Keenetic Giga: настройка WireGuard-сервера с нуля
Разбираем, как подготовить Keenetic Giga к роли WireGuard-сервера: адреса, ключи, проброс порта и безопасная проверка доступа извне.
Содержание
Перед настройкой проверьте внешний адрес
WireGuard-сервер на домашнем Keenetic доступен только при входящем маршруте до роутера. В веб-интерфейсе проверьте, что WAN-адрес не относится к диапазонам CGNAT, а у провайдера разрешён входящий UDP. Если используется KeenDNS, он решает задачу имени, но не заменяет доступный снаружи порт.
Создайте отдельную подсеть для peers
Не выдавайте клиентам адреса из домашней LAN. Для туннеля выберите свободный диапазон, например 10.77.0.0/24, а первому телефону назначьте один фиксированный адрес. В компоненте WireGuard создайте серверный интерфейс, сгенерируйте ключи на самом роутере и добавьте peer с его публичным ключом.
Маршруты и проверка
Для доступа к дому укажите в клиентском профиле только домашнюю сеть и адрес WireGuard. Для полного туннеля добавляют маршруты по умолчанию, но это требует корректных DNS и NAT на роутере. Тестируйте не из домашнего Wi-Fi, а из мобильной сети: сначала handshake, затем открытие IP роутера и одного устройства LAN.
Что не стоит делать
Не используйте одинаковый ключ на нескольких устройствах и не пересылайте конфиг в общий чат. Если WAN-адрес меняется, используйте DDNS-имя вместо IP и отдельно проверьте его актуальность после перезагрузки роутера.
Мини-чеклист
- Обновить KeeneticOS и включить компонент WireGuard.
- Проверить публичный WAN-адрес или условия провайдера.
- Создать отдельную подсеть VPN и один тестовый peer.
- Проверить подключение через мобильную сеть.
Частые ошибки
- Настраивать сервер за CGNAT без внешнего доступа.
- Выдавать двум peers один адрес.
- Использовать домашнюю LAN как адрес интерфейса WireGuard.
Источники и документация
FAQ
Нужен ли проброс порта?
Если сервер слушает на самом Keenetic с публичным WAN, отдельный проброс не нужен. Порт нужен в правилах доступа и в Endpoint клиента.
Можно ли подключить несколько телефонов?
Да, для каждого создают отдельный peer, адрес и ключевую пару.
Хотите перейти сразу к рабочему доступу?
Если сценарий уже ясен и не хочется проходить все шаги вручную, оформите доступ и проверьте подключение на своем устройстве.
Получить доступ