GitHub Keenetic VPN: настройка TrustTunnel, маршрутов и выбор протокола

Зачем нужен VPN на роутере Keenetic и как GitHub помогает

Установка VPN на роутер Keenetic — это способ защитить всю домашнюю сеть сразу, включая устройства, которые не поддерживают VPN-клиенты: смарт-ТВ, игровые консоли, умные колонки и IoT-гаджеты. В отличие от настройки VPN на каждом отдельном устройстве, роутер берёт на себя шифрование трафика для всех подключённых гаджетов, что экономит время и исключает ошибки конфигурации.

GitHub играет ключевую роль в этом процессе, поскольку там публикуются готовые скрипты и конфигурации, которые автоматизируют установку и настройку VPN-клиентов на Keenetic. Например, скрипт TrustTunnel-Keenetic от разработчика ArtEvs позволяет развернуть современный VPN-протокол TrustTunnel на роутерах с Entware всего одной командой. Такие решения особенно полезны для пользователей, которые хотят использовать нестандартные протоколы или автоматизировать рутинные задачи, такие как создание интерфейсов, настройка автозапуска и мониторинг соединения.

Кроме того, GitHub-репозитории часто содержат документацию, примеры конфигураций и инструкции по устранению неполадок, что делает их ценным ресурсом для самостоятельной настройки. Например, NetRoute Pro — расширение для Chrome, которое генерирует BAT-файлы с маршрутами для Keenetic, также распространяется через GitHub и позволяет быстро создавать правила маршрутизации для выборочного VPN-трафика.

TrustTunnel: современный VPN-протокол для Keenetic

TrustTunnel — это открытый VPN-протокол, изначально разработанный командой AdGuard VPN. Его ключевая особенность — использование отдельных стримов для каждого соединения, внутри которых пакеты группируются для снижения накладных расходов. Это может дать прирост скорости на тяжёлых страницах и улучшить работу с QUIC-протоколом, который часто плохо поддерживается в других VPN-решениях, например, в Xray.

Для Keenetic существует готовый скрипт установки TrustTunnel, доступный на GitHub: https://github.com/artemevsevev/TrustTunnel-Keenetic. Скрипт поддерживает два режима работы:

• SOCKS5 — простой режим, работающий на всех прошивках. Клиент поднимает SOCKS5-прокси на 127.0.0.1:1080, а скрипт создаёт интерфейс Proxy в Keenetic, через который можно направлять трафик устройств или сайтов.
• TUN — полноценный туннель, доступный только на прошивке версии 5 и выше. Клиент создаёт интерфейс tun0, который переименовывается в opkgtunN, что позволяет управлять маршрутизацией и файрволом через веб-интерфейс Keenetic.

Скрипт автоматизирует установку клиента нужной архитектуры (mips, mipsel, aarch64), создание интерфейса через ndmc, установку init-скрипта автозапуска, WAN-хука для переподключения при смене WAN, watchdog с exponential backoff (до 10 попыток перезапуска), health check для мониторинга реальной связности и ротацию логов. Это делает TrustTunnel привлекательным выбором для пользователей, которые хотят использовать современный протокол с минимальными усилиями.

Установка TrustTunnel на Keenetic: пошаговая инструкция

Перед установкой TrustTunnel убедитесь, что на роутере установлен Entware — пакетный менеджер для Keenetic. Инструкция по установке Entware доступна в официальной справке Keenetic. Также потребуется пакет curl (устанавливается командой opkg update && opkg install curl). Для режима SOCKS5 необходимо установить компонент «Клиент прокси» в KeeneticOS.

Сам процесс установки выполняется одной командой:

curl -fsSL https://raw.githubusercontent.com/artemevsevev/TrustTunnel-Keenetic/main/install.sh | sh

Интерактивный мастер предложит выбрать режим работы (SOCKS5 или TUN), автоматически определит свободные индексы интерфейсов и создаст интерфейс в Keenetic. После установки нужно поместить конфигурацию клиента (экспортированную с сервера) в файл /opt/trusttunnel_client/trusttunnel_client.toml и запустить сервис:

/opt/etc/init.d/S99trusttunnel start

Управление сервисом осуществляется стандартными командами: start, stop, restart, status, reload. Логи можно посмотреть в /opt/var/log/trusttunnel.log. При загрузке роутера Entware автоматически запускает S99trusttunnel, watchdog следит за процессом и перезапускает его при падении, а health check периодически проверяет связность через туннель.

Важно: для режима SOCKS5 в конфигурационном файле trusttunnel_client.toml секция [listener.socks] должна содержать address = "127.0.0.1:1080" и пустые username и password. Если оставить логин и пароль, клиент может не запуститься с ошибкой парсинга конфигурации.

Настройка маршрутизации через BAT-файлы: NetRoute Pro

Keenetic поддерживает загрузку BAT-файлов в формате Windows route ADD, которые автоматически применяются к выбранному VPN-интерфейсу. Это удобно для настройки выборочной маршрутизации, когда через VPN идёт только трафик определённых сайтов или подсетей, а остальной — напрямую.

Расширение NetRoute Pro для Chrome генерирует такие BAT-файлы на основе анализа посещаемых сайтов. Процесс настройки выглядит так:

1. Установите расширение NetRoute Pro из Chrome Web Store.
2. Откройте нужный сайт в Chrome и нажмите на иконку расширения.
3. Выберите платформу Windows (именно этот формат принимает Keenetic).
4. Задайте маску агрегации (рекомендуется /24) и нажмите Analyze Website.
5. Скачайте результат как .bat файл.

Затем в веб-интерфейсе Keenetic перейдите в раздел «Управление» → «Маршрутизация» → «IPv4-маршруты», нажмите «Загрузить», выберите скачанный файл и укажите VPN-интерфейс, к которому нужно привязать маршруты. Keenetic игнорирует шлюзы из BAT-файла и использует выбранный интерфейс.

Этот метод позволяет добавить сотни маршрутов за секунду без необходимости вручную вводить их через CLI или SSH. Для WireGuard можно использовать альтернативный подход — задать подсети в параметре AllowedIPs пира, что также поддерживается Keenetic.

Проблемы с DNS при использовании статических маршрутов

Одна из частых ошибок при настройке выборочной маршрутизации на Keenetic — игнорирование DNS-запросов. Статические маршруты направляют только IP-трафик, но DNS-запросы LAN-клиентов по умолчанию уходят на DNS-прокси Keenetic, который форвардит их на DNS-сервер провайдера. Это означает, что провайдер видит, какие сайты вы посещаете, даже если данные зашифрованы.

Существует три варианта решения этой проблемы:

1. Полностью скрыть DNS от провайдера: в настройках VPN-интерфейса (Интернет → Другие подключения) установите его как приоритетный для DNS, либо задайте статические DNS в «Сетевые правила» → «Интернет-фильтры», указав внутренний резолвер VPN-провайдера (например, 10.0.0.1).
2. Снизить видимость для провайдера: используйте публичные DoH/DoT-серверы (Cloudflare 1.1.1.1, AdGuard 94.140.14.140, Quad9 9.9.9.9) в настройках Keenetic. Это зашифрует DNS-запросы, но они всё равно будут видны провайдеру как зашифрованный трафик.
3. Принять утечку: поведение по умолчанию, когда шифруется только трафик, а DNS-запросы остаются у провайдера. Подходит, если вы не хотите усложнять настройку.

Проверить, не утекает ли DNS, можно с помощью сервиса dnsleaktest.com с LAN-клиента. Если показанный резолвер принадлежит вашему VPN или выбранному DoH, всё настроено правильно.

IPv6 и VPN: как избежать обхода туннеля

Ещё одна распространённая проблема — IPv6 dual-stack bypass. Статические IPv4-маршруты покрывают только IPv4-трафик. Если у целевого сайта есть AAAA-запись (а у большинства популярных сайтов она есть), LAN-клиенты предпочитают IPv6 (согласно RFC 6724), и запрос уходит через дефолтный IPv6-маршрут провайдера, минуя VPN.

Есть два способа решения:

1. Сгенерировать IPv6-маршруты в NetRoute Pro, если ваш VPN-провайдер поддерживает IPv6. Процесс аналогичен IPv4, но с IPv6-префиксами (например, 2606:4700::/32 для Cloudflare). Импортируйте отдельный BAT-файл с привязкой к VPN-интерфейсу.
2. Отключить IPv6 глобально в настройках Keenetic (Интернет → Подключения → IPv6), если VPN не поддерживает IPv6. Тогда весь трафик откатится на IPv4 и будет корректно тунелироваться.

Выбор зависит от вашего VPN-провайдера и модели угроз. Если провайдер поддерживает IPv6, лучше настроить маршруты, чтобы сохранить скорость и доступность IPv6-ресурсов. В противном случае отключение IPv6 — простое и надёжное решение.

Сравнение VPN-протоколов для Keenetic: WireGuard, OpenVPN, AmneziaWG

Keenetic поддерживает несколько VPN-протоколов, и выбор зависит от ваших потребностей и модели роутера.

WireGuard — современный протокол с высокой скоростью и низким потреблением CPU. Поддерживается на Keenetic OS 3.1 и выше. На слабых моделях (Start, Lite) WireGuard может работать быстрее, чем OpenVPN, но на Giga и выше разница незначительна. WireGuard легко настраивается через импорт конфигурационного файла.

OpenVPN — классический протокол, работающий на всех моделях Keenetic, включая старые Start (KN-1110) и Lite (KN-1311). Он более требователен к ресурсам, но совместим с большинством VPN-сервисов. Конфигурационные файлы .ovpn легко импортируются.

AmneziaWG — модифицированный WireGuard, который маскирует пакеты для обхода DPI провайдера. Начиная с Keenetic OS 3.9, AmneziaWG встроен как нативный компонент. Это лучший выбор, если провайдер блокирует стандартный WireGuard. Однако для его использования нужен собственный VPS (~3–5 $/мес) и базовые навыки настройки сервера.

TrustTunnel — новый протокол от AdGuard, который мы рассмотрели выше. Он может быть быстрее на некоторых сценариях и лучше работает с QUIC, но требует установки через GitHub-скрипт и наличия Entware.

При выборе учитывайте модель роутера, версию прошивки и доступность конфигураций от вашего VPN-провайдера.

Решение типичных проблем при настройке VPN на Keenetic

Даже при использовании готовых скриптов могут возникать проблемы. Рассмотрим несколько типичных ситуаций.

Ошибка создания интерфейса Proxy: при установке TrustTunnel на Keenetic Giga с прошивкой 5.0.4 может появиться ошибка unsupported interface type: "Proxy". Это означает, что не установлен компонент «Клиент прокси» в KeeneticOS. Установите его через Магазин компонентов, и ошибка исчезнет.

Туннель поднят, но трафик не идёт: если интерфейс opkgtun0 активен, но устройства не получают интернет, проверьте конфигурацию TrustTunnel. В файле trusttunnel_client.toml для режима TUN секция [listener.tun] не должна содержать IP-адресов в included_routes или excluded_routes — они конфликтуют с настройками роутера. Также убедитесь, что в настройках VPN-интерфейса включена опция «Использовать для выхода в Интернет» (SNAT).

Маршрут добавлен, но трафик не идёт через VPN: проверьте, что VPN-интерфейс поднят (в разделе «Интернет» → «Подключения»), и что включена галочка «Использовать для выхода в Интернет». Для коммерческих VPN-провайдеров не включайте отдельное правило masquerade — сервер провайдера уже делает SNAT.

DNS-утечки: если после настройки маршрутов DNS-запросы уходят провайдеру, настройте DNS через VPN, как описано в разделе о DNS.

Проверка работы VPN и диагностика

После настройки VPN важно убедиться, что трафик действительно идёт через туннель. Простое наличие маршрута в таблице маршрутизации не гарантирует, что трафик использует VPN.

С LAN-клиента можно выполнить несколько проверок:

1. Проверить exit IP для routed-домена: curl -v https://example.com 2>&1 | grep "Connected to" — IP должен принадлежать VPN-провайдеру, а не вашему ISP.
2. Проверить общий IP: curl -s https://api.ipify.org — если routed CIDR включает ipify, результат покажет VPN exit IP.
3. На роутере через SSH: команды show ip route и show interface stat <VPN_IF> помогут подтвердить, что маршруты привязаны к VPN-интерфейсу и что счётчики RX/TX растут при активности.

Traceroute ненадёжен для таких проверок, так как ICMP/UDP-пробы часто фильтруются и возвращают * * *.

Также полезно проверить DNS-утечки через dnsleaktest.com и убедиться, что активные DNS-серверы видны в «Системный монитор» → «DNS».

Бесплатные и платные VPN-сервисы для Keenetic

На рынке есть как платные, так и бесплатные VPN-сервисы, совместимые с Keenetic.

Бесплатные варианты: ProtonVPN предоставляет WireGuard и OpenVPN конфиги для роутеров с безлимитным трафиком, но бесплатные серверы перегружены вечером. Windscribe даёт 10 ГБ/мес бесплатно и OpenVPN конфиги. Cloudflare WARP — бесплатный WireGuard-конфиг без регистрации, который шифрует трафик, но не меняет страну.

Платные сервисы: VPNTYPE предлагает WireGuard-конфиги для Keenetic и ПК-приложение с VLESS Reality, оплату МИР и стабильное соединение. HideMy.Name даёт и OpenVPN, и WireGuard конфиги, поддерживает 5 устройств по одной подписке и работает на всех моделях Keenetic. AdGuard VPN не предоставляет конфигов для роутера, но имеет отличные приложения для устройств вне дома.

При выборе обращайте внимание на поддержку российских карт, количество устройств, наличие конфигов для вашего протокола и стабильность соединения. Для обхода DPI провайдера рассмотрите AmneziaWG с собственным VPS.

Вопросы и ответы