS, параметры маскировки и защита заголовка перенеслись без ошибок, потерялся только MTU. На линиях в Нидерландах и России связь появилась сразу после «Save & Apply», и выходной адрес — у самого роутера и у компьютера за ним — был адресом нашего сервера. После перезагрузки роутера туннель поднялся сам.
• Passwall2 26.9.16 с Xray 26.9.9 из хранилища Passwall, там же: из нашей ссылки Passwall2 получил четыре узла, по одному на страну; роутер и компьютер за ним выходили в интернет через наш сервер в Нидерландах. Xray 25.1.30 из хранилища OpenWrt с Passwall2 не запустился.
• Удаление устройства в кабинете — и с файлом, и с Passwall2 роутер остался без интернета вместе со всеми, кто за ним.
• Удаление интерфейса — без интернета до перезагрузки, после неё интернет вернулся.
• Копирование файлов на роутер: scp из OpenSSH 9.6 без ключа -O на чистом OpenWrt 24.10.8 не сработал, с ключом — сработал.

Интернет у виртуальной машины шёл через наш сервер в Москве. Как поведёт себя ваш провайдер, эта проверка не говорит.

Чего мы не знаем

• Как это работает на железном роутере. Проверяли в виртуальной машине: те же прошивка и пакеты, но процессор компьютера. Скорость на роутере не мерили.
• OpenWrt 25.12.5. Пакеты для него в awg-openwrt есть и перезалиты тем же днём, 22 сентября, но ставятся менеджером apk, и этот путь мы не проходили.
• Keenetic с Entware (awg-manager, XKeen), MikroTik с контейнерами, ASUS с Asuswrt-Merlin — не проверяли.
• Окончание доступа на роутере. Проверяли удаление устройства; окончание доступа сервер обрабатывает тем же путём, но на роутере его отдельно не проверяли. Не проверяли и то, поднимется ли туннель сам после продления.
• Кнопку «Stop» у интерфейса и выключение Passwall2 — тоже не проверяли.
• Только часть сайтов через туннель. Эта инструкция так не настраивает: через туннель идёт всё.
• Какой роутер покупать. Моделей не советуем.

Короткие ответы

Можно ли установить ВПН на роутер? Да, если прошивка знает AmneziaWG 3.0 или новее. Сегодня это OpenWrt 24.10.8 с пакетом awg-openwrt от 22 сентября 2026 года — на нём мы и проверяли. Пакеты для 25.12.5 тоже есть.

Как поставить ВПН на роутер Keenetic? Штатно — пока никак: KeeneticOS знает AmneziaWG 2.0, а нашему файлу нужна 3.0. Следите за списком изменений прошивки.

А на TP-Link? На штатной прошивке — нет. Если ваша модель поддерживается OpenWrt, то через OpenWrt.

Можно удалить из файла строку HeaderProtectionKey? Нет: защита заголовка работает только в паре с сервером, без неё туннель не поднимется.

Какой роутер лучше для ВПН? Тот, на который ставится OpenWrt, или тот, чья прошивка знает AmneziaWG 3. Моделей мы не советуем.

Нужно ли покупать «роутер с ВПН»? Нет. Роутеров мы не продаём: подойдёт и ваш, если на нём нужная прошивка.

Есть ли бесплатный ВПН для роутера? Бесплатного тарифа у нас нет. Есть пробный доступ без карты на одно устройство, а дальше — тариф от 300 ₽ в месяц на несколько устройств.

Сколько мест на тарифе займёт роутер? Одно, как телефон. Файл выдаётся на одну страну: другая страна — ещё одно место.

Что будет, когда доступ кончится? Без интернета останется весь дом — пока вы не продлите доступ или не отключите ВПН на роутере. Так было на нашей проверке после удаления устройства; само окончание доступа на роутере мы не проверяли.