VPN на роутере: какие роутеры умеют VLESS — Keenetic, OpenWrt, GL.iNet, почему штатный VPN TP-Link и ASUS в России не спасает, скорость, DNS, резервный профиль.
VPN на роутере ставится не на любую модель: подписке нужен роутер, который умеет запускать Xray или sing-box, — Keenetic с USB-портом, что угодно на OpenWrt или GL.iNet. Штатный «VPN-клиент» у TP-Link, ASUS и Xiaomi — это WireGuard, OpenVPN и старые L2TP с PPTP, а их в России режут, так что наклейка «с поддержкой VPN» вопрос не решает. Зато настроенный роутер закрывает весь дом разом: телевизор, приставку, консоль и колонку — всё, куда клиент не поставишь. Платить придётся скоростью и гибкостью, поэтому ниже — какие роутеры подходят, как пустить через туннель только телевизор, что со скоростью и DNS и как не остаться без интернета при ошибке.
Роутер стоит настраивать, если:
Не стоит, если туннель нужен только на телефоне — клиент ставится за минуту; если роутер слабый — он станет узким местом для всего дома; если вы не готовы к тому, что ошибка в настройке оставит без интернета всех сразу. И отдельный случай: когда единственная причина — телевизор, приставка на Android обычно дешевле и проще, а страну на ней переключают с пульта. Варианты для Samsung и LG — в статье VPN на телевизоре LG и Samsung.
Подписка нашего сервиса — это VLESS, и роутеру нужно ядро, которое его понимает: Xray, sing-box или Mihomo. Коробка от провайдера этого не умеет и не научится. Работают:
Честно про остальных. TP-Link в штатной прошивке умеет клиент OpenVPN, PPTP, L2TP и WireGuard — последний на части моделей Archer с прошивок конца 2022 года. ASUS в VPN Fusion — OpenVPN, WireGuard, IPsec и PPTP. Xiaomi штатно — в лучшем случае PPTP и L2TP. VLESS нет ни у кого из них, а OpenVPN и WireGuard в мобильных сетях, по сообщениям пользователей, с 2023 года по большей части не проходят, у домашних провайдеров их ловят волнами. Для этих роутеров путь один: OpenWrt, если модель поддерживается, или второй роутер рядом.
Если основной роутер провайдерский, менять его нельзя или страшно, ставят второй: недорогой Keenetic с USB или GL.iNet подключают кабелем к основному, поднимают на нём туннель и раздают отдельную сеть Wi-Fi. Телевизор и приставка цепляются к ней, остальной дом сидит на прежней сети и ничего не замечает.
Плюсы: ошибка настройки никого без интернета не оставит, основной роутер не трогаете, а выключить туннель для устройства можно, просто переключив его на другой Wi-Fi. Минус — ещё один прибор и лишняя сеть в списке.
Гнать весь дом через туннель необязательно и обычно вредно: рабочий ноутбук и видеозвонки хотят полную скорость и свой адрес. Keenetic, OpenWrt и GL.iNet умеют заворачивать в туннель только выбранные устройства — по их адресам в домашней сети.
Начинайте с одного телевизора. Если на нём всё работает, добавляйте следующее устройство.
Шифрование считает процессор роутера, а он слабее любого телефона. Порядки, по сообщениям пользователей, такие: бюджетные mips и mipsel — десятки мегабит, средние домашние модели — 50–200 Мбит/с, свежие ARM вроде aarch64-Keenetic и Beryl AX — сотни. Всё это при гигабитном канале провайдера: туннель упирается не в канал, а в процессор.
Для видео в 4K хватает 20–30 Мбит/с, так что телевизору достаточно и бюджетной модели. А вот весь дом на слабом роутере — плохая идея: смотрят двое одновременно, и роутер задыхается. Ещё один аргумент за выборочную маршрутизацию.
Когда туннель на роутере, вопросы «где находится сайт» от всех устройств собирает он сам. Оставите провайдерский DNS из DHCP — трафик пойдёт за границу, а список посещённых сайтов — провайдеру, и часть сайтов откроется криво. XKeen прямо требует включить на Keenetic шифрованный DNS, DoT или DoH; на OpenWrt запросы имён направляют внутрь туннеля или на шифрованный справочник. У нашего сервиса имена резолвятся на стороне сервиса, так что внутри туннеля всё сходится само. Отдельно проверьте IPv6: если провайдер его выдаёт, а туннель работает только с IPv4, запросы уходят мимо. Как проверить за минуту и починить — в статье утечка DNS.
Главный риск: ошиблись — интернет пропал у всех, а чинить надо через тот же роутер.
В Happ список серверов обновляется сам каждые 12 часов. Роутер так не умеет: голый Xray понимает не ссылку подписки, а один конкретный сервер. Его ссылку копируют из клиента — берите раздел «Обычный VPN» с нужной страной, а не заголовок-автовыбор — и раскладывают в конфиг. Сменился сервер — роутер молчит, пока не скопируете новую ссылку. Симптом узнаваемый: на телефоне работает, на роутере уже нет.
Ссылку подписки целиком понимают Mihomo — второе ядро XKeen — и passwall с homeproxy на OpenWrt: там она вписывается в настройки, а интервал обновления выставляется вручную, 12–24 часов достаточно. И не ставьте на роутер Premium LTE: он тратит пакет гигабайт, а дома по проводу проходит обычный раздел. Premium LTE на роутере имеет смысл, только когда сам роутер сидит на мобильном интернете с белым списком.
Смотрите не на надпись «VPN» на коробке — она почти всегда означает WireGuard и OpenVPN, — а на возможность запустить Xray или sing-box. На практике это Keenetic с USB-портом, GL.iNet или модель из списка поддерживаемых OpenWrt.
Штатно — только OpenVPN, WireGuard, PPTP и L2TP, а подписку VLESS прошивка TP-Link не понимает. Варианты: OpenWrt, если ваша модель есть в его списке, или второй роутер рядом с TP-Link. Перепрошивка стирает настройки и лишает гарантии — учитывайте.
Один сервер из раздела «Обычный VPN» — он без лимита и самый быстрый. Если смотрите российские сервисы из-за границы, берите российский выход: сайты увидят российский адрес.
Если телевизор — единственная причина, приставка на Android дешевле: клиент ставится из магазина, страну переключают с пульта. Роутер выигрывает, когда устройств без клиента несколько или к телевизору нельзя добавить ещё один пульт.
Сервис, которым пользуемся сами: приложение на телефон, компьютер и телевизор, серверы в России и Европе, пробный период 3 дня — карта не нужна.
Попробовать в TelegramПодтвердите, что вы не робот
Сервис для стабильного интернета на всех устройствах