VPN на роутере — как настроить и стоит ли

Настройка VPN на роутере отличается от настройки на телефоне двумя вещами: она делается один раз и закрывает всё, что стоит за роутером, — но и стоит дороже в неудобствах. Ниже — стоит ли оно того, как проверить, потянет ли ваш роутер, и пять шагов, общих для любой прошивки.

Стоит ли ставить VPN на роутер

Короткий ответ: дома — часто да, в дороге — никогда, вместо телефона — нет.

Что даёт роутер. Под защитой оказывается всё, что подключено к домашней сети, включая устройства, куда VPN-клиент поставить нельзя в принципе: телевизор, приставка, умная колонка, принтер. Настраивается один раз, ничего не надо включать руками, и это не забывается.

Чего роутер не даёт. Быстрого переключения страны — в панели это не два тапа, а несколько экранов. Паузы: если нужно на минуту выключить туннель ради одного приложения, придётся идти в панель. Выборочности: вывести одно устройство из-под VPN можно не на всякой прошивке.

Из этого практическое правило. Роутер — для того, что дома стоит и никуда не едет. Приложение — для телефона и ноутбука, которые уходят из дома и которым нужна гибкость. Одно другое не заменяет, и вместе они не ставятся: туннель на телефоне поверх туннеля роутера даёт двойной VPN, о котором ниже.

Один слот подписки на все устройства

Это главный практический довод, и его часто не знают.

Для сервиса роутер — одно устройство. Сколько машин стоит за ним, снаружи не видно: весь дом выходит в интернет через один туннель и один ключ. У нас лимит 10 устройств на подписку, и роутер расходует из них ровно один — при том что за ним может стоять и пять устройств, и двадцать.

Отсюда и ответ на вопрос «как раздать VPN по Wi-Fi»: отдельного механизма раздачи не существует, раздача — это и есть VPN на роутере. Устройства подключаются к обычной домашней сети и ничего не знают о туннеле.

Умеет ли ваш роутер WireGuard

Проверяется за минуту и не требует ничего скачивать.

Откройте панель управления роутером — адрес обычно написан на наклейке снизу — и поищите раздел WireGuard. Он бывает в разделах VPN, «Интернет» или «Дополнительные настройки», название протокола в любом случае пишется одинаково.

Раздел есть — можно настраивать, переходите к следующей части.

Раздела нет — штатная прошивка протокол не поддерживает. Три пути: обновить прошивку до последней версии и проверить снова, поставить альтернативную прошивку, либо поставить второй роутер под эту задачу.

Из прошивок WireGuard уверенно умеют OpenWrt, Keenetic, ASUS-Merlin и MikroTik — порядок настройки у каждой свой. У TP-Link поддержка зависит от модели и версии прошивки: протокол добавляют в новые прошивки части линеек, но не во все, поэтому проверять надо именно свою модель, а не марку.

Пять шагов, общих для любой прошивки

Дальше начинается место, где инструкции в интернете обычно врут. Панели у прошивок разные, и «нажмите вторую вкладку сверху» верно ровно для одной модели. Поэтому ниже — то, что одинаково везде, а точные названия полей смотрите в своей панели.

1. Проверьте прошивку. Раздел WireGuard есть — продолжаем.

2. Получите файл настроек. Личный кабинет → «Добавить устройство» → скачать файл .conf. Роутер займёт один слот подписки.

3. Перенесите значения в панель. Откройте файл любым текстовым редактором. Внутри — приватный ключ вашего устройства, адрес интерфейса, публичный ключ сервера, адрес и порт сервера, список разрешённых адресов. Эти же поля есть в разделе WireGuard любой панели, названия отличаются, смысл одинаковый. Переносите по одному и проверяйте, что не потерялся символ: ключи длинные, и одна опечатка даёт туннель, который поднимается и молчит.

4. Задайте MTU и DNS. MTU — 1280, DNS — 1.1.1.1 и 8.8.8.8. На роутере это приходится делать руками чаще, чем в мобильном приложении, и пропуск этого шага даёт самую частую жалобу: туннель поднялся, а сайты не открываются.

5. Поднимите туннель и проверьте. Включите соединение и с любого устройства домашней сети откройте сервис проверки IP. Адрес и страна должны совпасть с выбранным сервером.

Если что-то в вашей панели не сходится с этим описанием — это нормально и это не повод угадывать. Настройка роутера отличается от прошивки к прошивке, и по конкретной модели быстрее спросить поддержку, чем подбирать. Короткая версия для нашего сервиса — на странице установки на роутер.

Что проверить после настройки

Изменившегося адреса недостаточно. На роутере особенно важны ещё две вещи: не утекает ли DNS и живой ли туннель прямо сейчас — панель может показывать соединение поднятым, когда сервер уже не отвечает. Обе проверки и ещё две — в разборе как проверить, что VPN действительно работает.

Частые проблемы именно на роутере

Двойной VPN. Туннель на телефоне поверх туннеля роутера — самая незаметная из причин. Трафик идёт через два сервера подряд: медленно, а иногда не работает вовсе. Выберите одно.

Устройства, которым VPN мешает. Банковские приложения, госсервисы и часть маркетплейсов ведут себя иначе, когда видят адрес дата-центра. На телефоне это решается паузой, на роутере — нет, и это ещё один довод не ставить VPN на роутер как единственное решение.

Туннель поднялся, интернета нет. Сначала выключите туннель в панели и убедитесь, что интернет вернулся: так отделяется ошибка настройки от аварии провайдера. Дальше — MTU, DNS и перенесённые ключи, в этом порядке. Подробный разбор — VPN не работает.

Роутер не тянет. WireGuard шифрует быстрее старых протоколов, но у слабого домашнего роутера процессор всё равно становится потолком скорости. Признак: без туннеля канал быстрый, с туннелем упирается в одно и то же число независимо от сервера.

Когда проще поставить второй роутер

Если нужно, чтобы часть устройств шла через VPN, а часть напрямую, и прошивка такого не умеет — второй роутер за основным решает задачу без правил маршрутизации. Получаются две сети: обычная и «через VPN». Переключение устройства между ними — это просто выбор другой сети Wi-Fi.

Способ выглядит грубым, но он честнее попыток заставить потребительскую прошивку делать то, чего она не умеет, и его проще объяснить домашним.

---

OKNO — VPN на WireGuard: до 10 устройств на подписку, безлимитный трафик, возврат в течение 30 дней. Как установить.