Keenetic: настройка OpenVPN-клиента

MAATRIX

Если ваш VPN-сервер работает на OpenVPN, а не на WireGuard, поднять его на уровне роутера — тоже возможно, и без единого стороннего приложения на самих устройствах. KeeneticOS умеет импортировать готовый .ovpn-файл прямо через веб-интерфейс, поднимать туннель и по политикам решать, кто из домашних устройств пойдёт через VPN, а кто — напрямую. Ниже — весь путь: от установки компонента до тонкостей, которые обычно всплывают именно с OpenVPN (а не с WireGuard).

Что нужно для подключения

Перед тем как открывать веб-интерфейс роутера, соберите три вещи:

• Keenetic с актуальной KeeneticOS. Компонент OpenVPN-клиента доступен на большинстве современных моделей (Giga, Viator, Peak, Hero и аналогичных), кроме самых бюджетных с ограниченной флеш-памятью — там компонент может не влезть в набор, это стоит проверить в списке компонентов заранее.
• Файл .ovpn с вашего сервера. Это текстовый конфиг клиента, который обычно уже содержит сертификаты и ключи прямо внутри себя (между тегами <ca>, <cert>, <key>, <tls-auth> или <tls-crypt>), поэтому отдельно таскать .crt/.key-файлы, как правило, не нужно. Если сервера ещё нет — я подробно разбирал его установку в статье про настройку OpenVPN на VPS, а про выпуск клиентских сертификатов для нескольких пользователей — в статье про Easy-RSA и multi-user конфигурацию.
• Доступ к веб-интерфейсу роутера — my.keenetic.net из локальной сети или IP-адрес роутера в браузере, с правами администратора.

Типичный .ovpn выглядит примерно так (сертификаты для краткости сокращены):

client
dev tun
proto udp
remote 203.0.113.10 1194
resolv-retry infinite
nobind
persist-key
persist-tun
cipher AES-256-GCM
auth SHA256
verb 3

<ca>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
...
-----END PRIVATE KEY-----
</key>
<tls-auth>
-----BEGIN OpenVPN Static key V1-----
...
-----END OpenVPN Static key V1-----
</tls-auth>
key-direction 1

Обратите внимание на строку proto — от неё зависит, какой порт и протокол должен быть открыт на сервере и не режет ли его провайдер по пути (об этом ниже, в разделе про типичные проблемы).

Устанавливаем компонент OpenVPN в KeeneticOS

По умолчанию поддержка OpenVPN-клиента в прошивку не включена:

1. Откройте веб-интерфейс роутера, перейдите в Общие настройки → Обновления и компоненты.
2. Нажмите Изменить набор компонентов.
3. В категории VPN найдите OpenVPN-клиент (не путайте с «OpenVPN-сервером» — это отдельный компонент для обратной задачи, когда роутер сам принимает подключения) и отметьте галочкой.
4. Нажмите Сохранить — начнётся загрузка, роутер перезагрузится сам.

После перезагрузки в разделе Интернет появится вкладка OpenVPN. Если компонента нет в списке — либо не хватает свободной памяти под компоненты (тогда стоит отключить что-то неиспользуемое, например неактивный VPN-протокол или IPv6-модуль), либо модель официально не поддерживается.

Импортируем .ovpn через веб-интерфейс

Дальше — сама настройка подключения:

1. Перейдите в Интернет → OpenVPN и нажмите Добавить подключение.
2. Выберите Импортировать файл настройки и укажите скачанный .ovpn.
3. Роутер сам разберёт файл: адрес и порт сервера, протокол (UDP/TCP), шифр, сертификаты и ключи, если они встроены в файл.
4. Если сертификаты в файле не встроены, а идут отдельными файлами (ca.crt, client.crt, client.key, иногда ta.key), мастер попросит загрузить их по очереди — просто укажите нужные файлы в соответствующих полях.
5. Сохраните — Keenetic создаст новый интерфейс, обычно с именем OpenVPN0.

Если хочется задать параметры вручную (например, у вас есть данные из панели провайдера, а не готовый файл), выберите Задать параметры вручную — там же можно указать логин и пароль, если сервер настроен на аутентификацию по связке auth-user-pass, а не только по сертификату.

Проверяем, что туннель поднялся

После сохранения откройте вкладку OpenVPN ещё раз и посмотрите статус интерфейса:

• Состояние: Подключено — туннель установлен, TLS-хендшейк прошёл успешно.
• Счётчики Отправлено/Получено растут — значит, трафик реально идёт через сервер.

Через командную строку (SSH или Telnet до роутера) состояние можно посмотреть командой:

show interface OpenVPN0

Если статус долго висит на «Подключение» или интерфейс постоянно переподключается — почти всегда дело либо в TLS-хендшейке (рассинхрон времени на роутере, устаревший сертификат, несовпадающий cipher/auth между клиентом и сервером — подробный разбор по строкам лога есть в статье «OpenVPN: TLS handshake failed»), либо в блокировке порта на пути от роутера до сервера. Если же туннель поднимается, но интернет через него не идёт — это отдельная и довольно частая история, разобранная в статье «OpenVPN подключается, но нет сети».

Политики маршрутизации: какие устройства идут через VPN

Как и с WireGuard, ключевая причина ставить OpenVPN именно на роутер, а не на каждое устройство — точечный контроль трафика. Настраивается в Интернет → Политики:

1. Нажмите Добавить политику.
2. Задайте имя, например «Через OpenVPN».
3. В качестве приоритетного подключения выберите интерфейс OpenVPN0, резервным оставьте основной канал провайдера — если туннель упадёт, устройства не останутся вовсе без интернета.
4. Сохраните политику.
5. В разделе Мои сети и устройства откройте нужное устройство и назначьте ему созданную политику.

Точно так же работает и маршрутизация по доменам — в Интернет → Политики → Списки доменных имён можно указать конкретные сайты, которые всегда идут через интерфейс OpenVPN0, независимо от политики устройства. Механика (перехват DNS-ответов и динамическое добавление маршрутов) не зависит от типа VPN-протокола, я подробно её разбирал в статье про клиент WireGuard на Keenetic — там же можно посмотреть на процесс с политиками в скриншотах интерфейса, если WireGuard вам ближе по духу.

OpenVPN или WireGuard на Keenetic — если выбор ещё не сделан

Если сервер только предстоит поднимать и протокол не зафиксирован, на роутере разница между ними ощущается конкретнее, чем на VPS:

Если у вас уже есть OpenVPN-сервер (например, поднятый по инструкции про обход блокировок в России) — держаться его на роутере вполне разумно, тем более что режим TCP на 443 порту иногда единственный способ пробиться через агрессивный DPI. Если сервера ещё нет и жёсткой привязки к OpenVPN тоже нет — WireGuard на слабом железе обычно ощутимо экономнее по ресурсам роутера, сравнение протоколов в целом (не только на роутере) я разбирал в статье «WireGuard или OpenVPN: что выбрать».

Типичные проблемы именно на роутере

Несколько вещей, которые всплывают на Keenetic чаще, чем на десктопном клиенте:

• UDP-порт блокируется провайдером или DPI, а TCP — нет. Решение — попросить у сервера конфиг с proto tcp и портом 443 (если сервер настроен принимать оба варианта) и переимпортировать файл. Смена протокола на уже созданном подключении вручную через веб-интерфейс не всегда доступна — проще удалить старое подключение и импортировать новый .ovpn целиком.
• Разрывы и фрагментация пакетов при активной нагрузке. OpenVPN чувствителен к MTU туннеля сильнее, чем WireGuard. Если видите резкое падение скорости на крупных файлах при том, что мелкие запросы работают нормально — это повод проверить, не режет ли провайдер пакеты нестандартного размера; на стороне сервера обычно помогает явно прописанный mssfix в конфиге.
• Токен ощутимо греется, а WAN-скорость роутера заметно проседает. Если ваш тариф провайдера выше, чем реальная пропускная способность OpenVPN-туннеля на конкретной модели Keenetic — это, скорее всего, упор в процессор роутера, а не в сеть. Проверить просто: временно замерить скорость через WireGuard, если он тоже настроен, — заметная разница в пользу WireGuard подтверждает именно эту причину.
• После обновления прошивки подключение пропало из списка. При крупных обновлениях KeeneticOS набор компонентов иногда сбрасывается к минимальному — проверьте Общие настройки → Обновления и компоненты и включите OpenVPN-клиент заново, само подключение (конфиг) при этом обычно сохраняется.

Частые вопросы