Как подключить WireGuard к роутеру Keenetic: защита всей домашней сети

Зачем подключать VPN к роутеру, а не к каждому устройству

Когда вы устанавливаете приложение на смартфон или ноутбук, вы защищаете только это конкретное устройство. Но в доме есть гаджеты, на которые нельзя установить приложение: умные телевизоры, игровые приставки, принтеры, умные колонки, камеры видеонаблюдения.

Подключение WireGuard на уровне роутера Keenetic решает эту задачу элегантно: весь трафик домашней сети автоматически идёт через защищённый туннель. Не нужно настраивать каждое устройство, достаточно один раз правильно сконфигурировать роутер.

Это особенно удобно для семейного использования: вы один раз задаёте правила в личном кабинете NetShield, и все члены семьи защищены автоматически.

Подготовка: что нужно перед настройкой

Для успешного подключения Keenetic к личному каналу WireGuard потребуется:

• Keenetic с актуальной прошивкой. Поддерживается в версии KeeneticOS 3.5 и новее. Проверить и обновить прошивку можно в разделе «Системный монитор» → «Обновление».
• Активный профиль NetShield. Сгенерируйте отдельный профиль в личном кабинете специально для роутера. Не используйте тот же конфиг, что и на смартфоне — у каждого устройства должен быть уникальный ключ и IP-адрес.
• Стабильное подключение к интернету. Keenetic должен быть подключён к сети провайдера и иметь белый или серый IP-адрес (работает в обоих случаях).

Важно: для роутера создавайте именно «серверный» или «клиентский» профиль с полным набором параметров маршрутизации, чтобы весь домашний трафик мог корректно идти через туннель.

Шаг 1. Создание подключения WireGuard в веб-интерфейсе

Откройте веб-интерфейс Keenetic (обычно по адресу 192.168.1.1 или my.keenetic.net) и перейдите в расширенный режим.

1. В меню слева выберите «Другие подключения» → «WireGuard».
2. Нажмите кнопку «Добавить подключение».
3. Заполните параметры из вашей конфигурации NetShield:
4. Имя интерфейса: понятное название, например NetShield-VPN.
5. Приватный ключ (PrivateKey): скопируйте из личного кабинета.
6. Слушать UDP-порт: оставьте пустым (Keenetic выберет автоматически) или укажите 51820.
7. Сохраните подключение, но пока не включайте его — сначала нужно настроить пир (сервер).

Шаг 2. Настройка пира (серверной стороны)

В том же окне настроек WireGuard найдите раздел «Параметры пира» и добавьте серверную часть вашей конфигурации.

1. Публичный ключ (PublicKey): скопируйте из личного кабинета.
2. Адрес пира (Endpoint): IP-адрес или домен сервера с портом (например, 203.0.113.5:51820).
3. Разрешённые IP (AllowedIPs): здесь важный момент. Для направления всего трафика через туннель укажите 0.0.0.0/0, ::/0.
4. PersistentKeepalive: установите значение 25 — это предотвратит разрывы туннеля через NAT.
5. PreSharedKey: если вы используете дополнительное шифрование из личного кабинета, скопируйте сюда. Иначе оставьте пустым.

Сохраните настройки. Теперь подключение технически готово, но нужна настройка DNS и маршрутизации.

Шаг 3. Защита от DNS-утечек

Самая частая ошибка при настройке VPN на роутере — трафик шифруется, а DNS-запросы всё равно идут к провайдеру. В результате провайдер видит, какие сайты вы открываете, даже если сам трафик идёт через туннель.

Подробнее об этом явлении можно прочитать в статье DNS-утечки через VPN: как проверить и настроить резолвер.

Чтобы исправить это в Keenetic:

1. Перейдите в «Домашняя сеть» → «Мои сети и Wi-Fi».
2. Откройте настройки вашей основной домашней сети.
3. В разделе «Параметры IP» найдите пункт DNS-сервер.
4. Укажите IP-адрес защищённого DNS из вашей конфигурации NetShield (этот адрес доступен в личном кабинете рядом с конфигом).
5. Включите опцию «Перенаправлять DNS-запросы» — это заставит все устройства в сети использовать указанный резолвер.

Теперь все DNS-запросы будут идти через защищённый туннель вместе с остальным трафиком.

Шаг 4. Настройка маршрутизации трафика

Чтобы Keenetic действительно направлял весь домашний трафик в туннель, нужно правильно настроить политики маршрутизации.

1. Перейдите в «Интернет» → «Приоритеты подключений».
2. Найдите созданное WireGuard-подключение в списке.
3. Поднимите его приоритет выше основного подключения провайдера (обычно это PPPOE или DHCP-клиент).
4. Перейдите в «Интернет» → «Политики доступа» и убедитесь, что WireGuard-подключение отмечено как активное для вашей домашней сети.

После этого Keenetic будет использовать туннель как основной маршрут для выхода в интернет.

Шаг 5. Активация и проверка

Теперь можно активировать подключение.

1. Вернитесь в раздел «Другие подключения» → «WireGuard».
2. Включите тумблер рядом с вашим подключением.
3. Дождитесь появления статуса «Подключено» и информации о последнем рукопожатии (Last Handshake).

Как проверить, что всё работает:
- С любого устройства в домашней сети откройте сервис проверки IP (например, ipleak.net).
- Ваш публичный IP должен принадлежать серверу NetShield.
- В разделе DNS должны отображаться только IP-адреса защищённого резолвера.
- Запустите расширенный тест DNS — все запросы должны идти через туннель.

Если что-то не так, сверьтесь с чек-листом Как проверить, что VPN работает и не «течёт».

Продвинутый сценарий: сегменты сети

Одна из сильных сторон Keenetic — возможность создавать изолированные сегменты сети. Это полезно, если вы хотите защитить через VPN только часть устройств.

Например:
- Домашняя сеть — все устройства идут через VPN.
- Гостевая сеть — гости пользуются обычным интернетом без туннеля.
- Сеть IoT — умные лампочки и розетки работают напрямую (им часто не нужен VPN, и через туннель они могут работать нестабильно).
- Рабочая сеть — только рабочий ноутбук идёт через VPN с особыми правилами.

Для этого:
1. В разделе «Мои сети и Wi-Fi» создайте отдельные сегменты.
2. В каждом сегменте настройте свою политику маршрутизации.
3. Укажите, какой сегмент должен использовать WireGuard-подключение, а какой — прямое подключение к провайдеру.

Такой подход даёт максимальную гибкость: вы не заставляете умную кофеварку работать через шифрованный туннель, но полностью защищаете ноутбуки и смартфоны.

Типичные проблемы и их решения

Туннель не поднимается. Проверьте, что Endpoint указан с портом, а PreSharedKey (если используется) совпадает с тем, что в личном кабинете.

Сайты не открываются после подключения. Чаще всего проблема в DNS. Убедитесь, что в настройках домашней сети указан защищённый резолвер и включено перенаправление DNS-запросов.

Некоторые устройства работают нестабильно. Обычно это IoT-гаджеты со слабой реализацией TCP/IP. Вынесите их в отдельный сегмент сети с прямым доступом к интернету.

Низкая скорость. Проверьте параметры по гайду по оптимизации и убедитесь, что MTU корректно настроен (обычно 1360 или 1420 для роутера).

Короткий чек-лист настройки

1. Обновить KeeneticOS до версии 3.5 или новее.
2. Сгенерировать отдельный профиль в личном кабинете NetShield для роутера.
3. Создать WireGuard-подключение в веб-интерфейсе.
4. Настроить пир с Endpoint и AllowedIPs.
5. Указать защищённый DNS в параметрах домашней сети.
6. Поднять приоритет WireGuard-подключения в списке интернет-подключений.
7. Активировать туннель и проверить IP/DNS с любого устройства.
8. При необходимости — настроить сегменты сети для изолированного доступа.

Подключение VPN на уровне роутера Keenetic — это разовая настройка, которая защищает всю вашу домашнюю сеть. Вам не нужно думать о VPN каждый раз, когда вы подключаете новое устройство: оно автоматически получает защиту вместе с доступом к Wi-Fi.

Открыть личный кабинет