Новый телефон подключился к домашнему Wi-Fi, получил адрес, открыл браузер, и сайт «что такое мой IP» показал адрес провайдера. Хотя на роутере все привычные устройства давно ходят через VPN. Ноутбук ходит, планшет ходит, старый телефон ходил. А этот — нет. Администратор открывает список клиентов и находит там странность: знакомое имя телефона выглядит как два разных устройства, или вместо него появилась безымянная запись с незнакомым адресом.
Первая мысль обычно такая: сломался VPN. Вторая: роутер забыл настройки. Обе мысли, как правило, мимо. Туннель работает, правило существует, просто телефон в него не попал, потому что роутер видит перед собой не того клиента, которому правило выдавали. Разберёмся, как это происходит и как устроить сеть, чтобы подобные сюрпризы не зависели от вашей памяти.
Как роутер вообще понимает, кто к нему подключился
У роутера нет органов чувств, чтобы отличить ваш телефон от соседского. Он опирается на идентификатор, который устройство само сообщает в сети, и на уровне Wi-Fi и Ethernet этим идентификатором служит MAC-адрес. Когда вы «регистрируете» устройство в веб-интерфейсе, даёте ему имя, закрепляете адрес, привязываете правило, роутер создаёт запись и сопоставляет её с MAC. Всё, что вы потом настраиваете для этого клиента, на самом деле привязано к записи, а запись — к адресу.
Отсюда прямое следствие: если адрес изменился, роутер не обязан догадываться, что это тот же человек в новой куртке. Для него это просто новый MAC, а значит, новый клиент без истории. Это и описывает документация Keenetic: после смены частного MAC роутер может увидеть прежнее устройство как нового клиента, а ограничения, привязанные к старой регистрации, перестают применяться (Keenetic: случайные MAC-адреса).
Обратите внимание на формулировку: «ограничения перестают применяться». Речь не только о блокировках. Любая привязка к регистрации — расписание, приоритет, ограничение скорости, выбор подключения для выхода в интернет — живёт в том же месте. Политика, которая отправляет трафик через VPN, устроена так же.
Разберём это на условном примере; это иллюстрация логики, а не замер. Допустим, в списке клиентов три записи: «Ноутбук», «Планшет» и «Телефон Анны». К каждой привязана политика с VPN, а политика по умолчанию ведёт напрямую через провайдера. Для роутера эти три записи — единственные клиенты, про которых он что-то знает. Всё остальное, что появляется в сети, он видит как набор из MAC и выданного адреса без каких-либо пометок.
Отсюда полезное правило чтения списка клиентов: имя записи — это ваша подпись для себя, а не свойство устройства. Роутер не сверяет модель, владельца или привычки. Если новый MAC не совпал ни с одной записью, никакое «знакомое» имя не переедет на него само. Поэтому вопрос «почему политика не сработала» правильнее задавать так: «к какой записи сейчас относится этот MAC и есть ли у неё привязка».
Здесь же видно, почему сбой остаётся незамеченным. Блокировка сразу даёт симптом: страница не открывается. Выход мимо VPN симптомов не даёт вовсе: сайты открываются, приложения работают, скорость нормальная. Единственный наблюдаемый признак — внешний адрес, который показывает сторонний сервис. Поэтому проверка адреса после подключения любого нового устройства — единственный надёжный индикатор, пока схема держится на правилах для отдельных клиентов.
Зачем телефону частный адрес и почему его не нужно за это ругать
Частный, он же случайный, MAC придуман не для того, чтобы мучить администраторов. Постоянный адрес — это отпечаток, который устройство предъявляет каждой сети, к которой подключается: кафе, аэропорту, гостинице. По нему можно узнать, что один и тот же телефон был в разных местах. Частный адрес этот отпечаток размывает: для каждой сети телефон показывает свой адрес.
Ключевое слово здесь — «для каждой сети». Смысл функции в том, чтобы разные сети не могли сопоставить ваше устройство между собой. Внутри одной конкретной сети, например вашей домашней, телефон с частным адресом ведёт себя предсказуемо: пока сохранена эта сеть и настройка не меняется, он предъявляет ей один и тот же адрес. Поэтому в обычной жизни регистрация в роутере продолжает работать неделями и месяцами, и вы можете даже не подозревать о существовании приватности.
Проблемы начинаются в моменты, когда адрес для вашей сети всё-таки меняется. Какие это моменты, зависит от производителя телефона и версии системы, и перечислять их по памяти не стоит. Подробности настройки частного адреса для Wi-Fi-сети смотрите в справке своего телефона именно для вашей версии системы. Практический вывод от этого не меняется: считать адрес вечным нельзя, а сама функция остаётся полезной. Требовать отключать её везде ради удобства одного роутера было бы плохим обменом, ведь в чужих сетях она работает на вас.
Картина «двух телефонов» в списке клиентов
Теперь можно объяснить странность из начала. Допустим, у вас был зарегистрирован телефон под именем «Телефон Анны». К этой записи привязана политика с VPN. Затем что-то поменялось: новая прошивка, сброс сетевых настроек, забытая и заново добавленная сеть, или вы вообще купили новый аппарат. Телефон снова подключился к вашему Wi-Fi, но уже с другим адресом.
Роутер видит: вот новый MAC, записи для него нет. Он создаёт безымянного клиента. Старая запись «Телефон Анны» остаётся в списке, потому что роутер не знает, что её хозяин ушёл под другим номером. Вы смотрите на список и видите двойника: старая запись офлайн и привязана к VPN, новая онлайн и ни к чему не привязана.
Это пример из логики работы, а не отчёт о конкретном случае: у вас названия и порядок событий могут отличаться. Но структура одинакова. Правило осталось у призрака, а трафик идёт от живого клиента, которому никто ничего не назначал.
Куда уходит незарегистрированный клиент
Здесь полезно вспомнить, как устроены политики подключений. В документации Keenetic политика описана как набор выбранных подключений с приоритетами, и к ней можно привязать как зарегистрированное устройство, так и сегмент сети (Keenetic: политики подключений). Там же сказано, что незарегистрированные устройства основных сегментов по умолчанию используют политику по умолчанию.
Сопоставьте это с нашей историей. Новый безымянный клиент не имеет регистрации. Значит, он получает то, что положено незарегистрированным в его сегменте, то есть политику по умолчанию. Если в вашей домашней сети политика по умолчанию ведёт напрямую через провайдера, а VPN выдан отдельными правилами для конкретных устройств, то новый телефон закономерно выходит с адресом провайдера. Роутер ничего не нарушил: он выполнил ровно то, что описано.
Важно и то, чего здесь не происходит. Публичный IP самого VPN-сервера не меняется от того, что у вашего телефона новый MAC. Эти две вещи живут на разных уровнях: MAC — это идентификатор клиента внутри локальной сети, а внешний адрес VPN определяется сервером, к которому подключён роутер. Если на сайте проверки вы видите адрес провайдера, значит, трафик телефона вообще не попал в туннель, а не то, что туннель сменил адрес.
Эту границу удобно проверять двумя наблюдениями. Если у нового телефона показывается адрес провайдера, а у ноутбука рядом, в той же сети и в тот же момент, адрес VPN-сервера, туннель жив и не менялся: разница только в том, какая политика досталась каждому клиенту. Если же внешний адрес сменился у всех устройств сразу, причина лежит в другом месте: на стороне самого VPN-узла или подключения роутера к нему. Новый MAC на такую картину повлиять не может, он затрагивает лишь одного клиента.
Практический вывод для диагностики: сначала сравните два устройства, и только потом лезьте в настройки туннеля. Это экономит время, потому что правка настроек VPN при проблеме с регистрацией клиента ничего не исправит, зато может сломать то, что работало.
Нужен сервер под эту задачу?
Разверните VPS MAATRIX за пару минут: NVMe, AMD EPYC, root-доступ, локации Россия, США, Франция и Великобритания. Оплата картой РФ и по СБП.
Два способа распорядиться клиентами: по устройству и по сегменту
Отсюда вырастает главный выбор. Политику можно привязать к устройству, а можно к сегменту. Это два разных способа мыслить о доме.
| Вопрос | Правило для устройства | Правило для сегмента |
|---|---|---|
| К чему привязано | К регистрации клиента, а значит, к его MAC | К сети целиком, независимо от конкретных адресов |
| Что будет с новым телефоном | Останется без VPN, пока не зарегистрируете | Получит VPN сразу при подключении |
| Что будет при смене частного MAC | Правило останется у старой записи | Ничего не изменится |
| Где удобно | Когда VPN нужен лишь паре устройств | Когда VPN нужен почти всем в этой сети |
| Цена ошибки | Незаметный выход мимо VPN | Через VPN пойдёт то, что туда не нужно |
У каждого подхода своя «тихая» ошибка. У правила для устройства ошибка опасна тем, что она бесшумна: трафик просто идёт мимо туннеля, и пока вы не проверите адрес, вы этого не узнаете. У правила для сегмента ошибка громче, но заметнее: какое-то устройство, например умный телевизор или принтер, вдруг оказывается за VPN и перестаёт работать с местными сервисами. Громкую ошибку чинить проще, чем тихую.
Сравним последствия на одном и том же событии: в дом приносят три новых устройства за год, например телефон, планшет гостя и умную колонку. При правиле для устройства каждое из них начинает путь мимо VPN и остаётся там, пока кто-то не вспомнит зарегистрировать его и привязать политику. Вероятность забыть для колонки, которую включили и больше не открывали, заметно выше, чем для телефона, куда вы сразу заглянете проверить IP. Тихая ошибка накапливается именно на таких устройствах.
При правиле для сегмента все три сразу попадают в VPN. Расплата другая: колонка или телевизор могут потерять доступ к местным сервисам или региональному контенту, и об этом вы узнаете в тот же вечер. Это конкретная, воспроизводимая поломка с понятным лечением: зарегистрировать устройство и вывести его из политики сегмента. Так что выбор между подходами — это выбор между ошибкой, которую вы увидите, и ошибкой, которую придётся искать.
Привязка политики к сегменту и к устройству в Keenetic возможна одновременно, о чём сказано в описании политик подключений (Keenetic: политики подключений). Поэтому выбирать «или-или» не обязательно: сегмент задаёт норму, а регистрация описывает исключения из неё.
Какой записи принадлежит телефон в руках
Прежде чем менять политику, стоит выяснить, к какой записи относится конкретный телефон. Это дело нескольких минут, и обойтись без догадок можно так.
- Откройте на телефоне сведения о текущей Wi-Fi сети и найдите адрес, который он использует для неё. Название раздела зависит от системы и версии, поэтому ищите его в справке производителя.
- Откройте на роутере список клиентов и сравните этот адрес с адресами записей. Совпадение покажет настоящую запись телефона.
- Посмотрите, привязана ли к ней политика. Если запись безымянная и без привязки, вы нашли причину обхода VPN.
- Найдите офлайн-запись с похожим именем. Это почти наверняка прежнее воплощение того же телефона.
- Проверьте внешний адрес в браузере телефона при выключенных мобильных данных: иначе легко принять за результат работы роутера совсем другой канал.
Последний пункт упускают чаще всего. Телефон при слабом сигнале Wi-Fi может уйти на мобильную сеть, и тогда адрес оператора окажется там, где вы ожидали увидеть VPN, хотя к роутеру он не имеет отношения.
Починка сегодняшнего случая
Для текущего телефона достаточно зарегистрировать новую запись и привязать нужную политику. Старую офлайн-запись можно удалить, чтобы список не вводил в заблуждение, но делать это нужно после того, как убедились, что новая работает. Названия и последовательность кнопок зависят от прошивки, поэтому ориентируйтесь на разделы про клиентов и политики в вашем интерфейсе.
Это лечит симптом. Следующий телефон, следующая замена аппарата или сброс сети снова приведут к той же картине, если в основе остаётся «правило на каждого». Поэтому после починки стоит решить, как должна вести себя сеть с новыми устройствами вообще.
Какое поведение выбрать для будущих новых устройств
Вопрос формулируется просто: куда должен выходить клиент, о котором вы ничего не знаете? Ответ определяет весь остальной дизайн.
Если новый гаджет по умолчанию обязан идти через VPN, подходит один из двух путей. Либо политикой по умолчанию в этом сегменте становится та, что ведёт в туннель, либо вы заводите отдельный сегмент, например домашний Wi-Fi для личных устройств, и привязываете политику к нему. Тогда незарегистрированный телефон с любым MAC окажется внутри правила в момент подключения. Исключения, которые должны ходить напрямую (принтер, телевизор, банковские приложения с капризами к чужим адресам), вы регистрируете и выводите вручную.
Чтобы выбор не остался абстрактным, прикиньте три вопроса про вашу сеть. Первый: кто чаще приносит в дом новые устройства — вы или гости и домашние. Если не только вы, дисциплина «проверить запись» не сработает, и политика сегмента надёжнее. Второй: что ломается, если случайное устройство окажется за VPN. Если ответ «почти ничего», держите норму «через VPN» и регистрируйте исключения. Третий: что ломается, если случайное устройство выйдет напрямую. Если это раскрытие адреса провайдера для всех, кто подключается, цена обхода выше цены лишнего туннеля.
Вот как это выглядит в виде короткого сравнения последствий для нового устройства.
- Политика по умолчанию ведёт напрямую: новичок выходит с адресом провайдера, VPN получают только зарегистрированные.
- Политика по умолчанию или сегмент ведут в туннель: новичок сразу за VPN, а исключения нужно регистрировать.
- Отдельный сегмент для личных устройств и отдельный для гостей: результат определяется тем, к какой Wi-Fi сети подключились.
Вариант с отдельными сетями хорош тем, что не требует угадывать намерения устройства: вы заранее решили, что делает каждая сеть, а устройство лишь выбирает, в какую из них войти. Для такого подхода важно, чтобы личный сегмент был действительно закрыт паролем, иначе проходной Wi-Fi превращается в «через VPN для всех подряд».
Если же большинство устройств должно ходить напрямую, а VPN нужен избранным, тогда оставляйте политику по умолчанию как есть и принимайте, что новые устройства по определению начинают без VPN. В этом случае разумно завести привычку: после покупки и первого подключения проверять запись клиента. Но это поведение, которое держится на дисциплине человека, и именно оно ломается первым.
Есть и промежуточный вариант: гостевой или отдельный сегмент без VPN для всего, что приходит «с улицы», и основной сегмент с политикой на уровне сети для своих. Тогда вопрос «что делать с новым устройством» превращается в вопрос «к какому Wi-Fi вы подключились».
Когда всё же лучше закрепить адрес
Правило для сегмента не отменяет регистрацию устройств целиком. Есть задачи, где нужна именно привязка к клиенту: статический адрес для сетевого хранилища, проброс порта, отдельные ограничения для детского планшета. Здесь вы осознанно говорите «вот это устройство» и принимаете, что смена его адреса сломает привязку.
Для таких клиентов уместно выбрать один из двух путей. Первый: для вашей домашней сети на этом устройстве использовать постоянный аппаратный адрес. Речь о настройке на одной конкретной сети, а не об отказе от приватности везде: в кафе и в гостинице телефон по-прежнему может показывать частные адреса. Второй: оставить частный адрес, но помнить, что привязка может потеряться, и проверять запись после крупных обновлений. Для стационарного оборудования первый вариант разумнее, для телефона в кармане второй путь с политикой сегмента надёжнее.
Если VPN на роутере поднят вами, а не заводской прошивкой
Всё сказанное опиралось на логику политик в прошивке с готовым интерфейсом. На роутере с OpenWrt та же идея выражается иначе: клиентов там различают по адресам, интерфейсам или зонам, и принцип остаётся прежним. Правило, привязанное к конкретному адресу, пережидает смену устройства хуже, чем правило, привязанное к зоне или интерфейсу. Подробности настройки клиента VPN на такой прошивке разобраны в материале про OpenWrt как VPN-клиент: WireGuard и OpenVPN.
Где в этой схеме место VPS
Роутер лишь направляет трафик в туннель, а на другом конце туннеля должен стоять сервер. Если вы поднимаете свой VPN-узел, подойдёт VPS: у MAATRIX есть NVMe, процессоры AMD EPYC и root-доступ, а в публичном предложении названы локации UK, US, RU и FR. Тарифы начинаются с Ba на 1 vCPU, 2 ГБ RAM и 40 ГБ NVMe, дальше идут Uab, Heka, Maat и Djed. Для домашнего туннеля на несколько устройств младший тариф можно взять отправной точкой для теста, а не обещанием ёмкости: реальную нагрузку покажет ваш трафик. Заказ оформляется на странице аренды VPS MAATRIX, где указаны оплата картой РФ и СБП и автоматическое создание сервера через пару минут после оплаты.
Политика, которая не просит помнить о каждом гаджете
Вернёмся к новому телефону. Он не сломал VPN и не нашёл лазейку: он просто пришёл под новым адресом, а роутер добросовестно применил то, что положено незнакомцам. Исправлять нужно не телефон и не приватность, а вопрос, который сеть задаёт новичкам.
Надёжная схема выглядит так: решите, что в этой сети является нормой, и закрепите это на уровне сегмента или политики по умолчанию. Исключения оформляйте регистрацией конкретных устройств, а не наоборот. Тогда следующий телефон, который кто-то принесёт домой, уйдёт туда, куда вы решили заранее, ещё до того, как вы узнаете о его существовании. Список клиентов перестанет быть журналом событий, который нужно сверять с памятью, и станет просто перечнем исключений.