VPN на роутере — когда это нужно и как настроить

Клиент на каждом устройстве работает хорошо ровно до тех пор, пока устройств не станет много. Телевизор Samsung, Apple TV, игровая приставка, умная колонка — туда клиент поставить попросту некуда. Тогда остаётся один путь: поднять туннель на роутере, и тогда через него пойдёт весь дом.

Разберём, кому это действительно нужно, а кому только кажется.

Когда роутер оправдан

Есть устройства без клиента. Телевизоры на Tizen и webOS, Apple TV, PlayStation, Xbox, умные колонки. Ни на одно из них приложение не поставить, и роутер — единственный способ.

Устройств больше трёх-четырёх. В подписке одновременно работает одно устройство. Роутер занимает ровно один слот, сколько бы техники за ним ни стояло, — с точки зрения сервиса это одно подключение. Пять устройств через клиенты потребовали бы пяти слотов, то есть четырёх дополнительных по 100 ₽.

VPN нужен постоянно, а не по случаю. Настроил и забыл: не нужно включать туннель на каждом устройстве отдельно.

Когда не стоит

Если VPN нужен изредка. Выключить туннель для одного устройства на роутере непросто: это настраивается исключениями по адресам, а не кнопкой. Клиент на телефоне выключается одним нажатием.

Если роутер слабый. Шифрование ложится на его процессор. Дешёвые модели и коробки от провайдера режут скорость до 20–30 Мбит/с независимо от того, какой у вас тариф. При канале в 300 Мбит/с это заметная потеря.

Если в доме нужны банковские приложения. Через роутер они пойдут тем же путём, что и всё остальное, и начнут ругаться на зарубежный адрес. Исключения настраиваются, но это отдельная работа.

Какие роутеры подойдут

Главное ограничение: нужна поддержка современного протокола. Обычные домашние роутеры из коробки умеют только OpenVPN, L2TP и PPTP — устаревшие протоколы, которые распознаются с первого пакета и потому для наших целей бесполезны.

Работают три варианта.

Keenetic. Пожалуй, самый простой путь. В прошивке есть менеджер компонентов, через который ставится нужный клиент. Требуется модель с достаточной памятью — младшие серии не потянут.

Роутеры с OpenWrt. Открытая прошивка, ставится на широкий список моделей. Гибко, но требует уверенности: неудачная прошивка превращает роутер в кирпич, и восстановление требует паяльника или хотя бы хорошего понимания процесса.

Отдельное устройство рядом с роутером. Одноплатный компьютер вроде Raspberry Pi поднимает туннель и раздаёт его дальше. Роутер при этом не трогается вовсе — самый безопасный вариант с точки зрения «не сломать домашний интернет».

Что точно не подойдёт: брендированные коробки от МТС, Ростелекома, Билайна и прочих провайдеров. Прошивка там урезана, доступ к нужным настройкам закрыт, а обновить её обычно невозможно.

Порядок настройки

Точные шаги зависят от модели, но общая последовательность одинаковая.

1. Проверьте, поддерживает ли роутер нужный протокол. Если нет — дальше идти бессмысленно, нужна другая модель или отдельное устройство.
2. Обновите прошивку до последней версии от производителя. Поддержка протоколов появляется и расширяется именно в обновлениях.
3. Установите клиент — на Keenetic через менеджер компонентов, на OpenWrt через менеджер пакетов.
4. Добавьте ключ-подписку. У роутера нет буфера обмена, поэтому ключ вставляется в веб-интерфейс с компьютера. Копируйте кнопкой из личного кабинета: ссылка длинная, и при выделении мышью легко потерять хвост.
5. Проверьте маршрутизацию. По умолчанию через туннель пойдёт весь трафик. Убедитесь, что интернет работает, а IP-адрес сменился.
6. Настройте исключения для банковских приложений и российских сервисов — об этом ниже.

Не выполняйте настройку по Wi-Fi, если есть возможность подключиться кабелем: при ошибке в конфигурации беспроводная сеть может отвалиться, и вы потеряете доступ к роутеру в середине процесса.

Исключения — самая важная часть

Без них половина российских сервисов начнёт работать через раз.

Банковские приложения, госуслуги, часть маркетплейсов проверяют, что запрос приходит с российского адреса. Через роутер они получают зарубежный и отказывают в обслуживании либо требуют повторного входа.

Есть два подхода.

Исключения по адресам сайтов. В настройках маршрутизации указываете, что трафик к определённым доменам идёт напрямую, минуя туннель. Точно, но список приходится вести руками и дополнять по мере обнаружения.

Исключения по устройствам. Проще: указываете, что конкретное устройство — например, телефон — ходит мимо туннеля целиком. Тогда банковские приложения работают, а телевизор остаётся под защитой. Второй способ понятнее и требует меньше сопровождения.

На Keenetic это делается через приоритеты подключений, на OpenWrt — через правила маршрутизации по исходному адресу.

Скорость: чего ожидать

Роутер шифрует весь трафик дома своим процессором, и это узкое место.

Ориентиры по опыту: слабые модели дают 20–40 Мбит/с, средние 100–200, мощные с аппаратным ускорением — близко к скорости канала. Если у вас тариф 500 Мбит/с и роутер за три тысячи рублей, готовьтесь к пятикратной просадке.

Проверить просто: измерьте скорость с включённым туннелем и без него. Разница и есть цена удобства.

Если просадка неприемлема, разумный компромисс — оставить роутер без VPN, а туннель поднимать на тех устройствах, где он действительно нужен. Скорость на остальных не пострадает.

Безопасность: о чём стоит подумать заранее

Роутер с VPN — точка, через которую идёт весь дом. Отсюда два следствия, о которых редко предупреждают.

Пароль администратора роутера становится важнее. Если раньше его взлом означал доступ к настройкам домашней сети, то теперь — ещё и к конфигурации туннеля, то есть к вашему ключу-подписке. Смените пароль по умолчанию, если ещё не сменили, и закройте доступ к веб-интерфейсу из интернета: он должен открываться только из локальной сети.

Гостевая сеть тоже пойдёт через туннель, если её не выделить отдельно. Люди, которым вы дали пароль от гостевого Wi-Fi, будут выходить в интернет через ваш оплаченный канал и расходовать вашу квоту белых списков. На большинстве роутеров гостевую сеть можно исключить из маршрутизации через туннель — сделайте это сразу.

Обновления прошивки после настройки

Неприятная особенность, о которой узнают постфактум: обновление прошивки роутера часто сбрасывает установленные компоненты и правила маршрутизации. Туннель после этого не поднимается, а человек не связывает одно с другим — «интернет есть, а VPN пропал».

Практический вывод: после каждого обновления проверяйте, работает ли туннель, и держите под рукой записанные настройки. На Keenetic и OpenWrt конфигурацию можно выгрузить файлом — сделайте это сразу после удачной настройки, восстановление займёт минуты вместо часа.

Частые ошибки

После настройки пропал интернет во всём доме

Классика, и почти всегда причина в маршрутах: весь трафик ушёл в туннель, а сам туннель не поднялся. Роутер при этом никуда не сообщает об ошибке.

Лечится сбросом настроек VPN через веб-интерфейс. Если интерфейс недоступен, помогает подключение кабелем напрямую к роутеру — обычно на этом порту доступ сохраняется.

DNS утекает мимо туннеля

На роутерах это встречается чаще, чем на устройствах: многие модели по умолчанию используют DNS провайдера и не переводят его в туннель. Проверьте на любом сервисе «DNS leak test» с любого домашнего устройства. Если в списке ваш провайдер — пропишите в настройках роутера публичный DNS, 1.1.1.1 или 8.8.8.8.

Устройства видят друг друга, но не интернет

Значит, локальная сеть работает, а маршрут по умолчанию сломан. Проверьте, что исключения не перекрыли весь трафик и что туннель действительно активен.

Телевизор всё равно не открывает сервис

Некоторые видеосервисы ограничивают адреса дата-центров. Роутер здесь не поможет — нужно исключение для этого сервиса или отключение туннеля на время просмотра.

Роутер занимает один слот

С точки зрения нашего сервиса роутер — одно устройство, сколько бы техники за ним ни находилось. Это и есть его главная экономия: подписка не требует дополнительных слотов на каждый телевизор и приставку.

Обратная сторона: пока туннель поднят на роутере, добавить ключ ещё и на телефон отдельно не выйдет — второе подключение вытеснит первое. Либо роутер, либо устройство, либо докупленный слот.

Коротко

Роутер оправдан, когда в доме есть техника без клиента или устройств больше трёх-четырёх. Не оправдан, если VPN нужен изредка или роутер слабый.

Провайдерская коробка почти наверняка не подойдёт. Из доступного проще всего Keenetic, гибче всего OpenWrt, безопаснее всего — отдельное устройство рядом с роутером.

Обязательно настройте исключения для банковских приложений: без них дом будет работать наполовину.

Инструкции для отдельных устройств — iPhone, Android, Windows, macOS и Android TV — собраны в разделе «Настройка».