Настройка VPN-клиента WireGuard на Keenetic

MAATRIX · Обновлено 7 октября 2026

VPN на роутере позволяет подключить к защищённому соединению телевизор, игровую приставку и другие домашние устройства без установки отдельных приложений. Keenetic управляет этим соединением: вы выбираете, какие устройства будут выходить в интернет через удалённый сервер, а какие — через обычное подключение провайдера. Ниже разберём весь путь от подготовки файла конфигурации до проверки соединения и действий на случай неполадок.

Что понадобится перед настройкой

Keenetic работает как VPN-клиент: устанавливает защищённое соединение, или туннель, с удалённым сервером WireGuard. Через этот сервер выбранные устройства получают доступ в интернет.

Подготовьте роутер с доступным компонентом WireGuard VPN, отдельный файл подключения с расширением .conf и доступ к настройкам Keenetic с правами администратора. Открыть настройки можно из домашней сети по адресу my.keenetic.net или по локальному IP-адресу роутера.

WireGuard поддерживается с KeeneticOS 3.3, а встроенные маршруты по доменным именам — с 5.0. Доступность функций зависит от модели. Запишите её название и установленную версию системы: расположение настроек в разных версиях может отличаться.

Если сервера ещё нет, воспользуйтесь инструкцией по установке WireGuard на VPS. На сервере должны быть настроены пересылка трафика, межсетевой экран и выход клиентов в интернет.

Не используйте один и тот же файл одновременно на телефоне и роутере. Каждому из них нужен собственный участник соединения — в настройках WireGuard он называется пиром — со своими ключами и адресом.

Сохраните резервную копию настроек Keenetic и запишите его локальный адрес для возврата к настройкам. Сначала подключите к VPN один компьютер, оставив обычный интернет на остальных устройствах.

Если своего WireGuard-сервера ещё нет, можно арендовать VPS с автоматической установкой. MAATRIX установит WireGuard и подготовит файл .conf — останется скачать его в личном кабинете и импортировать в Keenetic по инструкции ниже. Если сервер и конфиг у вас уже есть, используйте их и переходите к настройке роутера.

Устанавливаем WireGuard и подключаем сервер

Откройте раздел Управление → Общие настройки системы и найдите настройки обновлений и компонентов KeeneticOS. Нажмите Изменить набор компонентов, выберите WireGuard VPN и примените изменения. Если компонент уже установлен, повторная установка не нужна. Во время обновления роутер может перезагрузиться, а доступ в интернет временно прервётся.

После установки перейдите в Интернет → Другие подключения. В разделе WireGuard импортируйте файл .conf, полученный от вашего сервера или VPN-сервиса.

Для понимания устройства файла приведём условный пример подключения по IPv4. Это образец с вымышленными значениями: импортировать нужно ваш собственный файл.

[Interface]
PrivateKey = <приватный_ключ_роутера>
Address = 10.20.0.2/32
DNS = 10.20.0.1

[Peer]
PublicKey = <публичный_ключ_сервера>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

После импорта откройте созданное подключение и выполните четыре действия:

1. Сверьте адрес интерфейса, ключи, адрес сервера, разрешённые подсети и DNS с исходным файлом. Если DNS не перенёсся, укажите его в настройках подключения.
2. Включите параметр Использовать для выхода в Интернет. Он нужен для дальнейшей работы с политиками подключений.
3. Сохраните настройки и включите подключение переключателем в списке.
4. Откройте Интернет → Приоритеты подключений. Убедитесь, что для политики по умолчанию обычное подключение провайдера остаётся первым, пока вы проверяете VPN на одном устройстве.

0.0.0.0/0 разрешает передачу любых адресов IPv4 этому пиру. Выбор устройств, которые воспользуются VPN, задаётся маршрутами и политиками. См. также инструкцию Keenetic.

Если готового файла нет, добавьте подключение вручную в том же разделе и перенесите параметры, выданные администратором сервера. Используйте и дополнительный общий ключ PresharedKey, если он предусмотрен вашей конфигурацией.

Выбираем устройства для подключения через VPN

Политика подключения — это правило, которое определяет, каким соединением пользуется устройство. Например, компьютеру можно назначить WireGuard, а телевизору оставить обычный доступ через провайдера.

1. На странице Приоритеты подключений откройте вкладку настройки политик и добавьте новую политику с названием «Через VPN».
2. Включите в неё только созданное подключение WireGuard. В списке оно может отображаться под выбранным вами именем, а его системное обозначение обычно выглядит как Wireguard0.
3. Сохраните политику и перейдите на вкладку привязки политик.
4. Назначьте её тестовому компьютеру. Если устройства нет в списке, сначала зарегистрируйте его в списке клиентов домашней сети.
5. Оставьте остальные устройства в политике по умолчанию с обычным подключением провайдера.

Страница может называться «Политики подключений». Привязка также видна в карточке устройства. Изображения этапов настройки есть в инструкции по политикам.

Для первой проверки используйте только WireGuard: резервный выход через провайдера может скрыть неисправность VPN.

После проверки назначьте политику остальным устройствам. Если смартфон меняет MAC-адрес, проверьте, что правило относится к его текущей записи в списке клиентов.

Проверяем соединение и маршрут трафика

Проверьте связь с сервером, внешний адрес устройства и маршрут DNS-запросов. Одного индикатора подключения недостаточно.

Рукопожатие и передача данных

Откройте сайт с тестового компьютера и посмотрите состояние WireGuard. Handshake, или рукопожатие, подтверждает установление криптографической связи. При передаче данных время рукопожатия периодически обновляется, а счётчики отправленного и полученного трафика растут.

Старое время рукопожатия после простоя не доказывает обрыв: WireGuard может молчать, пока передавать нечего. Оценивайте состояние после попытки отправить данные через туннель.

PersistentKeepalive = 25 помогает сохранять возможность получать пакеты за NAT во время простоя. Значение 25 секунд приводится в руководстве WireGuard как подходящее для многих конфигураций. Этот параметр не исправляет неверные ключи, закрытый порт или ошибки маршрутизации.

Внешний IP-адрес

С тестового компьютера откройте 2ip или другой сервис проверки адреса. При выходе через VPN должен отображаться адрес, используемый сервером или VPN-провайдером для доступа в интернет. Сравнивайте прежде всего сам адрес: определение страны на таких сайтах бывает неточным.

Затем повторите проверку с устройства, оставленного в обычной политике. Оно должно выходить через вашего домашнего провайдера. Если адрес тестового компьютера не изменился, проверьте привязку устройства, порядок соединений в политике и наличие резервного подключения.

DNS и IPv6

DNS переводит имена сайтов в IP-адреса. Чтобы проверить используемые серверы, откройте DNS Leak Test или проверку DNS в BrowserLeaks. Неожиданный DNS домашнего провайдера — повод проверить настройки. Однако название Google, Cloudflare или другого сервиса в результатах не доказывает, что запросы прошли именно через VPN: тест показывает, кто обработал запрос, а не весь его путь.

Убедитесь, что DNS, назначенный VPN-политике, соответствует вашей конфигурации. Если на роутере настроен зашифрованный DNS — DoH или DoT, — проверьте выбранный для него интерфейс подключения. Отключать шифрование только из-за наличия VPN не требуется: Keenetic позволяет привязать DoH и DoT к интерфейсу. Собственный DNS в браузере или операционной системе тоже нужно учитывать отдельно.

IPv4 и IPv6 — две версии интернет-протокола. Устройство может использовать обе, поэтому успешной проверки IPv4 недостаточно. Откройте проверку IP в BrowserLeaks и посмотрите, доступен ли IPv6 и кому принадлежит показанный адрес.

Если весь доступ должен идти через VPN, а IPv6 принадлежит домашнему провайдеру, настройка не завершена. Настройте IPv6 через туннель либо отключите его для устройств или сегмента, которым разрешён только VPN. Запись ::/0 в AllowedIPs разрешает все адреса IPv6, но не заменяет настройку адресов и маршрутов на обеих сторонах.

Что делать при обрыве VPN

Заранее решите, что важнее для конкретного устройства: сохранить интернет при недоступном VPN или прекратить передачу данных до восстановления туннеля.

Переключение на резерв зависит от обнаружения неисправности. Отдельно проверьте отключение интерфейса и отказ сервера при включённом интерфейсе: поведение может различаться.

Как проверить защиту от обхода VPN

1. Убедитесь, что тестовый компьютер использует политику только с WireGuard и выходит через VPN.
2. Оставьте обычное подключение провайдера работающим. Отключите WireGuard в настройках роутера.
3. Попробуйте открыть новую страницу и отдельно проверить доступ по IPv4 и IPv6. Ранее загруженная страница может отображаться из кеша и не подтверждает наличие интернета.
4. Если вы управляете VPN-сервером, включите туннель обратно и отдельно проверьте отказ удалённой стороны: временно остановите WireGuard на сервере, сохранив возможность вернуть его через панель управления. Повторите проверки.
5. Восстановите сервер и подключение. Убедитесь, что доступ через VPN вернулся.

При строгой политике новые соединения в интернет должны прекращаться. Иначе проверьте резерв, IPv6 и индивидуальные маршруты. На смартфоне выключите мобильные данные, чтобы он не переходил на сотовую сеть.

Кешированные ответы DNS не показывают, есть ли утечка. Для точной проверки используйте захват пакетов в диагностике роутера: обращайтесь к новым именам и смотрите, куда уходят запросы на подключении провайдера.

Как вернуть обычное подключение

Подключитесь к роутеру из домашней сети по его локальному адресу. Назначьте тестовому устройству политику по умолчанию и убедитесь, что в ней первым стоит рабочее подключение провайдера. Если вы создавали отдельные DNS-маршруты, временно отключите и их: исключительный маршрут может продолжать запрещать прямой доступ к выбранным сайтам.

После этого отключите WireGuard и откройте новую страницу. Если адреса сайтов перестали определяться, верните DNS, доступный через обычное подключение. Сброс роутера к заводским настройкам для такого возврата обычно не нужен.

Подбираем MTU при проблемах с загрузкой

Если страницы загружаются не полностью или передача файлов останавливается, проверьте MTU — максимальный размер IP-пакета на интерфейсе. WireGuard добавляет служебные заголовки, поэтому пакет внутри туннеля обычно должен быть меньше, чем допускает внешнее подключение.

Сначала сохраните текущее значение. Для обычного канала с MTU 1500 часто начинают с MTU туннеля 1420; для PPPoE с MTU 1492 ориентиром может быть 1412. Это отправные значения, а не гарантия: на результат влияют дополнительные туннели и ограничения по пути до сервера.

При подозрении на проблему можно временно попробовать 1280 и повторить загрузку тех же страниц или файлов. Для туннеля только с IPv4 допустимо проверить и меньшее значение, например 1240, но назначать его всем подключениям заранее не стоит. Для IPv6 не снижайте MTU интерфейса ниже 1280: это минимальное значение, определённое в стандарте IPv6. Если уменьшение MTU ничего не меняет, верните исходную настройку и продолжайте диагностику.

Для проверки прохождения пакетов определённого размера используются разные команды.

Windows:

ping -f -l 1400 8.8.8.8

Linux:

ping -M do -s 1400 8.8.8.8

macOS:

ping -D -s 1400 8.8.8.8

В macOS запрет фрагментации задаёт флаг -D, что указано в справочнике Apple. Число 1400 в этих примерах — размер данных; к нему добавляются 28 байт заголовков IPv4 и ICMP.

Проверяйте с компьютера в VPN-политике, меняя размер данных. Результат ограничен в том числе текущим MTU туннеля; повторно вычитать заголовки WireGuard не нужно. Отсутствие ответа не доказывает проблему MTU: узел может блокировать ping.

Внешний путь до сервера измеряют без прохождения через VPN и затем учитывают накладные расходы туннеля. Не смешивайте эти измерения. Подробнее — о подборе MTU для WireGuard.

Направляем через VPN отдельные сайты

Если VPN нужен только для определённых сайтов, можно настроить маршруты по доменным именам. Штатная функция появилась в KeeneticOS 5.0 и находится в разделе Сетевые правила → Маршрутизация → Маршруты DNS. На более старой версии описанной вкладки может не быть.

Для этого сценария оставьте устройство в политике по умолчанию, где основным соединением служит провайдер, и используйте адрес роутера как DNS-сервер устройства. Собственный DoH в браузере может обходить DNS роутера и мешать применению правил. Эти условия указаны в документации Keenetic по DNS-маршрутам.

1. Создайте список доменных имён и внесите нужные домены по одному на строке. Указывайте имя сайта без https:// и пути к странице. Поддомены включаются автоматически; символ * не требуется.
2. Создайте правило маршрутизации для этого списка и выберите подключение WireGuard.
3. Если выбранные сайты должны быть недоступны при отказе VPN, включите Исключительный маршрут.
4. Сохраните и включите правило. Очистите DNS-кеш устройства и откройте сайт заново.

В Windows очистить DNS-кеш можно командой:

ipconfig /flushdns

Для проверки добавьте в список сервис определения IP-адреса. На нём должен отображаться адрес выхода VPN. Учитывайте, что сложный сайт может загружать данные с дополнительных доменов, которые тоже потребуется включить в список.

Частые вопросы