Общий разбор «зачем VPN на роутере и какой роутер брать» у нас уже есть - здесь. Эта статья - конкретная инструкция для Keenetic, потому что именно про него спрашивают чаще всего: у роутеров этой марки VPN-протоколы ставятся штатно, без перепрошивки.
Какие модели подходят
Любой Keenetic на актуальной KeeneticOS (4.x) умеет WireGuard и AmneziaWG через компоненты. Для VLESS (Xray) нужен USB-порт и Entware - это модели уровня Giga, Ultra, Hero, Peak, Hopper, Viva; у младших (Start, Lite, Extra без USB) остаётся только AmneziaWG. Скорость через туннель зависит от процессора: младшие модели дадут 30–60 Мбит/с на AmneziaWG, старшие - 200–500.
Шаг 0. Конфиг от VPN-сервиса
Нужен сервис, который выдаёт файл конфигурации AmneziaWG (.conf) или WireGuard, а не только ссылку для Happ. Из каталога: Amnezia Premium, RKS VPN, Red Shield, Tuna; WireGuard-конфиги дают Xeovo, Mullvad, Proton, hide.me; отдельная инструкция для роутеров есть у Дядя Ваня VPN. Полный список - на странице VPN для роутера, внутри неё фильтр AmneziaWG. Обычный WireGuard у многих операторов режется, поэтому предпочтителен AmneziaWG.
Шаг 1. Установить компонент AmneziaWG
- Веб-интерфейс Keenetic → Управление → Параметры системы → Изменить набор компонентов.
- Найдите «AmneziaWG VPN» (в разделе VPN-клиентов), отметьте, установите. Роутер перезагрузится.
Шаг 2. Импорт конфига и подключение
- Интернет → Другие подключения → AmneziaWG → «Загрузить из файла» → выберите .conf от сервиса. Параметры Jc/Jmin/Jmax/S1/S2/H1–H4 подставятся из файла.
- Включите подключение и убедитесь, что статус - «Подключено», а рукопожатие свежее.
- Если вы хотите пускать через VPN всё, оставьте «Использовать для выхода в интернет». Если только часть устройств - снимите галочку и переходите к политикам.
Шаг 3. Политики доступа - кто идёт через VPN
Самая полезная функция Keenetic: Мои сети и Wi-Fi → Политики доступа в интернет → создайте политику «Через VPN», в которой приоритетным подключением будет AmneziaWG, и назначьте её нужным устройствам (телевизор, приставка, ваш телефон). Остальные устройства продолжат ходить напрямую - банки и Госуслуги на них будут работать. Можно поступить наоборот: всё через VPN, а «банковский» ноутбук - напрямую.
Полноценная маршрутизация по доменам (российские сайты напрямую для всех устройств) штатно на Keenetic ограничена; для этого нужны статические маршруты по подсетям или Entware с собственными правилами. Для большинства семей политик по устройствам достаточно.
Шаг 4. DNS и защита от утечек
Интернет → Интернет-фильтры → DNS: включите DoT/DoH к 1.1.1.1 или 8.8.8.8, чтобы запросы не уходили к провайдеру открытым текстом. В настройках AmneziaWG-подключения снимите галочку «Использовать DNS провайдера», если она есть. Проверьте на любом сайте «DNS leak test», что резолвер зарубежный.
VLESS на Keenetic через Entware (для моделей с USB)
Когда UDP у оператора режут, AmneziaWG падает, а VLESS Reality по TCP работает. На Keenetic это делается через Entware (установка на USB-флешку из компонентов → OPKG) и пакет Xray или sing-box: ставите пакет, кладёте JSON-конфиг с вашими параметрами (адрес, uuid, publicKey, shortId, sni из ссылки сервиса), запускаете как службу и направляете трафик через прокси средствами ipset/iptables. Готовые скрипты и инструкции публикуются в сообществе Keenetic; повторять их здесь не будем - они меняются с каждой версией прошивки. Если это звучит сложно, для VLESS проще держать клиент на устройствах, а роутер оставить на AmneziaWG.
Если скорость упала
- Проверьте скорость без VPN и через VPN на одном устройстве: если разница в 5 раз - упёрлись в процессор роутера. Выход - модель постарше или VPN только на устройствах.
- Смените сервер сервиса на ближайший (Финляндия, Швеция, Латвия).
- Уменьшите MTU в настройках подключения до 1280–1380, если рвутся загрузки и видео.
- Отключите аппаратное ускорение NAT для VPN-интерфейса, если оно конфликтует (редко, на старых прошивках).
Частые вопросы
Можно ли на Keenetic использовать ссылку-подписку от Happ?
Напрямую нет: Keenetic понимает файлы конфигураций WireGuard/AmneziaWG/OpenVPN, а не ссылки vless://. Нужен либо сервис с конфигом для роутера, либо Entware с Xray.
Что будет, если VPN на роутере упадёт?
При включённом «использовать для выхода в интернет» устройства останутся без интернета (это и есть kill switch). Если нужен доступ хоть какой-то - используйте политики: устройства без политики пойдут напрямую.
Считается ли роутер одним устройством у сервиса?
Да, для сервиса это одно подключение, сколько бы устройств за роутером ни было - самый дешёвый способ обойти лимит устройств. Подробно - VPN без лимита устройств.