VPN на роутере: какие модели умеют VLESS, скорость и настройка

VPN на роутере: какие роутеры умеют VLESS — Keenetic, OpenWrt, GL.iNet, почему штатный VPN TP-Link и ASUS в России не спасает, скорость, DNS, резервный профиль.

VPN на роутере ставится не на любую модель: подписке нужен роутер, который умеет запускать Xray или sing-box, — Keenetic с USB-портом, что угодно на OpenWrt или GL.iNet. Штатный «VPN-клиент» у TP-Link, ASUS и Xiaomi — это WireGuard, OpenVPN и старые L2TP с PPTP, а их в России режут, так что наклейка «с поддержкой VPN» вопрос не решает. Зато настроенный роутер закрывает весь дом разом: телевизор, приставку, консоль и колонку — всё, куда клиент не поставишь. Платить придётся скоростью и гибкостью, поэтому ниже — какие роутеры подходят, как пустить через туннель только телевизор, что со скоростью и DNS и как не остаться без интернета при ошибке.

Когда VPN на роутере оправдан, а когда проще телефон

Роутер стоит настраивать, если:

• устройств много и настраивать каждое надоело;
• нужно подключить то, где приложений нет: Samsung или LG без клиента, консоль, колонка;
• дома несколько человек, и объяснять каждому, что включать, не хочется. Как справиться без роутера — одной ссылкой на всех — разобрано в статье как поделиться VPN с семьёй.

Не стоит, если туннель нужен только на телефоне — клиент ставится за минуту; если роутер слабый — он станет узким местом для всего дома; если вы не готовы к тому, что ошибка в настройке оставит без интернета всех сразу. И отдельный случай: когда единственная причина — телевизор, приставка на Android обычно дешевле и проще, а страну на ней переключают с пульта. Варианты для Samsung и LG — в статье VPN на телевизоре LG и Samsung.

Какие роутеры умеют VPN с подпиской

Подписка нашего сервиса — это VLESS, и роутеру нужно ядро, которое его понимает: Xray, sing-box или Mihomo. Коробка от провайдера этого не умеет и не научится. Работают:

• Keenetic. Самый доступный домашний вариант: на флешку ставится Entware, в неё — XKeen с ядром Xray или Mihomo. Нужен USB-порт; разработчик советует модели на aarch64. Пошаговая настройка Keenetic через XKeen с названиями пунктов меню и командами — в отдельной статье.
• Роутеры на OpenWrt. В официальных репозиториях есть пакеты sing-box и xray-core, а веб-интерфейс к ним дают сторонние passwall2, homeproxy и luci-app-xray. Умеют почти всё, но требуют прошивки и рук. На моделях с 16–32 МБ флеш-памяти ядро может не поместиться — смотрите на 128 МБ и больше.
• GL.iNet. Прошивка сделана на OpenWrt, поэтому те же sing-box и xray ставятся через страницу «Plug-ins» или по SSH. Из коробки — только WireGuard и OpenVPN. У Beryl AX 256 МБ флеш-памяти и 512 МБ ОЗУ — хватает с запасом, а у старого Beryl всего 32 МБ флеш, и туда Xray не помещался.
• Mikrotik. В RouterOS 7 на моделях с ARM-процессором Xray запускают в контейнере. Работает, но это настройка не для новичков.

Честно про остальных. TP-Link в штатной прошивке умеет клиент OpenVPN, PPTP, L2TP и WireGuard — последний на части моделей Archer с прошивок конца 2022 года. ASUS в VPN Fusion — OpenVPN, WireGuard, IPsec и PPTP. Xiaomi штатно — в лучшем случае PPTP и L2TP. VLESS нет ни у кого из них, а OpenVPN и WireGuard в мобильных сетях, по сообщениям пользователей, с 2023 года по большей части не проходят, у домашних провайдеров их ловят волнами. Для этих роутеров путь один: OpenWrt, если модель поддерживается, или второй роутер рядом.

Второй роутер как VPN-точка

Если основной роутер провайдерский, менять его нельзя или страшно, ставят второй: недорогой Keenetic с USB или GL.iNet подключают кабелем к основному, поднимают на нём туннель и раздают отдельную сеть Wi-Fi. Телевизор и приставка цепляются к ней, остальной дом сидит на прежней сети и ничего не замечает.

Плюсы: ошибка настройки никого без интернета не оставит, основной роутер не трогаете, а выключить туннель для устройства можно, просто переключив его на другой Wi-Fi. Минус — ещё один прибор и лишняя сеть в списке.

Выборочная маршрутизация: через туннель только телевизор

Keenetic, OpenWrt и GL.iNet умеют заворачивать в туннель только выбранные устройства — по их адресам в домашней сети. Гнать через туннель весь дом необязательно и обычно вредно: рабочий ноутбук и видеозвонки хотят полную скорость и свой адрес.

• В Keenetic это политики доступа в интернет: XKeen обрабатывает только устройства из нужной политики, остальные ходят напрямую.
• В passwall и homeproxy на OpenWrt правила задаются и по устройствам, и по спискам доменов: через туннель — только зарубежные сайты, российские — напрямую.

Начинайте с одного телевизора. Если на нём всё работает, добавляйте следующее устройство.

Скорость и нагрузка на процессор

Шифрование считает процессор роутера, а он слабее любого телефона. Порядки, по сообщениям пользователей, такие: бюджетные mips и mipsel — десятки мегабит, средние домашние модели — 50–200 Мбит/с, свежие ARM вроде aarch64-Keenetic и Beryl AX — сотни. Всё это при гигабитном канале провайдера: туннель упирается не в канал, а в процессор.

Для видео в 4K хватает 20–30 Мбит/с, так что телевизору достаточно и бюджетной модели. А вот весь дом на слабом роутере — плохая идея: смотрят двое одновременно, и роутер задыхается. Ещё один аргумент за выборочную маршрутизацию.

DNS на роутере

Когда туннель на роутере, вопросы «где находится сайт» от всех устройств собирает он сам. Оставите провайдерский DNS из DHCP — трафик пойдёт за границу, а список посещённых сайтов — провайдеру, и часть сайтов откроется криво. XKeen прямо требует включить на Keenetic шифрованный DNS, DoT или DoH; на OpenWrt запросы имён направляют внутрь туннеля или на шифрованный справочник. У нашего сервиса имена резолвятся на стороне сервиса, так что внутри туннеля всё сходится само. Отдельно проверьте IPv6: если провайдер его выдаёт, а туннель работает только с IPv4, запросы уходят мимо. Как проверить за минуту и починить — в статье утечка DNS.

Как не остаться без интернета

Главный риск: ошиблись — интернет пропал у всех, а чинить надо через тот же роутер.

1. Настраивайте по проводу, а не по Wi-Fi: если Wi-Fi отвалится, доступ к роутеру останется.
2. Сохраните копию настроек файлом до начала — это умеют почти все роутеры.
3. Оставьте резервный профиль: политику или отдельную сеть Wi-Fi, где туннеля нет. Умер Xray — переключили телевизор туда и чините спокойно, а устройства вне политики интернет не теряют вовсе.
4. Знайте, как сделать сброс: кнопка на корпусе, зажатая на десять секунд; у OpenWrt есть ещё аварийный режим failsafe.
5. Не настраивайте вечером перед важным делом. И не удаляйте Happ с телефона: он остаётся запасным выходом и за пределами дома нужен всё равно.

Подписка на роутере: как обновлять

В Happ список серверов обновляется сам каждые 12 часов. Роутер так не умеет: голый Xray понимает не ссылку подписки, а один конкретный сервер. Его ссылку копируют из клиента — берите раздел «Обычный VPN» с нужной страной, а не заголовок-автовыбор — и раскладывают в конфиг. Сменился сервер — роутер молчит, пока не скопируете новую ссылку. Симптом узнаваемый: на телефоне работает, на роутере уже нет.

Ссылку подписки целиком понимают Mihomo — второе ядро XKeen — и passwall с homeproxy на OpenWrt: там она вписывается в настройки, а интервал обновления выставляется вручную, 12–24 часов достаточно. И не ставьте на роутер Premium LTE: он тратит пакет гигабайт, а дома по проводу проходит обычный раздел. Premium LTE на роутере имеет смысл, только когда сам роутер сидит на мобильном интернете с ограничениями оператора.

Частые вопросы

Какой роутер с поддержкой VPN выбрать для России?

Смотрите не на надпись «VPN» на коробке — она почти всегда означает WireGuard и OpenVPN, — а на возможность запустить Xray или sing-box. На практике это Keenetic с USB-портом, GL.iNet или модель из списка поддерживаемых OpenWrt.

Можно ли поставить VPN на роутер TP-Link?

Штатно — только OpenVPN, WireGuard, PPTP и L2TP, а подписку VLESS прошивка TP-Link не понимает. Варианты: OpenWrt, если ваша модель есть в его списке, или второй роутер рядом с TP-Link. Перепрошивка стирает настройки и лишает гарантии — учитывайте.

Что выбрать в подписке для роутера?

Один сервер из раздела «Обычный VPN» — он без лимита и самый быстрый. Если смотрите российские сервисы из-за границы, берите российский выход: сайты увидят российский адрес.

Роутер или приставка для телевизора?

Если телевизор — единственная причина, приставка на Android дешевле: клиент ставится из магазина, страну переключают с пульта. Роутер выигрывает, когда устройств без клиента несколько или к телевизору нельзя добавить ещё один пульт.