Гайд для роутеров · 1 мин чтения

WireGuard на роутерах MikroTik, OpenWrt и Keenetic

VPN на роутере защищает все устройства сети сразу — включая те, на которые приложение VPN не поставишь. Показываем, как добавить peer WireGuard на трёх самых распространённых платформах просьюмерских роутеров.

Начать

Зачем ставить VPN на роутер

Если поднять WireGuard на роутере, а не на каждом устройстве отдельно, вся сеть пойдёт через один выход. Каждый телефон, ноутбук, телевизор и любое IoT-устройство за ним получает VPN без отдельного приложения — и это единственный способ покрыть технику, которая вообще не умеет запускать VPN. Плюс туннель для локальной сети всегда включён, и никто не забудет подключиться. Плата за это — настройка роутера более низкого уровня, чем в настольном приложении, и понятия (peers, AllowedIPs, маршрутизация) здесь значат больше.

Все три платформы ниже выступают клиентом WireGuard (peer), который подключается к серверу — либо к управляемому VPN от s4m, либо к вашему собственному WireGuard на VPS. Вам понадобятся публичный ключ сервера, его эндпоинт и адрес, который он вам выдаёт.

Добавьте peer WireGuard на каждой платформе

Основные команды. На каждой платформе вы создаёте WG-интерфейс, задаёте свой приватный ключ и адрес, а затем добавляете сервер как peer с AllowedIPs = 0.0.0.0/0 для полного туннеля.

bash
# ===== MikroTik (RouterOS 7+) =====
/interface/wireguard/add name=wg-s4m listen-port=51820
# set the auto-generated private key aside; add the server as peer:
/interface/wireguard/peers/add interface=wg-s4m \
    public-key="SERVER_PUBKEY" endpoint-address=VPN_HOST \
    endpoint-port=51820 allowed-address=0.0.0.0/0 \
    persistent-keepalive=25s
/ip/address/add address=10.8.0.2/24 interface=wg-s4m
# route LAN out via the tunnel + NAT (masquerade) on wg-s4m
/ip/firewall/nat/add chain=srcnat out-interface=wg-s4m action=masquerade

# ===== OpenWrt (LuCI or CLI) =====
opkg update && opkg install wireguard-tools luci-proto-wireguard
# In LuCI: Network > Interfaces > Add > protocol WireGuard, then set
# private key, address 10.8.0.2/24, and a peer with:
#   public key SERVER_PUBKEY, endpoint VPN_HOST:51820,
#   Allowed IPs 0.0.0.0/0, "Route Allowed IPs" checked.
# Add the new iface to the 'wan' firewall zone so LAN is NATed out.

# ===== Keenetic =====
# Web UI: Other connections > VPN connections > Add WireGuard.
# Import a .conf, or enter private key, address 10.8.0.2/24, DNS,
# and peer: public key, endpoint VPN_HOST:51820, allowed 0.0.0.0/0.
# Then in "Priorities of connections" set the WG tunnel as the route
# for the devices/policies you want tunnelled.

Маршрутизация, MTU и честные границы

Заработает оно или нет, решают две вещи. AllowedIPs в peer — это правило маршрутизации: 0.0.0.0/0 гонит в туннель весь трафик (VPN на всю сеть), список поуже — это уже раздельное туннелирование, удобное, когда нужно завернуть лишь часть устройств или направлений. И роутер должен делать NAT/masquerade трафика из локальной сети на интерфейс WireGuard, иначе пакеты будут уходить наружу, а ответы не вернутся. Если скорость плохая или часть сайтов зависает, снизьте MTU — роутерам часто нужно ~1420 или меньше; смотрите MTU в WireGuard.

У Keenetic, в частности, большая база пользователей в регионе RU/UA и удобный интерфейс именно под это, тогда как MikroTik и OpenWrt дают максимум контроля. Что бы вы ни взяли, направьте его на управляемый VPN s4m (без логов, всё живёт в RAM), если нужен ухоженный выход, или на собственный VPS, если предпочитаете держать сервер сами. Есть и выделенный IP — когда хочется, чтобы выход роутера был стабильным персональным адресом, а не общим.

Поделиться страницей
FAQ

Ответы на вопросы

Зачем вести VPN через роутер, а не через каждое устройство?

Туннель на уровне роутера накрывает все устройства локальной сети сразу — в том числе смарт-телевизоры и IoT-устройства, которые не умеют запускать VPN-приложение, — и работает всегда. Плата за это — настройка более низкого уровня: peers, AllowedIPs и NAT вместо приложения с одной кнопкой.

Туннель на роутере подключается, но интернета на устройствах нет — почему?

Две обычные причины: роутер не делает masquerade (NAT) трафика из локальной сети на интерфейс WireGuard, поэтому ответы не возвращаются; или MTU слишком большой и крупные пакеты зависают. Добавьте правило masquerade на WG-интерфейс и попробуйте снизить MTU примерно до 1420.

Читайте дальше

Вам также может понравиться

Как скрыть настоящий IP-адрес вашего сервера

Читать →

Что такое прокси SOCKS5?

Читать →

Как настроить WireGuard VPN, шаг за шагом

Читать →

Как использовать прокси для веб-скрапинга

Читать →

Один туннель на всю сеть

Направьте свой MikroTik, OpenWrt или Keenetic на WireGuard-VPN s4m без логов и накройте все устройства сразу — а выделенный IP даст стабильный персональный выход.

НачатьСмотреть цены

Эту страницу нашли по запросу

Реальные поисковые фразы, на которые отвечает эта страница — по ссылкам откроются материалы, раскрывающие тему глубже.