VPN на роутере: какие модели тянут VLESS и как настроить

Не любой роутер потянет подписку VLESS: разбираем, какие модели Keenetic, OpenWrt и GL.iNet умеют Xray и sing-box, почему штатный VPN TP-Link и ASUS не подходит, скорость и DNS.

Не каждый роутер способен принять подписку: нужна модель, которая умеет запускать движок Xray или sing-box, — например, Keenetic с USB-портом, любое устройство на прошивке OpenWrt или роутеры GL.iNet. Встроенный «VPN-клиент» у TP-Link, ASUS и Xiaomi — это на самом деле WireGuard, OpenVPN и устаревшие L2TP с PPTP, а с ними в мобильных и домашних сетях всё чаще проблемы, так что надпись «поддерживает VPN» на коробке ещё ничего не решает. Зато правильно настроенный роутер покрывает сразу весь дом: телевизор, приставку, игровую консоль и умную колонку — всё то, куда клиент попросту не поставить. Расплата — скорость и гибкость. Разберём, какие роутеры подойдут, как пустить через туннель только один телевизор, что будет со скоростью и DNS, и как не оставить весь дом без сети при ошибке в настройке.

Когда роутер оправдан, а когда хватит телефона

Настройка на роутере имеет смысл, если устройств в доме много и возиться с каждым по отдельности надоело; если нужно подключить технику без приложений вообще — телевизор Samsung или LG, консоль, колонку; или если в квартире живёт несколько человек, а объяснять каждому, какую кнопку нажимать, желания нет — тогда проще раздать одну общую ссылку на всех, способ описан в статье как поделиться VPN с семьёй.

Возиться не стоит, если туннель нужен только на одном телефоне — клиент встаёт за минуту; если роутер и так слабый — он станет узким местом для всего дома сразу; или если вы не готовы к тому, что одна ошибка в конфиге оставит без сети всю квартиру разом. Отдельный случай — когда единственная причина это телевизор: приставка на Android обычно дешевле и проще, а страну на ней меняют прямо с пульта. Варианты для Samsung и LG разобраны в статье VPN на телевизоре LG и Samsung.

Какие роутеры реально умеют подписку

Подписка нашего сервиса собрана по протоколу VLESS, и роутеру для неё нужно ядро, которое этот протокол понимает: Xray, sing-box или Mihomo. Обычная коробка от провайдера этого не умеет и научиться не сможет никаким обновлением прошивки. Подходят такие варианты:

• Keenetic. Самый доступный домашний путь: на флеш-накопитель через USB ставится пакетная система Entware, а поверх неё — надстройка XKeen с ядром Xray или Mihomo. USB-порт обязателен, а разработчик советует брать модели на архитектуре aarch64. Пошаговая настройка Keenetic через XKeen с точными пунктами меню и командами — в отдельной статье.
• Роутеры на OpenWrt. В официальных репозиториях уже есть готовые пакеты sing-box и xray-core, а удобный веб-интерфейс к ним добавляют сторонние passwall2, homeproxy и luci-app-xray. Умеют практически всё, но требуют перепрошивки и уверенных рук. На моделях с 16–32 МБ флеш-памяти ядро может попросту не поместиться — берите модели от 128 МБ и выше.
• GL.iNet. Прошивка построена на том же OpenWrt, поэтому sing-box и Xray ставятся через встроенную страницу «Plug-ins» или по SSH. Из коробки доступны только WireGuard и OpenVPN. У модели Beryl AX 256 МБ флеш-памяти и 512 МБ оперативной — запаса достаточно, а у старой версии Beryl всего 32 МБ флеш, и Xray туда физически не помещался.
• Mikrotik. На моделях с процессором ARM в RouterOS 7 Xray запускают внутри контейнера. Способ рабочий, но точно не для новичка.

Отдельно про остальных производителей, чтобы не было иллюзий. TP-Link в штатной прошивке умеет клиент OpenVPN, PPTP, L2TP и WireGuard — последний появился на части моделей линейки Archer с прошивок конца 2022 года. ASUS в фирменном VPN Fusion предлагает OpenVPN, WireGuard, IPsec и PPTP. Xiaomi в базовой комплектации — в лучшем случае PPTP и L2TP. VLESS нет ни у одного из них, а OpenVPN и WireGuard в мобильных сетях, по сообщениям пользователей, с 2023 года по большей части не проходят, да и домашние провайдеры периодически ловят их волнами. Для этих трёх марок остаётся один путь — прошивка OpenWrt, если модель в списке поддерживаемых, либо второй роутер рядом с основным.

Второй роутер вместо перепрошивки основного

Когда менять основной провайдерский роутер нельзя или боязно, рядом ставят второй — недорогой Keenetic с USB или GL.iNet, подключают его кабелем к первому, поднимают на нём туннель и раздают отдельную сеть Wi-Fi. Телевизор и приставка цепляются именно к ней, а весь остальной дом остаётся в прежней сети и вообще ничего не замечает.

Плюс такой схемы очевиден: ошибка в настройке никого без интернета не оставит, основной роутер остаётся нетронутым, а выключить туннель для конкретного устройства можно, просто переключив его на другой Wi-Fi. Минус один — лишний прибор на полке и ещё одна сеть в списке доступных.

Выборочная маршрутизация: туннель только для телевизора

Keenetic, OpenWrt и GL.iNet умеют заворачивать в туннель не всю сеть, а только выбранные устройства — по их адресам внутри домашней сети. Пускать через туннель абсолютно всё обычно и не нужно, и даже вредно: рабочему ноутбуку и видеозвонкам куда важнее полная скорость и обычный адрес.

• В Keenetic за это отвечают политики доступа в интернет: XKeen обрабатывает только устройства из нужной политики, остальные продолжают ходить напрямую.
• В passwall и homeproxy на OpenWrt правила настраиваются и по конкретным устройствам, и по спискам доменов: через туннель можно пускать только зарубежные сайты, а российские — оставлять напрямую.

Начните с одного телевизора и проверьте, что всё работает как надо, а уже потом добавляйте следующее устройство.

Что со скоростью и нагрузкой на процессор

Шифрование обсчитывает процессор самого роутера, а он всегда слабее процессора телефона. По сообщениям пользователей, ориентиры такие: бюджетные чипы mips и mipsel — десятки мегабит в секунду, средние домашние модели — 50–200 Мбит/с, а свежие ARM-модели вроде aarch64-Keenetic и Beryl AX — уже сотни мегабит. Речь именно о гигабитном канале провайдера: узкое место здесь не сам канал, а вычислительная мощность процессора роутера.

Для видео в 4K хватает 20–30 Мбит/с, так что для одного телевизора вполне достаточно и бюджетной модели. А вот сажать весь дом на слабый роутер — плохая идея: стоит смотреть видео двоим одновременно, и он начинает захлёбываться. Это ещё один довод в пользу выборочной маршрутизации, а не сплошной.

DNS-запросы на роутере

Когда туннель поднят на роутере, вопросы «где находится этот сайт» от всех устройств дома собирает именно он. Если оставить провайдерский DNS из DHCP как есть, запросы имён уйдут за границу открыто, список посещённых сайтов достанется провайдеру, а часть сайтов начнёт открываться криво. XKeen прямо требует включить на Keenetic шифрованный DNS — DoT или DoH; на OpenWrt запросы имён направляют либо внутрь туннеля, либо на отдельный шифрованный справочник. У нашего сервиса имена резолвятся уже на стороне сервиса, так что внутри туннеля всё сходится само собой. Отдельно проверьте IPv6: если провайдер его выдаёт, а туннель умеет работать только с IPv4, часть запросов будет уходить мимо туннеля. Как проверить это за минуту и исправить — в статье утечка DNS.

Как не остаться совсем без интернета

Главная опасность любой ошибки в настройке — интернет пропадает сразу у всех, а чинить его приходится через тот же самый роутер, который и сломался.

1. Настраивайте по проводу, а не по Wi-Fi — если беспроводная сеть отвалится посреди настройки, доступ к роутеру всё равно останется.
2. Сохраните файл с текущими настройками до начала работы — эту функцию умеет почти любой современный роутер.
3. Держите под рукой резервный профиль — отдельную политику или сеть Wi-Fi без туннеля вообще. Упал Xray — переключили телевизор на неё и спокойно чините основную, а устройства вне этой политики интернет вообще не теряют.
4. Заранее узнайте, как делается сброс к заводским настройкам — обычно кнопка на корпусе, зажатая секунд десять; у OpenWrt для этого есть ещё аварийный режим failsafe.
5. Не начинайте настройку вечером перед важным делом. И не удаляйте Happ с телефона — он остаётся запасным выходом в сеть и всё равно понадобится за пределами дома.

Как обновляется подписка на роутере

В Happ список серверов сам обновляется каждые 12 часов без вашего участия. Роутер так устроен иначе: голый Xray понимает не общую ссылку подписки, а настройки одного конкретного сервера. Такую ссылку копируют вручную из клиента — берите раздел «Обычный VPN» с нужной страной, а не строку с автовыбором сервера — и вписывают её в конфиг роутера. Сменился сервер на стороне сервиса — роутер об этом просто не узнает, пока вы не скопируете новую ссылку сами. Узнать симптом легко: на телефоне всё работает, а на роутере уже нет.

Полноценную ссылку подписки целиком понимают Mihomo — второе ядро внутри XKeen — и модули passwall с homeproxy на OpenWrt: там она вписывается прямо в настройки, а интервал автообновления задаётся вручную, обычно достаточно 12–24 часов. И не стоит заводить на роутере раздел Premium LTE — он расходует лимитный пакет гигабайт, а по домашнему проводу и так прекрасно работает обычный безлимитный раздел. Смысл в Premium LTE на роутере появляется, только если сам роутер сидит не на проводном интернете, а на мобильной сети оператора с её собственными ограничениями.

Частые вопросы

Какой роутер с поддержкой VPN выбрать, чтобы точно заработало?

Смотрите не на надпись «VPN» на коробке — она почти всегда означает только WireGuard и OpenVPN, — а на возможность реально запустить Xray или sing-box. На практике это Keenetic с USB-портом, роутер GL.iNet или любая модель из официального списка поддержки OpenWrt.

Получится ли поставить VLESS на роутер TP-Link?

Штатно прошивка TP-Link понимает только OpenVPN, WireGuard, PPTP и L2TP, подписку VLESS она не поддерживает в принципе. Остаётся либо перепрошивка на OpenWrt, если модель есть в списке поддерживаемых, либо покупка второго роутера рядом с TP-Link. Учтите: перепрошивка стирает текущие настройки и снимает устройство с гарантии.

Какой раздел подписки выбрать конкретно для роутера?

Один сервер из раздела «Обычный VPN» — он безлимитный и обычно самый быстрый из доступных. Если из-за границы нужно смотреть именно российские сервисы, берите российский выход — тогда сайты увидят российский адрес.

Что лучше для телевизора — роутер или отдельная приставка?

Если телевизор — единственная причина заводить туннель, приставка на Android почти всегда дешевле: клиент ставится прямо из магазина, а страна переключается пультом за секунды. Роутер выигрывает там, где устройств без собственного клиента набирается несколько сразу или добавлять к телевизору ещё один пульт неудобно.