Как настроить WireGuard на Keenetic

Что нужно перед настройкой

Смысл настройки WireGuard на роутере простой: шифрованное соединение поднимается один раз, а пользуются им все устройства в доме. Не нужно ставить приложение на каждый телефон и ноутбук, не нужно помнить, включён ли туннель, и не нужно ничего придумывать для техники, куда VPN-клиент вообще не установить, — телевизоров, приставок, принтеров, камер. Keenetic для этой роли подходит хорошо: WireGuard в KeeneticOS реализован штатно, настраивается из веб-панели и держит соединение без ручного вмешательства.

Чтобы поднять WireGuard на Keenetic, нужны три вещи: роутер с KeeneticOS версии 3.3 или новее, установленный системный компонент «WireGuard VPN» и файл конфигурации с расширением .conf. Ручной ввод ключей не потребуется — весь набор параметров роутер прочитает из файла.

Версию прошивки посмотрите в веб-панели по адресу my.keenetic.net или 192.168.1.1 на странице «Общие настройки». Если прошивка старее 3.3, сначала обновите её: раздела WireGuard в меню просто не будет. Поддержка реализована для актуальных моделей Keenetic, поэтому на устройствах первых поколений её может не оказаться даже после обновления.

Конфиг для роутера лучше выпустить отдельный — не тот, что уже стоит на телефоне. Один файл рассчитан на одно устройство: если поднять одну и ту же пару ключей в двух местах, соединение будет рваться у обоих. В Muhomor VPN на одном доступе выпускается до пяти конфигов, и для роутера в разделе «Устройства» создаётся свой профиль. Пробный доступ на 3 дня оформляется на главной странице — нужен только e-mail, карта не требуется; условия — в статье бесплатный пробный VPN. Дальше доступ оплачивается разово, без подписки и автосписаний. Как устроен сам файл и за что отвечает каждая строка, разобрано в материале разбор конфига WireGuard.

Шаг 1. Устанавливаем компонент WireGuard VPN

Без системного компонента раздел WireGuard в меню не появится — это первое, обо что спотыкаются почти все. Порядок действий такой:

1. Откройте веб-панель роутера и войдите под учётной записью администратора.
2. Откройте «Управление» → «Параметры системы» (в KeeneticOS 3.x эта страница называлась «Общие настройки») и нажмите «Изменить набор компонентов».
3. В списке найдите компонент «WireGuard VPN» и отметьте его галочкой.
4. Нажмите «Обновить KeeneticOS» и дождитесь, пока роутер скачает компонент и перезагрузится. Обычно это занимает пару минут, интернет на это время пропадёт.

После перезагрузки в меню «Интернет» на странице «Другие подключения» появится блок WireGuard. Если блока нет, пройдите по списку из следующего раздела. Актуальный список моделей и версий всегда можно сверить в официальной базе знаний Keenetic.

Заодно имеет смысл обновить саму прошивку до последней стабильной: в свежих выпусках KeeneticOS интерфейс работы с туннелями заметно удобнее, а часть шероховатостей с маршрутизацией уже исправлена.

Компонент установлен, а WireGuard в меню не появился

Частый вопрос, в том числе от владельцев Keenetic Air: компонент поставили, роутер перезагрузился, а где настраивать WireGuard — непонятно. Отдельного пункта «WireGuard» в главном меню нет: подключения живут на странице «Интернет» → «Другие подключения», в блоке WireGuard с кнопками «Добавить подключение» и «Загрузить из файла». Если блока на странице нет, проверьте по порядку:

1. Вход после перезагрузки. Выйдите из веб-интерфейса, войдите снова и обновите страницу без кеша (Ctrl+F5 в Windows, Cmd+Shift+R в macOS). Браузер мог показать меню, сохранённое до установки компонента.
2. Установился ли компонент. Откройте «Управление» → «Параметры системы» → «Изменить набор компонентов» и найдите «WireGuard VPN». Если компонент не установлен, установка прервалась — чаще всего из-за обрыва связи с сервером обновлений или ошибки «Недостаточно места». Во втором случае снимите ненужные компоненты и повторите.
3. Версия KeeneticOS. WireGuard появился в KeeneticOS 3.3. На более старой версии сначала обновите прошивку.
4. Модель. WireGuard есть на роутерах Keenetic с индексом KN, включая Air и Start. Модели Air KN-1610 и Start KN-1110 новых версий прошивки уже не получают, но WireGuard в их последних версиях есть. На старых ZyXEL Keenetic с прошивкой NDMS 2.x его нет — там туннель придётся поднимать на самих устройствах.

Названия пунктов меню немного меняются от версии к версии, поэтому, если что-то выглядит иначе, сверяйтесь с инструкцией для своей модели в базе знаний Keenetic.

Шаг 2. Импортируем конфиг в «Другие подключения»

Сохраните файл .conf, который пришёл на почту, на тот компьютер, с которого открыта веб-панель — загружать конфиг роутер будет именно оттуда. Не открывайте файл в текстовом редакторе с последующим пересохранением: изменённая кодировка или лишние символы ломают импорт.

1. Откройте «Интернет» → «Другие подключения».
2. В блоке WireGuard нажмите «Загрузить из файла». Соседняя кнопка «Добавить подключение» нужна для ручного ввода — здесь она не понадобится.
3. Укажите свой .conf. Keenetic сам заполнит поля: приватный ключ, адрес в туннеле, публичный ключ пира, Remote Endpoint (адрес и порт сервера), разрешённые подсети и интервал проверки активности.
4. Задайте понятное имя подключения, например vpn-tunnel, чтобы потом не путаться в списке интерфейсов.
5. Проверьте поле разрешённых подсетей (Allowed IPs). Значение 0.0.0.0/0 означает «весь трафик в туннель». Если в конфиге перечислены конкретные подсети — это профиль с раздельным туннелированием, и так и должно быть.
6. Сохраните настройки и переведите переключатель подключения во включённое положение.

Если всё верно, напротив пира загорится зелёный индикатор: рукопожатие прошло, шифрованный туннель установлен. Серый индикатор означает, что обмена ключами ещё не было — что с этим делать, разбираем ниже.

Шаг 3. Решаем, чей трафик идёт в туннель

Самое важное начинается после подключения: поднятый интерфейс сам по себе трафик не перехватывает, роутеру нужно объяснить, кого через него выпускать. В KeeneticOS за это отвечают политики доступа в интернет.

Весь дом через туннель

Откройте «Сетевые правила» → «Приоритеты подключений». Здесь создаются политики: в каждой перечисляются доступные подключения в порядке приоритета. Поставьте WireGuard-подключение выше провайдерского, и весь трафик, который подпадает под эту политику, пойдёт через шифрованный канал. Проводное подключение оставьте в списке ниже — оно станет резервом, если туннель окажется недоступен.

Только выбранные устройства

Там же политику можно назначить не всей сети, а конкретным зарегистрированным устройствам или отдельному сегменту. Схема рабочая: телевизор и медиаприставка ходят через туннель, а ноутбук с банковским клиентом — напрямую с домашнего адреса, без лишних подтверждений входа.

Ещё удобнее завести отдельный сегмент с собственной Wi-Fi-сетью и привязать к нему политику с WireGuard. Устройство подключилось к этой сети — работает через туннель, переключилось на основную — идёт обычным маршрутом. Ничего перенастраивать при этом не нужно, достаточно выбрать сеть.

Третий путь — не делить трафик на роутере вручную, а взять профиль с раздельным туннелированием: тогда решение, что идёт напрямую, а что в туннель, принимается по списку правил внутри самого конфига, и список обновляется на стороне сервиса. Плюсы и минусы обоих подходов разобраны в статье VPN на роутере или на устройстве.

Шаг 4. Проверяем соединение

Проверка занимает минуту и состоит из трёх шагов.

1. Статус на роутере. На странице «Другие подключения» у пира должен гореть зелёный индикатор, а в деталях подключения — свежее время последнего рукопожатия и растущие счётчики принятых и отправленных байтов. Если байты идут только в одну сторону, трафик до сервера доходит, а обратно нет.
2. Внешний IP. С любого домашнего устройства, попадающего под политику, откройте сервис определения IP-адреса. Адрес должен отличаться от того, что выдаёт ваш провайдер.
3. DNS. Убедитесь, что имена сайтов резолвятся через сервер из конфига, а не через провайдерский. Как проверить это корректно и что считать утечкой, описано в материале проверка утечек DNS и IP.

Отдельно посмотрите на устройства без приложений — телевизор, приставку, умную колонку. Им ничего настраивать не нужно: маршрут они получают от роутера, а шифрование происходит на нём же. Это, собственно, главная причина настраивать WireGuard на Keenetic, а не на каждом гаджете.

Отдельно стоит понимать, что именно даёт туннель на роутере, а что нет. Он шифрует трафик на участке от вашего роутера до сервера, поэтому провайдер и владелец канала не видят содержимое соединений, а сайты видят адрес сервера, а не ваш домашний. При этом cookies, вход в аккаунты и данные, которые вы сами вводите на сайтах, туннель не прячет — это уже вопрос цифровой гигиены, а не сетевой настройки.

MTU: если часть сайтов открывается наполовину

Симптом узнаваемый: пинг проходит, лёгкие страницы открываются, а тяжёлые сайты, загрузка файлов или видеозвонки зависают на середине. Это классическая история с MTU: пакет вместе с заголовками WireGuard не помещается в канал, а сигнал о необходимости фрагментации до отправителя не доходит.

Для WireGuard в целом штатное значение — 1420 байт, а Keenetic начиная с KeeneticOS 3.4 по умолчанию ставит WireGuard-подключениям 1324 — с запасом под PPPoE и мобильные каналы. Посмотрите, какое значение стоит в поле MTU вашего подключения: если роутер выходит в интернет через PPPoE или мобильный модем, а значение большое, его нужно уменьшать. Снижайте MTU в настройках WireGuard-подключения шагами по 20 байт: 1400, 1380, 1360 — и после каждого шага проверяйте проблемный сайт. Ниже 1280 опускаться смысла нет, это минимум для IPv6.

Понять, какой размер реально проходит, помогает пинг с запретом фрагментации с компьютера в домашней сети: увеличивайте размер пакета, пока ответы не пропадут. Другие причины низкой скорости и способы их проверки собраны в статье почему WireGuard работает медленно.

Серый IP: будет ли работать WireGuard на Keenetic

Для настройки по этой инструкции серый IP не мешает. Keenetic здесь работает клиентом: он сам открывает исходящее соединение к серверу, и ответы возвращаются через NAT провайдера по уже открытому пути. Такую схему описывает и сам Keenetic: клиент с частным адресом на WAN-интерфейсе, сервер — с белым. Поэтому туннель поднимается и за провайдерским NAT (CGNAT), и через мобильный модем. Чтобы запись в NAT оператора не устаревала в паузах, у пира должна работать проверка активности — в конфиге это строка PersistentKeepalive. В готовых конфигах Muhomor VPN она уже есть: 25 секунд.

Серый IP становится проблемой, только если нужно обратное: поднять WireGuard-сервер на самом Keenetic и подключаться к домашней сети снаружи. Серверу нужны входящие UDP-пакеты, а через NAT провайдера до роутера извне не достучаться. KeenDNS тут не выручит: в режиме «Через облако» он даёт доступ только к веб-интерфейсу, а режиму «Прямой доступ» самому нужен белый адрес.

Если нужен именно сервер, вариантов три:

• подключить у провайдера белый IP — обычно это платная, но недорогая услуга;
• развернуть схему: сервер на внешнем VPS, а Keenetic и ваши устройства подключаются к нему клиентами, как в этой статье;
• если цель — не доступ к домашней сети, а шифрование трафика, сервер не нужен вовсе: хватит готового конфига и шагов выше.

Проверить, серый ли у вас адрес, просто: сравните адрес WAN-интерфейса на странице «Системный монитор» с тем, что показывает любой сервис определения IP. Если они не совпадают или адрес WAN начинается с 10., 100.64–100.127, 172.16–172.31 или 192.168., адрес серый.

AmneziaWG на Keenetic

Keenetic умеет работать и с AmneziaWG — вариантом WireGuard с изменённой сигнатурой пакетов (подробно — в статье что такое AmneziaWG). Параметры Jc, Jmin, Jmax, S1, S2 и H1–H4 поддерживаются начиная с KeeneticOS 4.2. Отдельных полей для них в веб-интерфейсе нет: в актуальных версиях прошивки они подхватываются из файла при «Загрузить из файла», а в ранних 4.x задаются в командной строке роутера (веб-версия открывается по адресу my.keenetic.net/a):

interface Wireguard0 wireguard asc Jc Jmin Jmax S1 S2 H1 H2 H3 H4

Вместо имён параметров подставьте числа из секции [Interface] конфига, имя интерфейса уточните командой show interface, а затем сохраните настройки командой system configuration save. В KeeneticOS 5.1 добавились параметры новых версий AmneziaWG — если конфиг содержит строки сверх перечисленных, обновите прошивку.

Типичные ошибки на Keenetic

Ниже то, с чем чаще всего приходят в поддержку владельцы Keenetic, и что проверять в каждом случае.

Если ни один пункт не подошёл, соберите факты: модель роутера, версию KeeneticOS, статус пира и время последнего рукопожатия. С таким набором разбор занимает пару сообщений. Общий алгоритм диагностики — в статье что делать, если WireGuard не подключается; поддержка Muhomor VPN отвечает в Telegram-боте @muhomorvpn_bot и на почте vpn@muhomorvpn.ru.

Ещё одна частая ситуация — роутер настроен верно, но пользователь тестирует не то. Проверяйте внешний адрес с устройства, которое действительно попадает под политику с WireGuard, и обязательно по Wi-Fi от этого роутера, а не с мобильного интернета на телефоне. Половина обращений закрывается именно этим.

Чек-лист настройки

Короткая последовательность, по которой настройка проходит с первого раза:

1. Обновите KeeneticOS до версии 3.3 или новее.
2. Установите компонент «WireGuard VPN» в наборе компонентов.
3. Выпустите для роутера отдельный конфиг — в Muhomor VPN это делается в разделе «Устройства», всего на доступе может быть до пяти профилей.
4. Импортируйте файл в «Интернет» → «Другие подключения» и включите подключение.
5. Назначьте политику в «Приоритетах подключений»: всей сети, отдельному сегменту или конкретным устройствам.
6. Проверьте индикатор пира, внешний IP и DNS.
7. Если страницы открываются частично — уменьшите MTU.

Дальше роутер работает сам: после перезагрузки туннель поднимается автоматически, а новые устройства в домашней сети получают защищённый маршрут без всякой настройки. Пробный доступ на 3 дня оформляется за минуту, дальше тарифы начинаются с 320 ₽ за 30 дней — разовая оплата, без подписок и автопродлений.