Keenetic: WireGuard-клиент для отдельных устройств и политик маршрутизации

WireGuard на роутерах Keenetic — это не просто способ подключиться к VPN-серверу. Это гибкий инструмент, который позволяет управлять маршрутизацией трафика для каждого устройства в вашей домашней сети. Вместо того чтобы гнать весь интернет-трафик через туннель, вы можете настроить политики, которые определяют, какие устройства и какие подсети должны использовать VPN, а какие — оставаться в обычном интернете. Это особенно полезно, если вы хотите защитить только определенные устройства (например, смартфон или ноутбук) или обеспечить доступ к корпоративным ресурсам, не замедляя остальной трафик.

В этой статье мы подробно разберем, как настроить WireGuard-клиент на Keenetic, используя политики маршрутизации для отдельных устройств. Вы научитесь создавать интерфейс WireGuard, настраивать политики для LAN-устройств и реализовывать split tunnel — когда часть трафика идет через VPN, а часть напрямую в интернет. Мы также рассмотрим типичные ошибки и способы их устранения, а также ограничения, которые стоит учитывать.

Подготовка к настройке

Прежде чем приступить к настройке, убедитесь, что ваш Keenetic поддерживает WireGuard. Обычно это доступно в прошивках начиная с определенной версии. Проверьте наличие раздела «WireGuard» в веб-интерфейсе роутера. Также вам понадобятся данные от вашего WireGuard-сервера: публичный ключ сервера, IP-адрес сервера, порт, ваш закрытый ключ и IP-адрес, который будет назначен вашему клиенту (обычно это адрес из подсети VPN).

Важно: никогда не используйте реальные ключи из примеров. Сгенерируйте свои собственные ключи с помощью wg genkey и wg pubkey или используйте генераторы, но помните о безопасности — не доверяйте онлайн-генераторам, если не уверены в их надежности. Подробнее о рисках читайте в статье Бесплатные конфиги и генераторы: риски.

Создание WireGuard-интерфейса на Keenetic

Зайдите в веб-интерфейс роутера (обычно по адресу 192.168.1.1). Перейдите в раздел «Интернет» или «VPN» (в зависимости от версии прошивки). Найдите подраздел «WireGuard» и нажмите «Добавить интерфейс».

1. Введите имя интерфейса, например, wg0.
2. Укажите закрытый ключ клиента (Private Key).
3. В поле «IP-адрес» укажите адрес, который вы получили от VPN-сервера (например, 10.0.0.2/24).
4. В разделе «Пиры» (Peers) добавьте сервер: укажите публичный ключ сервера, endpoint (IP-адрес и порт сервера, например, vpn.example.com:51820), а также разрешенные IP-адреса (Allowed IPs). Обычно это 0.0.0.0/0, если вы хотите направлять весь трафик через VPN, или конкретные подсети для split tunnel.
5. Сохраните настройки.

После создания интерфейса он появится в списке. Теперь нужно настроить политики маршрутизации.

Политики маршрутизации для отдельных устройств

Политики маршрутизации определяют, какие устройства (или подсети) будут использовать созданный WireGuard-интерфейс. В Keenetic это реализовано через «Политики интернет-доступа» или «Правила маршрутизации». Перейдите в раздел «Интернет» → «Политики» (или «Маршрутизация»).

Создайте новую политику. В ней вы можете выбрать:

• Устройства LAN — выберите конкретные устройства из списка (по имени или MAC-адресу).
• Подсети — укажите подсеть, например, 192.168.1.0/24 для всей локальной сети.
• Направление трафика — выберите «Через VPN» или «Через интернет».

Для split tunnel вы можете создать несколько политик: например, для устройства Ноутбук — через VPN, а для Смартфон — напрямую в интернет. Или для подсети 192.168.1.0/24 — через VPN, а для 192.168.2.0/24 — напрямую.

Важно понимать, что политики применяются к исходящему трафику. Если вы хотите, чтобы устройство имело доступ и в интернет, и в VPN-сеть одновременно, вам нужно настроить маршрутизацию так, чтобы трафик к определенным подсетям шел через VPN, а остальной — напрямую. Это достигается с помощью параметра Allowed IPs в настройках пира. Например, если указать Allowed IPs = 10.0.0.0/24, то только трафик к подсети 10.0.0.0/24 пойдет через VPN, а остальной — напрямую.

Настройка split tunnel на Keenetic

Split tunnel — это режим, при котором только часть трафика направляется через VPN. Для этого в настройках пира (сервера) укажите не 0.0.0.0/0, а конкретные подсети, которые должны идти через VPN. Например, если вам нужен доступ только к корпоративной сети 192.168.10.0/24, укажите именно ее.

Однако, если вы хотите, чтобы определенные устройства (например, ноутбук) весь свой трафик направляли через VPN, а другие (например, Smart TV) — напрямую, то используйте политики маршрутизации. В политике для ноутбука выберите «Через VPN», а для Smart TV — «Через интернет». При этом в настройках пира должно быть указано Allowed IPs = 0.0.0.0/0, чтобы весь трафик устройства шел через туннель.

Пример настройки:

1. Создайте интерфейс WireGuard с Allowed IPs = 0.0.0.0/0.
2. В политиках создайте правило: устройство «Ноутбук» → «Через VPN».
3. Создайте правило: устройство «Smart TV» → «Через интернет» (по умолчанию, если не выбрано никакой политики, трафик идет напрямую).

Теперь ноутбук будет ходить в интернет через VPN, а Smart TV — напрямую.

Самостоятельная проверка результата

После настройки важно убедиться, что все работает корректно. Проверьте:

1. Подключение к VPN: зайдите в веб-интерфейс роутера, раздел «Интернет» → «WireGuard» и убедитесь, что статус интерфейса — «Подключен» (или «Активен»).
2. Проверьте IP-адрес устройства, для которого настроена политика «Через VPN». Для этого на устройстве откройте сайт типа 2ip.ru или ifconfig.me и посмотрите, какой IP-адрес отображается. Он должен отличаться от вашего реального IP, если VPN работает.
3. Проверьте доступность ресурсов через VPN: попробуйте открыть сайт, который доступен только через VPN.
4. Для устройств, которые должны идти напрямую, убедитесь, что их IP-адрес не изменился.

Если что-то не работает, проверьте настройки политик и маршрутов. Возможно, нужно добавить маршрут на роутере для подсети VPN. Обычно Keenetic автоматически добавляет маршруты, но если нет, добавьте вручную в разделе «Маршрутизация».

Ограничения и безопасность

WireGuard на Keenetic имеет некоторые ограничения:

• Не все модели Keenetic поддерживают WireGuard. Проверьте список совместимых моделей на официальном сайте.
• Производительность VPN зависит от аппаратной мощности роутера. На слабых моделях скорость может быть ниже.
• Политики маршрутизации работают только для устройств, подключенных к роутеру. Если устройство использует другой DNS или прокси, возможны конфликты.
• При использовании split tunnel убедитесь, что DNS-запросы не утекают. Настройте DNS-серверы вручную или используйте DNS-сервер VPN-провайдера.

Безопасность: никогда не используйте чужие конфигурационные файлы WireGuard, так как они могут содержать вредоносные настройки. Подробнее об этом читайте в статье Бесплатные конфиги и генераторы: риски. Также следите за обновлениями прошивки Keenetic, чтобы получать исправления уязвимостей.

Если у вас возникают проблемы с подключением, проверьте, не блокирует ли ваш интернет-провайдер порты WireGuard (обычно UDP 51820). В этом случае может помочь смена порта или использование CGNAT и DDNS, если у вас динамический IP.

Также обратите внимание на IPv6: если у вас включен IPv6, трафик IPv6 может идти в обход VPN. Чтобы этого избежать, отключите IPv6 на устройствах, которые должны использовать VPN, или настройте маршрутизацию IPv6 через туннель. Подробнее в статье Настройка IPv6.