VPN для роутера OpenWrt: полное руководство по настройке OpenVPN и VLESS

Зачем нужен VPN на роутере OpenWrt

OpenWrt — это открытая прошивка для роутеров, которая даёт полный контроль над сетью. Установка VPN на роутер позволяет защитить все устройства в доме сразу: телевизоры, приставки, консоли, телефоны и ноутбуки. В отличие от установки приложения на каждое устройство, роутерный VPN работает автоматически для всей сети, включая устройства, на которые нельзя поставить VPN-клиент.

Основные преимущества:

• Единая точка защиты — весь трафик шифруется на уровне роутера, не нужно настраивать каждое устройство.
• Поддержка умных устройств — Smart TV, игровые приставки и другие устройства без возможности установки VPN работают через туннель.
• Гибкая маршрутизация — можно направить через VPN только нужный трафик, оставив локальные сервисы и российские сайты напрямую.
• Экономия — одна подписка VPN покрывает всю домашнюю сеть, а не каждое устройство отдельно.

Однако есть и ограничения. VPN на роутере требует производительного процессора: на слабом железе скорость может упасть до 30–50 Мбит/с при использовании современных протоколов. Кроме того, настройка требует базовых знаний сетевых технологий, а перепрошивка роутера несёт риск «окирпичивания».

Выбор протокола: OpenVPN или VLESS Reality

На OpenWrt можно настроить разные VPN-протоколы. Два самых популярных варианта — OpenVPN и VLESS Reality.

OpenVPN — классический протокол с открытым исходным кодом. Он надёжен, но менее эффективен на слабых процессорах из-за высокой нагрузки на CPU. Настройка на OpenWrt обычно включает установку пакета openvpn-openssl, копирование конфигурационного файла и настройку межсетевого экрана. OpenVPN хорошо подходит для серверов, которые вы контролируете сами, или для коммерческих VPN-сервисов, предоставляющих файлы .ovpn.

VLESS Reality — современный протокол на базе Xray/sing-box, который обеспечивает высокую скорость и устойчивость к блокировкам. Он менее требователен к ресурсам и часто используется в коммерческих VPN-сервисах. На OpenWrt его настраивают через пакет homeproxy, который предоставляет веб-интерфейс LuCI для управления.

Выбор зависит от ваших задач:

• Если у вас есть собственный OpenVPN-сервер или вы используете сервис с поддержкой OpenVPN — выбирайте OpenVPN.
• Если нужна максимальная скорость и обход блокировок — VLESS Reality предпочтительнее.

В любом случае, OpenWrt поддерживает оба протокола, и вы можете настроить их параллельно для разных сценариев.

Подготовка роутера и выбор прошивки

Прежде чем настраивать VPN, убедитесь, что ваш роутер работает на OpenWrt или ImmortalWrt. Если у вас стоковая прошивка, её нужно заменить. Это ответственный шаг: неправильная прошивка может превратить роутер в «кирпич».

Проверка совместимости Зайдите на официальный сайт OpenWrt или в firmware selector ImmortalWrt и найдите свою модель. Важно сверить точную аппаратную ревизию (например, Xiaomi Mi Router 4A Gigabit имеет несколько ревизий). Скачайте образ именно под вашу модель и ревизию. Обратите внимание на тип образа: factory — для первой прошивки со стоковой, sysupgrade — для обновления уже прошитого роутера.

Процесс прошивки Прошивка выполняется через стоковый веб-интерфейс, TFTP или recovery-режим — зависит от модели. Если вы не уверены в своих силах, рассмотрите альтернативы:

• GL.iNet — роутеры, которые продаются с OpenWrt из коробки.
• Keenetic — можно настроить VPN через пакет XKeen без перепрошивки.

Рекомендации для новичков Если вы впервые сталкиваетесь с OpenWrt, начните с роутера, который уже поддерживает OpenWrt, или используйте виртуальную машину для тренировки. После прошивки обязательно сделайте резервную копию конфигурации.

Установка необходимых пакетов

Для работы VPN на OpenWrt нужно установить соответствующие пакеты. Это можно сделать через веб-интерфейс LuCI или через командную строку SSH.

Для OpenVPN:

opkg update
opkg install openvpn-openssl

Если вы планируете управлять OpenVPN через LuCI, установите также пакет luci-app-openvpn.

Для VLESS Reality (homeproxy):

opkg update
opkg install luci-app-homeproxy

На ImmortalWrt homeproxy часто уже предустановлен — проверьте меню LuCI в разделе Services.

Дополнительные пакеты В зависимости от конфигурации могут понадобиться:

• luci-app-firewall — для настройки межсетевого экрана (обычно уже установлен).
• ip-full или iproute2 — для работы с маршрутизацией.
• traceroute — для диагностики.

Убедитесь, что у роутера есть доступ в интернет для загрузки пакетов. Если пакеты не устанавливаются, проверьте список репозиториев в /etc/opkg/distfeeds.conf.

Настройка OpenVPN-клиента на OpenWrt

Настройка OpenVPN на OpenWrt может быть выполнена двумя способами: через консоль и через LuCI. Рассмотрим оба.

Через консоль (SSH)

1. Скопируйте клиентский конфигурационный файл (например, client.ovpn) на роутер в директорию /etc/openvpn/:

   scp client.ovpn root@192.168.1.1:/etc/openvpn/client.conf

Убедитесь, что в файле есть все необходимые сертификаты и ключи.

1. Запустите службу OpenVPN:

   service openvpn start

1. Проверьте, что интерфейс tun0 поднялся:

   ip a

Вы должны увидеть интерфейс tun0 с IP-адресом из подсети VPN.

Через LuCI

1. Установите пакет luci-app-openvpn, если ещё не установлен.
2. Перейдите в раздел VPN → OpenVPN.
3. В поле «OVPN configuration file upload» выберите файл конфигурации, задайте имя экземпляра и нажмите Upload.
4. Включите экземпляр галочкой Enabled и нажмите Save & Apply.
5. Проверьте статус — в столбце Started должно быть yes.

Настройка межсетевого экрана Чтобы устройства в локальной сети могли ходить через туннель, необходимо создать зону для интерфейса tun0 и разрешить пересылку из зоны lan в зону tun. Это можно сделать через LuCI (Network → Firewall → Zones) или вручную в /etc/config/firewall.

Пример конфигурации для /etc/config/firewall:

config zone
    option name 'tun'
    option forward 'REJECT'
    option output 'ACCEPT'
    option input 'REJECT'
    option masq '1'
    option mtu_fix '1'
    option device 'tun0'
    option family 'ipv4'

config forwarding
    option name 'lan-tun'
    option dest 'tun'
    option src 'lan'
    option family 'ipv4'

После изменений перезапустите firewall: service firewall restart.

Настройка VLESS Reality через homeproxy

VLESS Reality — современный протокол, который на OpenWrt настраивается через пакет homeproxy. Этот пакет предоставляет удобный веб-интерфейс и использует ядро sing-box.

Получение ключа для роутера Обычная ссылка подписки из приложения не подойдёт: ключи часто привязаны к устройству, а homeproxy не передаёт идентификатор устройства. Поэтому нужно запросить у VPN-провайдера специальную ссылку для роутера или готовый VLESS-ключ. Обычно это делается через поддержку.

Импорт ключа

1. Откройте LuCI и перейдите в Services → HomeProxy.
2. На вкладке Node Settings (узлы) вставьте ссылку подписки для роутера в поле подписки и нажмите обновить, либо добавьте ноду вручную, вставив VLESS-ключ.
3. Дождитесь, пока подтянутся доступные серверы (ноды).

Включение проксирования

1. Перейдите на вкладку Routing Settings.
2. Выберите режим маршрутизации. Обычно достаточно проксировать весь трафик, кроме локального и российского.
3. Выберите основную ноду в качестве сервера.
4. Включите HomeProxy (Enable) и нажмите Save & Apply.

Проверка С любого устройства за роутером зайдите на сайт проверки IP — он должен показать страну выбранной ноды.

Если после включения homeproxy пропал интернет, выключите его — связь вернётся. Проверьте правила маршрутизации: возможно, весь трафик ушёл в прокси без исключений для локальной сети.

Маршрутизация всего трафика и split tunneling

После настройки VPN важно правильно настроить маршрутизацию. Есть два основных сценария: весь трафик через VPN или выборочная маршрутизация (split tunneling).

Весь трафик через VPN Для OpenVPN за это отвечает директива redirect-gateway в конфигурационном файле. Если она присутствует, весь трафик пойдёт через туннель. Проверить это можно командой traceroute — если первый хоп не IP вашего роутера, а незнакомый IP, значит трафик идёт через VPN. Также можно посмотреть таблицу маршрутизации:

ip r

Если вы видите строку 0.0.0.0/1 via dev tun0, значит весь трафик направлен в туннель.

Если вы не хотите, чтобы весь трафик шёл через VPN, удалите директиву redirect-gateway из конфига. Если сервер принудительно проставляет этот маршрут, добавьте в конфиг клиента строку:

pull-filter ignore redirect-gateway

После изменений перезапустите OpenVPN.

Split tunneling (раздельная маршрутизация) Этот режим позволяет направлять через VPN только нужный трафик, а остальное — напрямую. Например, российские банки и Госуслуги работают напрямую, а заблокированные сервисы — через VPN. В homeproxy это реализуется с помощью гео-списков (geosite/geoip): можно указать категории ru и cn для прямого маршрута, а остальное — через прокси.

Для OpenVPN раздельная маршрутизация настраивается сложнее — через политики маршрутизации в /etc/config/network или с помощью скриптов. Но homeproxy делает это интуитивно понятно.

Диагностика и решение типичных проблем

При настройке VPN на OpenWrt могут возникнуть проблемы. Рассмотрим самые частые и способы их решения.

Нет интернета после включения VPN

• Выключите VPN и проверьте, вернулся ли интернет. Если да — проблема в маршрутизации.
• Проверьте, что в правилах маршрутизации есть исключения для локальной сети (например, 192.168.1.0/24).
• Убедитесь, что межсетевой экран разрешает пересылку из lan в tun.

Низкая скорость

• VPN-шифрование нагружает процессор роутера. На слабом железе скорость может быть низкой. Попробуйте использовать более лёгкий протокол (например, VLESS вместо OpenVPN) или обновить роутер.
• Проверьте скорость без VPN, чтобы понять, не в провайдере ли дело.

Ноды не подтягиваются в homeproxy

• Убедитесь, что вы используете ссылку для роутера, а не обычную подписку.
• Проверьте, что у роутера есть доступ в интернет.

OpenVPN не стартует

• Проверьте конфигурационный файл на наличие ошибок: openvpn --config /etc/openvpn/client.conf.
• Убедитесь, что все сертификаты и ключи на месте.
• Посмотрите логи: logread | grep openvpn.

После перепрошивки роутер не включается

• Используйте recovery-режим вашей модели (часто — зажать reset при включении и залить образ через TFTP).
• Обратитесь к документации OpenWrt для вашей модели.

Безопасность и дополнительные рекомендации

VPN на роутере — это мощный инструмент, но он требует внимания к безопасности.

Обновляйте прошивку и пакеты Регулярно обновляйте OpenWrt и установленные пакеты, чтобы получать исправления уязвимостей. Это можно делать через LuCI (System → Software) или командой opkg upgrade.

Используйте надёжные пароли После прошивки смените пароль администратора роутера. По умолчанию OpenWrt не имеет пароля — это опасно, если роутер доступен из интернета.

Ограничьте доступ к LuCI Не открывайте веб-интерфейс роутера в интернет. Если нужен удалённый доступ, используйте VPN или SSH с ключами.

Проверяйте утечки DNS Убедитесь, что DNS-запросы не уходят мимо VPN. В OpenWrt можно настроить DNS через VPN-интерфейс или использовать dnsmasq с соответствующими настройками.

Резервное копирование Перед изменениями конфигурации делайте резервную копию: LuCI → System → Backup/Flash Firmware. Это позволит быстро восстановить работоспособность.

Выбор VPN-провайдера Если вы используете коммерческий VPN, выбирайте сервис с поддержкой OpenWrt и возможностью получить ключ для роутера. Обратите внимание на политику логирования и наличие серверов в нужных странах.

Вопросы и ответы