AmneziaWG на OpenWrt: настройка роутера без путаницы с обычным WireGuard

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

У файлов WireGuard и AmneziaWG одинаковое расширение .conf. Это примерно как одинаковые папки у бухгалтера и программиста: внешне всё похоже, но если поменять содержимое местами, пятница закончится нескоро. Роутер должен понимать не только ключи и адрес сервера, но и конкретный вариант протокола.

Разберём подключение домашней сети к собственному AmneziaWG-серверу через OpenWrt. Самая важная часть здесь происходит до нажатия Connect: нужно согласовать прошивку, модуль роутера и конфигурацию сервера. После этого маршруты и firewall превращаются из загадки в обычную сетевую работу.

Три названия, три разные вещи

AmneziaVPN — приложение, через которое можно развернуть VPN на своём VPS и управлять подключениями. AmneziaWG — один из протоколов, который оно поддерживает. WireGuard — другой протокол: обычный клиент WireGuard не обязан понимать дополнительные параметры AmneziaWG.

В актуальном AmneziaWG 3.1 изменяются не только признаки первых пакетов, но и ряд характеристик поведения соединения. Поддержка версии и параметров нужна на обеих сторонах. Это инструмент против распознавания трафика, а не обещание вечной доступности любого сервиса. Устройство AmneziaWG у разработчика.

Практическое следствие: если импортёр ругается на HeaderProtectionKey или другую строку, нельзя просто удалить её, чтобы форма позеленела. Вы могли убрать часть того протокола, на котором сервер ожидает разговор.

До настройки: составляем паспорт совместимости

Инструкция начинается с уже установленной OpenWrt и работающего обычного интернета. Марка Xiaomi, Redmi, ASUS или TP-Link сама по себе ничего не гарантирует. Проверять нужно точную модель, ревизию, поддерживаемую прошивку и доступный пакет под её ядро.

Сохраните архив настроек в System → Backup / Flash Firmware, подключитесь из LAN и запишите сведения:

ubus call system board
uname -r
df -h /overlay

Версия OpenWrt, target/subtarget, архитектура пакетов и ABI ядра должны соответствовать сборке модуля. Для OpenWrt 25.12 архитектуры пакетов можно посмотреть через apk --print-arch, для 24.10 — через opkg print-architecture. Роутер с тем же процессором, но другим ядром, не становится совместимым автоматически.

На 22 октября 2026 года актуальный стабильный OpenWrt — 25.12.6. При этом инструкция Amnezia перечисляет готовые пакеты AmneziaWG 3.1 для 24.10.8 и 25.12.5. Это не противоречие: прошивка и сторонние модули выходят по разным расписаниям. Проверяйте свежий каталог, а не считайте соседний номер подходящим. Релизы OpenWrt и совместимость в инструкции Amnezia.

Если пакета для вашей системы нет, остановитесь. Не откатывайте защищённый рабочий роутер на старый выпуск только ради VPN и не обходите зависимости через --force-depends. Возможные следующие шаги — дождаться сборки, использовать другое совместимое устройство или подготовить пакет самостоятельно в отдельной задаче.

Получаем сервер и правильный файл для роутера

Для собственного VPN арендуйте чистый VPS MAATRIX в США, Великобритании или Франции. Затем установите и настройте сервер через приложение AmneziaVPN по инструкции для VPS. Автоустановка обычного WireGuard и его профиль не заменяют этот шаг.

На новом сервере выбирайте актуальный AmneziaWG. Если переносите существующий сервер с версии 2.0 на 3.1, сначала прочитайте процедуру миграции: удаление старого протокола затрагивает его пользователей, после переустановки потребуются новые конфигурации. Не делайте такую замену незаметно для остальных членов семьи или сотрудников. Переход на AmneziaWG 3.1.

В AmneziaVPN создайте отдельного гостевого пользователя для роутера, выберите AmneziaWG и нативный формат AmneziaWG. Нужен файл .conf, а не ссылка vpn://… и не ключ полного доступа к серверу. Устройства за роутером будут пользоваться одним туннелем; независимому клиенту на телефоне нужен другой профиль. Экспорт подключения.

Сначала проверьте этот сервер совместимым клиентом на компьютере, затем отключите тестовое подключение. Так вы отделите серверную проблему от роутерной. Файл содержит секреты; храните его как пароль, а не как фотографию инструкции.

Устанавливаем компоненты, не меняя роутеру характер

Для OpenWrt нужны kmod-amneziawg, amneziawg-tools и luci-proto-amneziawg. Это не стандартные пакеты обычного WireGuard. Проект Amnezia ссылается на сборки сообщества Slava-Shchipunov/awg-openwrt; принадлежность репозитория и совместимость выпуска следует понимать до установки.

Проверьте свою систему в каталоге пакетов. Пакеты .ipk относятся к системам с opkg, .apk — к системам с apk; простое переименование файла ничего не преобразует.

После проверки совместимости можно воспользоваться установщиком, рекомендованным документацией. Скачайте его отдельным файлом, ознакомьтесь с текущим описанием и кодом в репозитории, затем запустите режим установки пакетов:

wget -O /tmp/amneziawg-install.sh \
  https://raw.githubusercontent.com/Slava-Shchipunov/awg-openwrt/refs/heads/master/amneziawg-install.sh
sh /tmp/amneziawg-install.sh -en

Режим -en не создаёт за вас интерфейс. Если установка сообщает об отсутствии сборки или несовпадении ядра, дальше не продолжаем. Устанавливать «ближайший» модуль — плохая форма сетевого оптимизма. Режимы установщика и список сборок.

Установщик пропускает уже установленные компоненты: сообщение already installed не означает обновление старого AmneziaWG до 3.1. Если роутер раньше использовал AWG, сверьте версии всех трёх пакетов с выбранным выпуском проекта; обновление существующей установки планируйте отдельно. В ветке с apk скрипт устанавливает сторонние файлы с --allow-untrusted, поэтому проверка происхождения сборки здесь действительно важна. Это поведение видно в коде установщика.

Обновите LuCI; при необходимости перезагрузите роутер. В Network → Interfaces → Add new interface должен появиться протокол AmneziaWG VPN. Создайте интерфейс awg_maatrix, загрузите весь нативный конфиг через Load configuration и проверьте, что импорт не потерял дополнительные параметры. Пока сохраняйте правки без общего Save & Apply: применим их после подготовки WAN-маршрута, firewall и DNS.

Собираем маршрут, по которому поедут домашние устройства

В этой статье настраивается полный IPv4-туннель. Адрес интерфейса, ключи, порт и параметры обфускации сохраняются из выданного файла. В peer нужны IPv4 Allowed IPs 0.0.0.0/0 и включённый Route Allowed IPs. В дополнительных настройках задайте метрику VPN 20, для WAN — 100. Используйте один способ создания default route: после применения проверьте таблицу, не добавляя поверх импортированных маршрутов дубликаты.

Публичный IPv4 VPS должен оставаться доступен через провайдера. До включения VPN выполните:

ip -4 route get 203.0.113.10

Подставьте адрес своего VPS. В Network → Routing закрепите для него маршрут /32 через настоящий WAN-интерфейс и его шлюз, показанный проверкой. Для PPPoE используется соответствующий интерфейс без выдуманного Ethernet-шлюза. После запуска VPN повторите команду: путь к серверу должен остаться внешним, через WAN. При смене WAN-шлюза по DHCP или адреса VPS обновите вручную закреплённый маршрут.

В Network → Firewall создайте зону awg, назначьте ей сеть awg_maatrix, включите Masquerading и MSS clamping. Input и Forward оставьте Reject, Output — Accept. Разрешите lan → awg. Это выпускает устройства в туннель с NAT, не открывая домашнюю сеть для произвольных входящих подключений. Смысл настроек виден в исходной конфигурации firewall4 OpenWrt.

Проверяем не только туннель, но и то, что идёт рядом

В Network → DHCP and DNS задайте в DNS forwardings рабочий IPv4-резолвер из профиля и включите Ignore resolve file. Домашние клиенты должны получать DNS роутера через DHCP. Числовой IP сервера в Endpoint избавляет старт подключения от зависимости от DNS.

В System → System → Time Synchronization включите NTP-клиент. Для запуска без DNS можно указать 162.159.200.1 — официальный NTP-адрес Cloudflare. В Routing добавьте к нему отдельный маршрут /32 через WAN, как ранее для VPS. Тогда часы смогут синхронизироваться до появления туннеля. Проверьте доступность выбранного сервера времени из своей сети; при необходимости используйте разрешённый вам другой NTP-сервер.

Если профиль не поддерживает IPv6, не оставляйте его обходным выходом: отключите для охватываемой LAN раздачу IPv6-префикса, RA и DHCPv6, а также ненужный WAN6. Переподключите клиентов. Для полноценного dual-stack необходима отдельная согласованная настройка IPv6 на сервере и роутере.

Примените подготовленные настройки, включите интерфейс и проверьте:

awg show
ip -4 route
ip -4 route get 1.1.1.1

Затем с ноутбука в LAN, без второго VPN, проверьте внешний IPv4, DNS и IPv6. Handshake подтверждает связь сторон, но не доказывает, что конкретный ноутбук использует нужную дорогу. Если небольшие запросы проходят, а загрузки зависают, проверьте MTU; значения и накладные расходы обычного WireGuard не следует бездумно переносить на все варианты AmneziaWG.

Аварийный режим выбираете вы

Разрешение lan → wan оставляет возможность прямого выхода при исчезновении VPN-маршрута. Для запрета обхода удалите его, сохранив lan → awg, и проверьте другие разрешающие правила. Остановите туннель: новые подключения из LAN должны перестать проходить наружу.

Роутерные DNS-запросы этот запрет не охватывает. Если нужен запрет обычного DNS/DoT через WAN, можно добавить выходное правило без source-зоны. При Endpoint на UDP-порту 53 или 853 сначала поставьте выше него узкое разрешение исходящего трафика роутера к IPv4 VPS и этому UDP-порту. Иначе DNS-блокировка заблокирует сам AmneziaWG: номер порта не гарантирует, что внутри пакета именно DNS.

uci set firewall.awg_dns_block=rule
uci set firewall.awg_dns_block.name='Block-router-DNS-on-WAN'
uci set firewall.awg_dns_block.dest='wan'
uci set firewall.awg_dns_block.proto='tcp udp'
uci set firewall.awg_dns_block.dest_port='53 853'
uci set firewall.awg_dns_block.target='REJECT'
uci commit firewall
service firewall restart

DoH на 443 и другие службы OpenWrt проверяются отдельно. После перезагрузки повторите тест: хорошая конфигурация должна работать без присутствия своего автора рядом с розеткой.

Для отката остановите awg_maatrix, восстановите lan → wan, удалите добавленное DNS-правило и верните сохранённые DNS/IPv6-настройки. Перед будущим обновлением OpenWrt снова проверьте наличие совместимого модуля. AmneziaWG может менять вид трафика, но обязанности администратора по резервным копиям пока не обфусцирует.