Гайд для роутерів · 1 хв читання

WireGuard на роутерах MikroTik, OpenWrt і Keenetic

VPN на роутері захищає всі пристрої мережі одразу — зокрема ті, на які застосунок VPN не поставиш. Показуємо, як додати peer WireGuard на трьох найпоширеніших платформах просьюмерських роутерів.

Почати

Навіщо ставити VPN на роутер

Якщо підняти WireGuard на роутері, а не на кожному пристрої окремо, уся мережа піде через один вихід. Кожен телефон, ноутбук, телевізор і будь-який IoT-пристрій за ним отримує VPN без окремого застосунку — і це єдиний спосіб покрити техніку, яка взагалі не вміє запускати VPN. Плюс тунель для локальної мережі завжди увімкнений, і ніхто не забуде під'єднатися. Плата за це — налаштування роутера нижчого рівня, ніж у настільному застосунку, і поняття (peers, AllowedIPs, маршрутизація) тут важать більше.

Усі три платформи нижче виступають клієнтом WireGuard (peer), що під'єднується до сервера — або керованого VPN від s4m, або вашого власного WireGuard на VPS. Вам знадобляться публічний ключ сервера, його ендпоінт і адреса, яку він вам видає.

Додайте peer WireGuard на кожній платформі

Основні команди. На кожній платформі ви створюєте WG-інтерфейс, задаєте свій приватний ключ і адресу, а потім додаєте сервер як peer з AllowedIPs = 0.0.0.0/0 для повного тунелю.

bash
# ===== MikroTik (RouterOS 7+) =====
/interface/wireguard/add name=wg-s4m listen-port=51820
# set the auto-generated private key aside; add the server as peer:
/interface/wireguard/peers/add interface=wg-s4m \
    public-key="SERVER_PUBKEY" endpoint-address=VPN_HOST \
    endpoint-port=51820 allowed-address=0.0.0.0/0 \
    persistent-keepalive=25s
/ip/address/add address=10.8.0.2/24 interface=wg-s4m
# route LAN out via the tunnel + NAT (masquerade) on wg-s4m
/ip/firewall/nat/add chain=srcnat out-interface=wg-s4m action=masquerade

# ===== OpenWrt (LuCI or CLI) =====
opkg update && opkg install wireguard-tools luci-proto-wireguard
# In LuCI: Network > Interfaces > Add > protocol WireGuard, then set
# private key, address 10.8.0.2/24, and a peer with:
#   public key SERVER_PUBKEY, endpoint VPN_HOST:51820,
#   Allowed IPs 0.0.0.0/0, "Route Allowed IPs" checked.
# Add the new iface to the 'wan' firewall zone so LAN is NATed out.

# ===== Keenetic =====
# Web UI: Other connections > VPN connections > Add WireGuard.
# Import a .conf, or enter private key, address 10.8.0.2/24, DNS,
# and peer: public key, endpoint VPN_HOST:51820, allowed 0.0.0.0/0.
# Then in "Priorities of connections" set the WG tunnel as the route
# for the devices/policies you want tunnelled.

Маршрутизація, MTU і чесні межі

Працюватиме воно чи ні, вирішують дві речі. AllowedIPs у peer — це правило маршрутизації: 0.0.0.0/0 жене в тунель увесь трафік (VPN на всю мережу), вужчий список — це вже роздільне тунелювання, зручне, коли треба завернути лише частину пристроїв чи напрямків. І роутер має робити NAT/masquerade трафіку з локальної мережі на інтерфейс WireGuard, інакше пакети йтимуть назовні, а відповіді не повертатимуться. Якщо швидкість погана або частина сайтів зависає, зменште MTU — роутерам часто потрібно ~1420 або менше; дивіться MTU у WireGuard.

У Keenetic, зокрема, велика база користувачів у регіоні RU/UA і зручний інтерфейс саме під це, тоді як MikroTik та OpenWrt дають максимум контролю. Що б ви не взяли, спрямуйте його на керований VPN s4m (без логів, усе живе в RAM), якщо потрібен доглянутий вихід, або на власний VPS, якщо волієте тримати сервер самі. Є й виділений IP — коли хочеться, щоб вихід роутера був стабільною персональною адресою, а не спільною.

Поділитися сторінкою
FAQ

Відповіді на питання

Навіщо вести VPN через роутер, а не через кожен пристрій?

Тунель на рівні роутера накриває всі пристрої локальної мережі одразу — зокрема смарт-телевізори та IoT-пристрої, які не вміють запускати VPN-застосунок, — і працює завжди. Плата за це — налаштування нижчого рівня: peers, AllowedIPs і NAT замість застосунку з однією кнопкою.

Тунель на роутері під'єднується, але інтернету на пристроях немає — чому?

Дві звичні причини: роутер не робить masquerade (NAT) трафіку з локальної мережі на інтерфейс WireGuard, тож відповіді не повертаються; або MTU завеликий і великі пакети зависають. Додайте правило masquerade на WG-інтерфейс і спробуйте знизити MTU приблизно до 1420.

Читайте далі

Вам також може сподобатися

Як приховати справжню IP-адресу вашого сервера

Читати →

Що таке проксі SOCKS5?

Читати →

Як налаштувати WireGuard VPN, крок за кроком

Читати →

Як використовувати проксі для веб-скрапінгу

Читати →

Один тунель на всю мережу

Спрямуйте свій MikroTik, OpenWrt чи Keenetic на WireGuard-VPN s4m без логів і накрийте всі пристрої одразу — а виділений IP дасть стабільний персональний вихід.

ПочатиДивитись ціни

Цю сторінку знаходять за запитами

Реальні пошукові фрази, на які відповідає ця сторінка — за посиланнями відкриються матеріали, що розкривають тему глибше.