Какой роутер выбрать для туннеля: пять критериев вместо рейтинга
На коробке написано «туннель», в карточке магазина тоже. Дома выясняется, что роутер принимает входящие подключения, а сам к серверу подключаться не умеет. Поэтому на вопрос, какой роутер выбрать для туннеля, мы не отвечаем названием модели: линейки меняются каждый год, а у одной модели в разных ревизиях бывает разная прошивка. Надёжнее проверить пять вещей. Если сошлись все пять, роутер потянет туннель для всего дома. Если хотя бы одна не сошлась, проще поставить приложение на нужные устройства.
Что продавец называет «поддержкой туннеля»
В характеристиках пишут «встроенный туннель» и не уточняют, какой. В меню роутера за этим словом прячутся две разные функции.
- сервер туннеля. Роутер принимает подключения снаружи: вы в поездке заходите с телефона в домашнюю сеть, к диску или камере. Для этого провайдер должен выдать белый IP-адрес. Если подключение идёт через общий NAT провайдера, снаружи до роутера не достучаться.
- клиент туннеля. Роутер сам подключается к удалённому серверу и отправляет через него трафик домашних устройств. Именно он нужен, чтобы телевизор или приставка ходили в интернет через сервис подключения.
У недорогих моделей часто есть только сервер или клиент для PPTP и L2TP. Подключиться к офису через него можно, а для домашнего сервиса толку мало: PPTP давно считают небезопасным, и многие сервисы его не поддерживают. Проверка занимает пять минут. Найдите на сайте производителя руководство к модели и откройте раздел туннелей. Если там описаны только «сервер» и «удалённый доступ», клиента в прошивке нет.
Критерий 1. Какие протоколы знает клиент
Роутер подключится только по протоколу из своей прошивки и только к сервису, который выдаёт настройки под этот протокол. Поэтому сначала сравнивают два списка: клиенты в меню роутера и протоколы сервиса. Всё остальное смотрят потом.
- WireGuard есть в прошивках Keenetic, у части моделей TP-Link и ASUS, в OpenWrt. В справке Keenetic сказано, что на том же железе он работает в несколько раз быстрее TLS-туннеля. С 2025 года новые устройства Keenetic в России продаются под маркой Netcraze, прошивка у них общая.
- TLS-туннель встречается почти везде, где есть WireGuard. Процессор он нагружает сильно: та же справка называет его очень ресурсоёмким.
- L2TP/IPsec и IKEv2 нужны в основном для офисных серверов.
- Xray и sing-box (VLESS и похожие протоколы) в штатных прошивках не встречаются. Их ставят на OpenWrt или на Keenetic через Entware, и без командной строки тут не обойтись.
Пользователи в России жалуются, что у части провайдеров соединения WireGuard с зарубежными серверами то поднимаются, то рвутся. Берите модель с запасом: если кроме WireGuard на неё можно поставить что-то ещё, она прослужит дольше. Чем протоколы отличаются по устройству, мы разобрали в статье WireGuard или VLESS.
Критерий 2. Процессор и память
Без туннеля роутеру живётся легко: у многих моделей обычную маршрутизацию берёт на себя аппаратное ускорение. Включили туннель, и каждый пакет каждого устройства в квартире шифрует центральный процессор. Поэтому два роутера с одинаковой надписью про Wi-Fi через туннель ведут себя по-разному.
- Ядра и архитектура. Keenetic в справке называет самыми быстрыми для туннеля свои модели на двухъядерных процессорах ARM. У бюджетных роутеров на старых одноядерных чипах запас меньше.
- Аппаратное ускорение. Строчка «аппаратное ускорение туннеля» обычно относится к IPsec. У Keenetic, например, ускоряются IPsec, L2TP/IPsec и IKEv2, а WireGuard процессор считает сам.
- Память. Разработчики OpenWrt советуют от 128 МБ оперативной памяти и от 16 МБ флеш-памяти, если вы будете ставить дополнительные пакеты, а флеш лучше больше 32 МБ. Клиентам на Xray нужно больше, авторы инструкций по таким сборкам просят от 256 МБ ОЗУ.
- Замеры производителя. Keenetic публикует результаты своей лаборатории по разным протоколам, другие производители иногда пишут заявленную скорость туннеля на странице модели. Это цифры из локальной сети без провайдера, на вашей линии будет меньше. Зато по ним видно, во сколько раз модели отличаются друг от друга.
Wi-Fi 6 и Wi-Fi 7 скорость через туннель не поднимают. Поколение Wi-Fi описывает связь роутера с телефоном или ноутбуком, а шифрование упирается в процессор.
Критерий 3. Кого пускать в туннель
Схема «весь дом через туннель» надоедает в первую же неделю. Банк просит лишнее подтверждение, онлайн-кинотеатр с российским каталогом не пускает, а игре на российском сервере крюк через заграницу ни к чему. В описании прошивки ищите три вещи:
- политики или профили доступа: туннель включается для выбранных устройств, остальные выходят напрямую;
- маршруты по доменам или спискам адресов, чтобы российские сайты шли мимо сервера;
- поведение при обрыве. Одни прошивки при недоступном сервере пускают трафик напрямую, другие не пропускают его, пока туннель не вернётся. Второй вариант называют kill switch.
Keenetic выбирает устройства для туннеля штатными средствами, OpenWrt делает то же с дополнительными пакетами. У многих моделей других марок выбор устройств есть, а маршрутов по доменам нет. Откуда берутся списки адресов и почему их приходится обновлять, рассказано в статье раздельная маршрутизация: российское напрямую.
Критерий 4. Обновления и поддержка модели
Клиенты туннеля приходят в роутер вместе с прошивкой. На части моделей TP-Link клиент WireGuard появился только после обновления. Значит, смотреть нужно и на то, что прошивка умеет сейчас, и на то, будет ли она меняться дальше.
- Дата последней версии на странице поддержки модели. Если прошивка не обновлялась несколько лет, новых протоколов ждать не стоит.
- Ревизия. У TP-Link одна модель выходит в нескольких аппаратных версиях (V1, V2, V3), и прошивки у них разные. Версию печатают на наклейке под корпусом. Спросите её у продавца до оплаты.
- Для какого рынка выпущено устройство. Роутер, ввезённый не для России, может получить прошивку с другим набором функций и без русского интерфейса, а гарантийные обращения по нему сервис может не принять.
- Есть ли модель в таблице устройств OpenWrt. Даже если перепрошивать вы не собираетесь, это запасной путь на случай, когда производитель перестанет выпускать обновления. Учтите, что перепрошивка обычно лишает гарантии.
Критерий 5. Порты и USB
Пункт короткий, но о нём часто забывают. Если провайдер даёт больше 100 Мбит/с, порт WAN должен быть гигабитным, иначе роутер упрётся в порт раньше, чем в шифрование. USB пригодится, если вы собираетесь ставить Entware на Keenetic или расширять память OpenWrt: туда кладут пакеты, которым не хватает встроенной флеш-памяти. Меню и компоненты прошивки этой марки описаны в статье Туннель на роутере Keenetic.
Роутер от провайдера и «роутеры с туннелем» из магазина
Прежде чем покупать новый роутер, откройте веб-интерфейс того, что уже стоит. Устройства, которые выдают провайдеры, часто работают на прошивке провайдера с урезанным меню. Если клиента нет или в нём только PPTP и L2TP, этот роутер для домашнего туннеля не годится, и критерии выше пригодятся при выборе нового.
Роутеры, которые продают уже настроенными под туннель, обычно перепрошиты продавцом и привязаны к его серверу. Что спросить у такого продавца, мы перечислили в обзорной статье Подключение через роутер.
Как проверить модель заранее
На схеме те же пять вопросов, что и выше. Ответы на них есть в открытых документах производителя, магазин для этого не нужен.
- Найти руководство пользователя модели на сайте производителя и открыть раздел туннелей.
- Убедиться, что там описан клиент, и выписать его протоколы.
- Сверить эти протоколы со списком протоколов вашего сервиса подключения.
- Открыть страницу поддержки нужной ревизии и посмотреть дату последней прошивки.
- Поискать замеры туннеля для модели у производителя или на профильных форумах.
- Проверить, есть ли модель в таблице устройств OpenWrt.
Если роутер менять не хочется
Часто нового роутера и не нужно. Если в туннель надо пустить телефон, ноутбук и телевизор на Android TV, на каждый из них можно поставить приложение. Подписка Siberian так и устроена: в личном кабинете две ссылки, для Karing (основной клиент, трафик похож на обращение к обычному сайту по HTTPS) и для INCY (запасной, трафик похож на обращение к видеосерверу). Российские адреса идут мимо туннеля, так что банк и госуслуги открываются как обычно.
Подключить можно несколько своих устройств, но одновременно не больше чем из двух сетей. Всё, что дома стоит за одним роутером, выходит в интернет с одного адреса и считается одной сетью. Готовой прошивки и проверенной инструкции для роутеров у Siberian сейчас нет. Что входит в подписку и как её подключить, описано на странице подписка для домашней сети.
Частые вопросы
Какой роутер выбрать для туннеля дома?
Тот, у которого есть клиент туннеля с протоколом вашего сервиса, процессор и память с запасом, выбор устройств для туннеля и свежие обновления прошивки. Конкретные модели сравнивайте по этим пунктам: рейтинги устаревают вместе с линейками.
Подойдёт ли для туннеля роутер от провайдера?
Иногда подойдёт. Откройте его веб-интерфейс и найдите раздел туннелей: если там есть клиент WireGuard, можно пробовать. Если клиента нет или в нём только PPTP и L2TP, для домашнего сервиса подключения такой роутер не годится.
Ускоряет ли Wi-Fi 6 или Wi-Fi 7 работу туннеля?
Нет. Поколение Wi-Fi отвечает за связь роутера с устройствами, а скорость через туннель зависит от процессора, протокола и прошивки.
Сколько памяти нужно роутеру для защищённого канала?
Для штатного клиента в прошивке производителя хватает той памяти, что есть в модели. Для OpenWrt с дополнительными пакетами разработчики советуют от 128 МБ оперативной и от 16 МБ флеш-памяти, а для клиентов на Xray авторы инструкций просят от 256 МБ оперативной памяти.
Можно ли настроить подписку Siberian на роутере?
Готовой прошивки и проверенной инструкции для роутеров у Siberian сейчас нет. Подписка работает в приложениях Karing и INCY на телефоне, компьютере и телевизоре или приставке на Android TV.