AmneziaWG на Keenetic и Netcraze: подключаем роутер к своему VPS

MAATRIX · Обновлено 22 октября 2026 · 9 мин чтения

Файл называется .conf, в панели есть WireGuard, роутер бодро мигает — на первый взгляд всё готово. Но соединение не появляется. Иногда причиной оказывается не пароль и даже не знаменитое «провайдер опять что-то сделал», а несовпадение версий протокола. Роутер и сервер говорят на похожих языках, но один из них уже выучил новый диалект.

У AmneziaWG это особенно важно: поддержка обычного WireGuard не означает совместимость с любой конфигурацией AmneziaWG. Поэтому начнём с версий, затем подготовим собственный сервер и подключим один домашний компьютер. Переводить всю сеть на новый маршрут будем только после проверки.

Материал сверён с документацией 22 октября 2026 года. Физические модели и прошивки различаются: перед обновлением сравните указанные требования с тем, что доступно именно вашему устройству.

AmneziaVPN и AmneziaWG занимают разные места в этой истории

AmneziaVPN — приложение, с помощью которого можно развернуть и обслуживать VPN на собственном сервере, а затем подключаться к нему. AmneziaWG — один из поддерживаемых протоколов: он основан на WireGuard и меняет внешние признаки трафика. Приложение помогает установить серверную часть, а роутер использует совместимый с ней клиент.

Само приложение AmneziaVPN на Keenetic устанавливать не требуется. В рассматриваемом варианте роутер получает файл подключения и использует возможности своей операционной системы. Отдельно существует платный сервис Amnezia Premium; аренда VPS MAATRIX не является подпиской на него.

Актуальная документация протокола уже описывает AmneziaWG 3.1, наряду с прежними версиями. Здесь нет обещания неуязвимости к любым ограничениям сети: доступность зависит и от провайдера, и от маршрута, и от конкретной реализации. Разницу с обычным WireGuard разбираем в отдельной статье.

Проверьте не только слово Giga на корпусе

Запишите аппаратный код с наклейки и установленную KeeneticOS. В семействе Giga встречаются, например, KN-1010, KN-1011, KN-1012, а Netcraze Giga имеет код NC-1012. У Hopper встречаются KN-3810, KN-3811 и NC-3811. Код полезнее внешнего сходства: близнецы на полке магазина могут получать разные обновления.

Для штатного AmneziaWG 3.1 руководство Amnezia указывает минимальную KeeneticOS 5.2 Alpha 11 и публикует список подходящих моделей. При этом 19 октября 2026 года производитель уже выпустил 5.2 Beta 1 в предварительном канале Preview: на странице Keenetic Hero KN-1011 прямо указана поддержка улучшений ASC CPS 3.1. Поэтому формулировка «обязательно включите канал разработчика» уже не универсальна: сначала посмотрите доступные каналы своей модели.

В основной ветке, например для Challenger KN-3910, на дату проверки указана KeeneticOS 5.1.8. Само наличие ветки 5.1 и полей ASC не доказывает поддержку 3.1. Прежний профиль 2.0 и новый профиль 3.1 нельзя считать взаимозаменяемыми.

Если это единственный шлюз работающего офиса, не обновляйте его на предварительную систему посреди рабочего дня. Для эксперимента разумнее отдельный совместимый роутер, запасное подключение и время, когда остановка сети допустима. Можно оставить действующую согласованную связку клиента и сервера, пока не подготовлен переход. Кнопка «Обновить» не должна выполнять обязанности плана миграции.

Подготовьте возможность вернуться назад

До изменения версии сохраните файлы системы и настроек — firmware и startup-config — из настроек KeeneticOS, в новых интерфейсах через вкладку Файлы. Запишите локальный адрес роутера, параметры доступа провайдера и версию системы. Проверьте, что знаете порядок восстановления именно своей модели; наличие резервного файла не отменяет ограничений совместимости при откате.

Для настройки подключите компьютер по кабелю. Оставьте основное интернет-подключение в действующей политике по умолчанию. Пока нам нужен VPN только на одном тестовом устройстве: остальные не обязаны участвовать в техническом эксперименте вместе с вами.

Обновляйте систему лишь штатным способом для точного аппаратного кода. Если нужная версия недоступна, остановитесь на проверке совместимости. Прошивка соседней модели не становится подходящей от того, что в её названии тоже есть Hopper.

Поднимите сервер и получите отдельный профиль роутера

Для нового сервера удобно взять чистый VPS MAATRIX в США, Великобритании или Франции. Выбирайте страну по задержке и вашим задачам. Мы будем самостоятельно устанавливать серверную часть через AmneziaVPN; наличие готового WireGuard на другом сервере не означает, что там уже работает AmneziaWG нужной версии.

Официальные требования Amnezia к VPS включают KVM, архитектуру x86-64, публичный IPv4, доступ по SSH и поддерживаемую Linux-систему. Для понятного старта подойдёт Ubuntu 24.04; минимальные ресурсы по документации — 1 ядро, 1 ГБ RAM и 10 ГБ диска. Это минимум для небольшого использования, а не обещание скорости при любой нагрузке. Рабочую базу данных или сайт лучше не превращать заодно в испытательный стенд VPN.

Установите актуальное приложение AmneziaVPN на компьютер или телефон с официального сайта. Добавьте Self-hosted VPN, введите адрес VPS, SSH-пользователя и способ авторизации. При необходимости укажите нестандартный SSH-порт. Данные администратора вводятся в приложение для установки; посетителям домашней Wi-Fi-сети они не нужны.

Выберите установку AmneziaWG, дождитесь завершения и проверьте, какую версию серверной части получил новый сервер. Автоматическая установка следует текущей версии приложения, поэтому заранее согласуйте её с прошивкой роутера. Базовый процесс описан разработчиками Amnezia, а подробный сценарий — в нашем руководстве по VPS.

Откройте Поделиться в нижней панели приложения и создайте отдельный гостевой VPN-доступ для роутера. Укажите имя, по которому узнаете его позже, выберите свой сервер, протокол AmneziaWG и Оригинальный формат AmneziaWG. Нажмите Поделиться и сохраните .conf: такой порядок описан в инструкции по выдаче подключений. Ключ вида vpn://… для приложения и файл настройки роутера — разные форматы. Ключ полного управления сервером роутеру не нужен.

Не используйте этот же профиль одновременно в VPN-приложении телефона. Для отдельного клиента выдайте отдельный пир. Содержимое .conf, приватный ключ и административные реквизиты VPS не публикуйте: по скриншоту с секретами сеть настраивается удивительно легко — в том числе чужими руками.

Импортируем подключение в KeeneticOS

Откройте панель роутера из локальной сети. В разделе Управление → Настройки системы найдите Изменить набор компонентов и установите WireGuard VPN, если его ещё нет. Несмотря на название компонента, дополнительные возможности зависят от версии KeeneticOS.

Затем перейдите в Интернет → Другие подключения. Нажмите Загрузить из файла и выберите выданный роутеру .conf. Откройте созданное подключение, задайте понятное имя, например MAATRIX-UK-AWG, включите Использовать для выхода в интернет, сохраните и включите соединение переключателем.

Не редактируйте маскирующие параметры наугад, если импорт завершился ошибкой. Согласно FAQ Amnezia, профиль 3.1 нельзя превратить в рабочий профиль 2.0 простым преобразованием. Удаление «лишних» строк тоже не заставит сервер ждать другой протокол. Сначала сверяйте версии и получайте совместимый профиль.

После импорта сравните с исходным файлом адрес сервера, порт, DNS и разрешённые сети. Для выхода всего IPv4-трафика тестового устройства через туннель профиль должен предусматривать 0.0.0.0/0. Это область маршрутов, а не список домашних устройств: выбирать сам компьютер будем следующим действием.

Выделим компьютеру собственный маршрут

В Интернет → Приоритеты подключений создайте политику с понятным именем, например «Рабочий компьютер через VPN». Включите в неё созданный туннель. Затем на вкладке применения или привязки политик назначьте её тестовому компьютеру. Если его нет в списке, предварительно зарегистрируйте устройство среди клиентов роутера.

В первой проверке не добавляйте обычное подключение провайдера как запасное в эту политику. Так проще заметить, что туннель не работает: компьютер не сможет незаметно пользоваться прямым маршрутом. Остальная сеть остаётся в прежней политике.

В документации Keenetic о политиках описана также привязка DNS к подключениям. Проверьте, что назначенный DNS доступен по выбранному маршруту. Пользовательский DNS с привязкой «Любое подключение» может использоваться несколькими политиками, а собственный защищённый DNS браузера — менять ожидаемое поведение. Для первого теста оставьте понятную схему: компьютер получает DNS от роутера, роутер использует проверенный сервер разрешения имён.

Четыре признака, что настройка закончена

Первый — появляется свежий обмен с удалённым пиром и растут счётчики переданных данных. Но одного рукопожатия мало: оно подтверждает контакт между концами туннеля, а не всю цепочку доступа в интернет.

Второй — внешний IPv4 тестового компьютера соответствует адресу выхода VPS. Проверяйте без отдельного VPN или прокси на компьютере. На телефоне выключите мобильные данные, чтобы сотовая сеть не помогала роутеру сдавать экзамен.

Третий — работают DNS и обычные сайты. Для быстрой проверки разрешения имён выполните nslookup example.com. Если адреса разрешаются, а большие страницы зависают, исследуйте маршрут и MTU отдельно; не меняйте десяток параметров одновременно.

Четвёртый — понятна судьба IPv6. Успешный IPv4-тест не исключает прямого IPv6-выхода. Проверьте его отдельно. Если ваша схема не переносит IPv6 через туннель, для строгого режима понадобится соответствующее ограничение IPv6 в тестовом сегменте либо полноценная поддержка этого протокола всей схемой. Не объявляйте утечки устранёнными только потому, что в .conf нет двоеточий.

После сетевых проверок откройте нужный ИИ-сервис и выполните реальную задачу. Зарубежный адрес не заменяет учётную запись, подписку и правила доступности сервиса. Если браузер загружает сайт, а вход отклонён, это уже не обязательно неисправность роутера.

Выключите туннель один раз намеренно

Находясь в домашней сети, временно отключите VPN-подключение и откройте новый сайт на тестовом компьютере. Для политики только с VPN ожидается прекращение новых интернет-соединений. Если сайт продолжает открываться, проверьте резервные маршруты, привязку устройства, IPv6 и другие подключения.

Снова включите туннель и убедитесь, что связь восстановилась. Затем, в подходящее время, проверьте перезапуск роутера. Только после этого добавляйте остальные компьютеры или отдельный сегмент Wi-Fi. Имеет смысл записать, какие устройства идут через VPS, а какие остаются у провайдера: через месяц эта небольшая заметка окажется полезнее героических воспоминаний о настройке.

Если нужно вернуться к обычному интернету, локально откройте панель, назначьте тестовому компьютеру прежнюю политику, восстановите изменённые DNS и IPv6, отключите VPN. Проверьте доступ заново. Сброс к заводским настройкам для отключения одного туннеля обычно не требуется; возврат прошивки, если он понадобится, выполняется отдельно по подготовленному плану восстановления.