Чтобы компьютер, телефон и телевизор передавали интернет-трафик через сервер VPN, включите на совместимом роутере VPN-клиент, загрузите профиль своего сервиса и назначьте ему нужные устройства. На TP-Link устройства выбирают в Device List, на Keenetic для них задают политику подключения.
После этого компьютер по кабелю и телефон по Wi-Fi остаются подключены к домашнему роутеру. Меняется дальнейший путь их интернет-трафика: роутер отправляет его через сервер VPN-сервиса. Устанавливать приложение VPN на каждое устройство для такой схемы не требуется.
Как понять, подходит ли ваш роутер
Для этой настройки роутер должен поддерживать именно VPN-клиент нужного протокола. Протокол определяет, как роутер и сервер устанавливают VPN-соединение и передают данные. Например, профиль OpenVPN предназначен для клиента OpenVPN, а профиль WireGuard для клиента WireGuard.
Одного пункта VPN Server или VPN Passthrough в характеристиках недостаточно. Нужна функция, которая сама подключает роутер к стороннему сервису и направляет через него интернет-трафик выбранного телефона, компьютера или телевизора.
У TP-Link VPN Client есть не во всех моделях, а WireGuard поддерживается только частью устройств. Найдите на наклейке точное обозначение модели и аппаратную версию. По этим данным выберите документацию для региона вашего устройства и установленной прошивки. Аппаратная версия различает варианты одной модели, поэтому одного названия серии для выбора инструкции недостаточно.
На Keenetic также нужна поддержка выбранного протокола вашей моделью и версией KeeneticOS. Ниже описана настройка обычного WireGuard. У AmneziaWG 3.1 другие требования к модели и версии KeeneticOS; они приведены отдельно.
Что подготовить до изменения настроек
Получите у своего VPN-сервиса готовый профиль для протокола, который поддерживает роутер. Профиль содержит параметры подключения к серверу. Логин, пароль и ключи используйте из своего сервиса, а не из чужого примера настройки.
Для OpenVPN в описанном интерфейсе TP-Link нужен один объединенный файл .ovpn размером менее 20 KB. Если сервис выдает несколько отдельных файлов, подготовьте объединенный профиль перед загрузкой. Ограничение размера относится к этому варианту настройки TP-Link.
До изменений сохраните резервную копию настроек роутера. На Keenetic скачайте из системных настроек файлы firmware и startup-config: это копия системы и ее настроек для восстановления при проблемах. В новых версиях KeeneticOS файлы находятся во вкладке «Файлы».
Храните профиль, пароли и закрытые ключи у себя и не публикуйте их.
Как включить VPN Client на TP-Link
Включите VPN Client, добавьте профиль сервиса и внесите домашние устройства в Device List. Профиль соединяет роутер с сервером, а список определяет, какие телефоны и компьютеры будут пользоваться VPN.
Если ваша модель и прошивка TP-Link поддерживают VPN Client, настройте его в веб-панели:
- Подключите компьютер сетевым кабелем Ethernet к порту LAN своего TP-Link и войдите в веб-панель управления. Откройте Advanced → VPN Client, включите переключатель клиента и сохраните настройку.
- В Server List нажмите Add, задайте понятное название подключения и выберите нужный протокол. Для OpenVPN загрузите подготовленный файл .ovpn; логин и пароль заполните, если их требует сервис.
- Сохраните профиль и включите его в Server List.
- Откройте Device List, нажмите Add и добавьте устройства, интернет-трафик которых должен идти через VPN. Сохраните изменения.
Для VPN во всем доме внесите в список каждый нужный компьютер, телефон и телевизор. Устройства вне Device List продолжат пользоваться обычным подключением провайдера. После подключения нового домашнего устройства проверьте, добавлено ли оно в список.
Как настроить WireGuard на Keenetic
На совместимом Keenetic сначала установите компонент WireGuard VPN, затем импортируйте профиль и назначьте подключение домашним устройствам. Рассмотрим путь из справки для Keenetic Hero KN-1011: названия пунктов на вашей версии KeeneticOS могут отличаться.
- В системных настройках General System Settings откройте выбор компонентов Component options. Установите WireGuard VPN.
- Перейдите в Other connections, откройте WireGuard и выберите Import from a file. Загрузите готовую конфигурацию обычного WireGuard от своего VPN-сервиса.
- В параметрах подключения включите Use for accessing the Internet, то есть использование для выхода в интернет.
В веб-панели Keenetic откройте запись peer в параметрах созданного WireGuard-соединения. Эта запись описывает сервер вашего VPN-сервиса, к которому подключается роутер. Поле Allowed IPs в этой записи определяет, к каким адресам можно отправлять данные через VPN. Проверяйте его на домашнем роутере.
Чтобы через соединение можно было обращаться к любому адресу IPv4, в Allowed IPs указывают 0.0.0.0/0. IPv4 обозначает одну из версий интернет-адресации.
Укажите DNS-сервер: он переводит названия сайтов в интернет-адреса. Его параметры берите из профиля или инструкции своего сервиса. Сохраните настройки и включите соединение.
Затем откройте Connection Policies. Политика подключения определяет, через какое соединение роутер отправляет интернет-трафик назначенных ей устройств. Чтобы использовать VPN как основное подключение дома, поднимите его выше обычного подключения провайдера в политике по умолчанию.
Если VPN нужен отдельным устройствам, создайте политику с этим VPN-соединением. Затем зарегистрируйте нужные компьютер, телефон и телевизор в списке клиентов Keenetic (Client Lists). Регистрация нужна, чтобы назначать политику каждому устройству отдельно. На вкладке Policy Bindings привяжите эти устройства к созданной политике.
Вместо отдельных устройств можно привязать к политике сегмент, то есть определенную группу устройств, например основную или гостевую сеть. Перед привязкой посмотрите, входят ли нужные компьютер, телефон и телевизор в выбранный сегмент. Если они находятся в нескольких сегментах, назначьте политику каждому из этих сегментов либо привяжите устройства по отдельности.
Проверьте, какая политика назначается новым устройствам: они могут попасть в политику по умолчанию.
Сервер вашего VPN-сервиса должен предоставлять выход в интернет. Настройки собственного VPN-сервера из других примеров не переносите на этот домашний роутер: здесь он подключается к готовому серверу сервиса.
Как проверить путь трафика и скорость
На каждом устройстве, которому назначили VPN, проверьте внешний IP-адрес, откройте нужный сайт и запустите видео. Успешный статус в панели означает, что роутер подключен к серверу. Например, компьютер продолжит пользоваться обычным подключением, если его не добавили в Device List TP-Link или назначили ему на Keenetic политику без VPN.
Для такой проверки откройте на компьютере сервис проверки внешнего IP-адреса и запишите адрес при обычном подключении провайдера без VPN. Затем назначьте компьютеру VPN и снова откройте ту же проверку. Она должна показать внешний IP-адрес, с которым сервер вашего VPN-сервиса выходит в интернет. Именно этот адрес теперь видит сайт проверки.
После этого запустите нужное видео и посмотрите, воспроизводится ли оно без остановок на загрузку.
Повторите проверку на телефоне, подключенном к домашнему Wi-Fi, временно отключив мобильный интернет. Если на телефоне или компьютере работает отдельное приложение VPN, отключите его на время проверки, чтобы видеть результат настройки роутера. На телевизоре проверьте нужное видео и, если доступен браузер, внешний адрес.
Если соединение в панели установлено, а на компьютере остается адрес провайдера, сначала проверьте Device List на TP-Link или назначенную компьютеру политику на Keenetic. Если не устанавливается само VPN-соединение, сверяйте протокол, профиль и ключи со своим сервисом.
Для сравнения скорости подключите один компьютер сетевым кабелем Ethernet к порту LAN роутера. Скорость передачи данных показывает, сколько данных проходит за секунду; результат теста обычно указан в Мбит/с.
Сначала временно назначьте компьютеру обычное подключение провайдера. На TP-Link уберите его из Device List; на Keenetic создайте политику только с обычным подключением провайдера и назначьте ее компьютеру.
Выполните тест скорости к выбранному серверу измерения и запустите уже выбранное видео. Затем снова назначьте компьютеру VPN и повторите тот же тест и просмотр того же видео, сохраняя остальные условия.
Сравните результаты теста на том же компьютере через одного провайдера без VPN и с VPN. Отметьте также, появились ли остановки видео на загрузку только после включения VPN.
Скорость VPN зависит от модели роутера, способа шифрования, числа соединений, интернет-канала и нагрузки сервера. Поэтому разница двух тестов сама по себе не доказывает, что слаб именно процессор роутера. Если тест и видео ухудшаются только с VPN, выберите другой доступный сервер своего сервиса или поддерживаемый профиль и повторите оба действия до покупки нового устройства.
Что происходит при отключении VPN
Проверьте, сохраняется ли доступ к интернету при отключении VPN-соединения. На Keenetic политика с несколькими соединениями может переключиться на следующее доступное, включая обычное подключение провайдера. Высокий приоритет VPN сам по себе не запрещает такой обход.
Если вам нужен доступ только через VPN, создайте отдельную политику только с этим соединением и привяжите к ней нужные устройства. Затем отключите туннель в панели и попробуйте открыть новый сайт на назначенном компьютере. Критерий для такого режима: без VPN сайт не загружается. После проверки снова включите VPN.
Отдельно проверьте устройство, которое вы сознательно оставили вне VPN, если оно есть: у него должен сохраниться обычный доступ провайдера. Так вы проверите обе стороны настройки, а не только выбранный компьютер.
Почему смены IPv4 недостаточно
Смена внешнего адреса IPv4 не подтверждает, что через VPN проходит весь интернет-трафик устройства. Устройство может обращаться к сайтам по IPv4 и IPv6, двум версиям интернет-адресации. Правило 0.0.0.0/0 охватывает только IPv4. Роутер должен поддерживать передачу IPv6 через VPN. Профиль вашего VPN-сервиса тоже должен поддерживать IPv6 и быть настроен для его передачи через VPN.
На Keenetic откройте настройки DNS-сервера, который добавили вручную, и посмотрите поле Connection, то есть привязку к соединению. Значение Any означает, что DNS-сервер не привязан к одному соединению и используется во всех политиках, включая политику VPN. Поэтому проверьте не только состав VPN-политики, но и эту настройку DNS.
С того же компьютера и телефона откройте сервис проверки DNS и IPv6. Сопоставьте показанные DNS-серверы с настройками своего сервиса.
Если проверка показывает IPv6-адрес провайдера при IPv4-адресе VPN-сервиса, соединение по IPv6 обходит настроенный IPv4-туннель. Поэтому одна смена IPv4 не доказывает отсутствие обхода VPN или полную анонимность.
Когда нужны AmneziaWG, VLESS или другой роутер
Если ваш сервис использует AmneziaWG или VLESS, нужен совместимый клиент именно выбранного протокола и версии. Конфигурацию VLESS нельзя загружать вместо .ovpn или профиля обычного WireGuard.
По инструкции Amnezia, KeeneticOS умеет работать с AmneziaWG 3.1 своими средствами начиная с версии 5.2 Alpha 11 из канала разработчика. Эта возможность относится к перечисленным в инструкции моделям. Например, в списке есть Giga/Hero KN-1011 и NC-1012.
Сборка из этого канала может быть менее стабильной, поэтому перед переходом нужна резервная копия. Условие 5.2 Alpha 11 относится здесь к AmneziaWG 3.1, а не ко всем способам настройки WireGuard.
Документация программы sing-box описывает настройки VLESS: для подключения нужны адрес сервера, номер порта и идентификатор пользователя UUID. Описание этих параметров относится к программе sing-box и не подтверждает наличие клиента VLESS на вашем роутере. Используйте VLESS, только если подтверждено, что ваша модель домашнего роутера с установленной прошивкой поддерживает клиент VLESS, совместимый с профилем вашего VPN-сервиса.
Сначала проверьте, предусмотрен ли нужный VPN-клиент для вашей модели и аппаратной версии, в том числе в прошивках для этого устройства. Если документация подтверждает, что такой поддержки нет, выбирайте замену.
Для этого используйте маркетплейс Ozon: найдите маршрутизатор с vpn и выпишите точное обозначение выбранной модели. Сопоставьте ее аппаратную версию и регион с официальной инструкцией по нужному протоколу.
В вопросах о товаре на Ozon можно уточнить аппаратную версию предлагаемого устройства, если ее нет в описании. Например, спросите, какая ревизия указана на маркировке выбранной модели. Ответ о маркировке сопоставьте с официальной документацией: так вы выясните, поддерживает ли предлагаемая аппаратная версия нужный VPN-клиент.
Сохраните рабочий профиль и резервную копию настроек после того, как компьютер и телефон показали нужный внешний адрес, то же видео воспроизводится приемлемо, а поведение при отключении VPN соответствует выбранному режиму. После смены сервиса или протокола повторите эти проверки.