Подключение через роутер: что выбрать, как настроить и когда хватит приложения
Телевизор без магазина приложений, игровая приставка, умная колонка: на них клиент туннеля не поставить, и тогда вспоминают про роутер. Если настроить туннель на нём, через туннель пойдёт трафик всех устройств дома разом. Но получится это не на каждой модели, а иногда проще и надёжнее поставить приложение на два-три нужных устройства. Ниже разбираем, какие протоколы понимают домашние роутеры, что проверить заранее, в каком порядке настраивать и что из этого умеет подписка Siberian.
Что меняется, когда туннель работает на роутере
Обычно клиент туннеля живёт в телефоне или ноутбуке: включили приложение, и в туннель уходит трафик одного устройства. На роутере клиент один на всю квартиру. Он держит постоянное соединение с сервером, а всё, что подключено к Wi-Fi или кабелем, выходит в интернет через этот сервер. Телевизор, приставка и ноутбук гостя ничего об этом не знают, им не нужны ни приложения, ни настройки.
- Вне дома туннеля нет. Телефон вышел из квартиры, переключился на мобильный интернет, и туннель остался дома вместе с роутером.
- Через сервер идёт всё подряд: банк, госуслуги, маркетплейсы получают иностранный адрес, если не настроить раздельную маршрутизацию. Часть российских сервисов на такой адрес реагирует ограничениями или лишними проверками.
- Шифрует процессор роутера, а через его чип проходит трафик всей квартиры. У недорогих моделей скорость через туннель бывает заметно ниже, чем скорость по договору с провайдером. Насколько ниже, зависит от модели и протокола, и проверить это можно только замером на своей линии.
- Если сервер недоступен, без интернета остаётся вся сеть, а не одно устройство. Поэтому полезно уметь быстро выключить туннель из веб-интерфейса или приложения роутера.
Роутер или приложение на каждом устройстве
Прежде чем менять роутер, стоит честно ответить, что именно вам нужно пустить через защищённый канал. Чаще всего ответ укладывается в одну строку таблицы.
| Ситуация | Что удобнее | Почему |
|---|---|---|
| Нужен туннель на телефоне и ноутбуке, дома и в дороге | Приложение | Защита едет с устройством, роутер трогать не надо |
| Телевизор на Android TV или приставка с Google Play | Приложение | На них ставятся обычные клиенты, в том числе с режимом для пульта |
| Телевизор без магазина Android, консоль, умная колонка | Роутер | Клиент на само устройство не поставить |
| Офис или квартира, где устройства часто меняются | Роутер | Новое устройство попадает в туннель сразу после подключения к Wi-Fi |
| Через защищённый канал нужен один сервис, остальное напрямую | Приложение или роутер с раздельной маршрутизацией | Гонять весь трафик дома через туннель незачем |
На схеме оба варианта рядом. В первом всё решает роутер, во втором он остаётся обычным, а туннель поднимает приложение на конкретном устройстве.
Какой туннель подходит для роутера: протоколы
Роутер может подключиться только по тому протоколу, который знает его прошивка. Поэтому вопрос «какой туннель для роутера» на деле звучит так: какой протокол поддерживает ваша модель и умеет ли сервис выдавать под него настройки.
| Протокол | Где встречается | Что важно знать |
|---|---|---|
| PPTP | Почти в любой штатной прошивке | Старый, шифрование давно считается ненадёжным. Для защиты данных не годится |
| L2TP/IPsec | В большинстве штатных прошивок | Нужен для связи с офисными серверами. Протокол заметный, нагружает процессор |
| TLS-туннель | Keenetic, часть моделей TP-Link и ASUS, OpenWrt | Гибкий и проверенный, но тяжёлый для слабых чипов |
| WireGuard | Keenetic, новые модели других марок, OpenWrt | Лёгкий и быстрый, настраивается по одному файлу. Рукопожатие узнаваемо для систем анализа трафика |
| Xray, sing-box (VLESS и похожие) | OpenWrt, Keenetic с пакетами Entware | Трафик похож на обычное обращение к сайту. В штатных прошивках нет, ставится отдельно |
Пользователи в России часто сообщают, что соединения WireGuard к зарубежным серверам у их провайдера то устанавливаются, то обрываются. Поэтому интерес сместился к протоколам, трафик которых похож на обычный HTTPS. Разницу между ними без формул мы разобрали в статье WireGuard или VLESS.
Учтите и другое: ни один протокол сам по себе не означает, что соединение будет работать у любого провайдера в любой день. Сервис, который это обещает, преувеличивает.
Какие роутеры умеют туннель из коробки
Подробное сравнение моделей вынесено в отдельную статью какой роутер выбрать для туннеля. Здесь коротко, что ждать от популярных марок.
Keenetic
В KeeneticOS клиенты туннеля ставятся как компоненты прошивки: WireGuard, L2TP/IPsec, PPTP, SSTP. Есть политики доступа: можно отправить в туннель только телевизор и оставить остальные устройства на прямом подключении. Для Xray и sing-box энтузиасты ставят пакеты через Entware на USB-накопитель или во внутреннюю память. Это уже не штатная функция, и поддержка производителя на неё не распространяется. Меню и ограничения прошивки собраны в статье Туннель на роутере Keenetic.
TP-Link
У TP-Link всё зависит от модели и версии прошивки. Производитель советует открыть веб-интерфейс и найти раздел туннелей в дополнительных настройках (Advanced → «Туннели»): если там есть вкладка клиента («Клиент»), роутер умеет подключаться к серверу сам. На части моделей клиент WireGuard появлялся только после обновления прошивки, так что сначала обновитесь, а потом делайте выводы.
Xiaomi
В штатной прошивке многих роутеров Xiaomi в меню туннелей только PPTP и L2TP. Этого хватит, чтобы подключиться к офисному серверу, но для защиты домашнего трафика маловато. Владельцы таких моделей либо ставят туннель в приложения на устройствах, либо прошивают роутер на OpenWrt, если модель есть в списке поддерживаемых.
OpenWrt и готовые «роутеры с туннелем»
OpenWrt это свободная прошивка для сотен моделей, список совместимых устройств ведётся на openwrt.org. На ней можно запустить почти любой клиент, включая Xray и sing-box. Авторы инструкций по таким сборкам советуют роутер с 256 МБ оперативной памяти и больше. Перепрошивка обычно затрагивает гарантию, условия лучше уточнить у продавца.
На маркетплейсах продают роутеры, уже прошитые и настроенные под туннель. Заранее спросите продавца о трёх вещах: можно ли самому поменять сервер и подписку, кто и как обновляет прошивку, что будет с роутером, если сервис продавца закроется. Если ответ на любой из вопросов «никак», вы покупаете устройство, привязанное к чужому серверу.
Как настроить туннель на роутере: порядок действий
Названия пунктов меню у разных марок свои, но порядок одинаковый. Пошаговые экраны для конкретных моделей есть в инструкции как настроить туннель на роутере.
- Обновите прошивку роутера через его веб-интерфейс или приложение. Новые протоколы часто приходят именно с обновлением.
- Посмотрите, какие клиенты туннеля есть в меню. Запишите их, прежде чем выбирать сервис.
- Получите у сервиса настройки под этот протокол: файл профиля для TLS-туннеля, файл
.confдля WireGuard или ссылку подписки для Xray и sing-box. - Создайте подключение и загрузите в него файл или ссылку. Логин и пароль, если они нужны, берутся из кабинета сервиса.
- Решите, кто пойдёт в туннель: вся сеть или только выбранные устройства. Начните с одного устройства, так проще найти ошибку.
- Включите автоподключение после перезагрузки и пропадания интернета.
- Проверьте результат с устройства в Wi-Fi: откройте любой сайт, который показывает ваш IP-адрес и страну. Должен отображаться адрес сервера туннеля, а не вашего провайдера.
Если сайт проверки показывает адрес провайдера, значит, устройство не попало в правило маршрутизации. Откройте список устройств в настройках туннеля и добавьте его туда.
Пять сбоев, которые встречаются чаще других
После первой настройки почти у всех что-то идёт не так. Ниже симптомы и то, с чего начать поиск.
| Симптом | Частая причина | Что сделать |
|---|---|---|
| Туннель подключён, но сайты не открываются | Роутер раздаёт DNS провайдера, а запросы к нему не проходят через туннель | Указать в подключении DNS, который советует сервис туннеля |
| Подключение не поднимается после перезагрузки | Не включено автоподключение или на роутере сбилось время | Включить переподключение и синхронизацию времени по NTP |
| Скорость заметно ниже, чем без туннеля | Процессору роутера не хватает мощности на шифрование | Сравнить с лёгким протоколом или пустить в туннель только нужные устройства |
| Банк или госуслуги просят лишнюю проверку | Сервис видит иностранный адрес | Вывести эти сайты или устройство из туннеля |
| Соединение рвётся в одно и то же время | Провайдер или сервер перезапускает сессию | Проверить журнал роутера: там видно, кто разорвал соединение |
Время на роутере стоит проверить в первую очередь, хотя про него вспоминают последним. Если часы ушли на несколько дней, защищённое соединение не пройдёт проверку сертификата, и клиент молча не подключится.
Раздельная маршрутизация: что оставить мимо туннеля
Пускать в туннель весь трафик квартиры редко нужно. Банковские приложения, госуслуги, онлайн-кинотеатры с российским каталогом, игры на российских серверах работают стабильнее напрямую. На роутере это делают двумя способами:
- по устройствам: в туннель идёт только телевизор или только рабочий ноутбук, остальные выходят напрямую;
- по адресам: российские сайты и сети идут напрямую, всё остальное через сервер. Такие списки умеют OpenWrt с дополнительными пакетами и Keenetic с маршрутами по доменам.
Второй способ гибче, но списки адресов нужно обновлять, иначе новые сервисы будут попадать не туда. Как их собирают и обновляют, читайте в статье раздельная маршрутизация: российское напрямую.
Бесплатный конфиг для роутера: что вы отдаёте
Бесплатные сервисы почти никогда не выдают настройки для роутеров, а те, что выдают, обычно урезают трафик или число серверов. Хуже другое: через роутер в туннель уходит трафик всей семьи, включая рабочий ноутбук и детский планшет. Если оператор сервера неизвестен, неизвестно и то, что он делает с этими данными. Для одного телефона на пару дней такой компромисс ещё можно обсуждать, для всей домашней сети он слишком дорогой.
Что входит в подписку Siberian и как она связана с роутером
Подписка Siberian рассчитана на приложения, а не на прошивку роутера. В личном кабинете у каждой подписки две ссылки:
- для Karing, основного клиента. Его трафик похож на обращение к обычному сайту по HTTPS;
- для INCY, запасного клиента. Его трафик похож на обращение к видеосерверу.
Ссылку добавляют в приложение кнопкой в кабинете или копируют и вставляют вручную. Список серверов приложение обновляет само. Российские адреса идут мимо туннеля, поэтому банки и госуслуги открываются как обычно. Приложения ставятся на телефон, компьютер и телевизор или приставку на Android TV, для пульта в Karing есть отдельный режим.
Подключить можно несколько своих устройств, но одновременно не больше чем из двух сетей. Телефон, ноутбук и приставка за одним роутером выходят в интернет с одного адреса и считаются одной сетью. Второй сетью будет, например, телефон в мобильном интернете по дороге на работу.
Готовой прошивки и инструкции для роутеров у Siberian нет: Karing и INCY ставятся на сами устройства. Отсюда два пути. Телефоны, ноутбуки и телевизор на Android TV проще подключить приложениями, роутер при этом остаётся как есть. Если же нужно пустить через туннель приставку или колонку, куда приложение не поставить, понадобится роутер со своим клиентом туннеля и настройки под его протокол, о них выше. Состав подписки и порядок подключения расписаны на странице подписка для домашней сети.
Частые вопросы
Нужен ли туннель на роутере, если он уже стоит на телефоне?
Для телефона нет: приложение защищает его и дома, и в мобильной сети. Роутер нужен, когда в туннель надо отправить устройства, на которые клиент не ставится: телевизор без магазина Android, игровую приставку, умную колонку.
Какой протокол выбрать для туннеля на роутере?
Тот, который есть в прошивке роутера и который поддерживает сервис. PPTP для защиты данных не годится. WireGuard есть во многих прошивках, но у части российских провайдеров такие соединения нестабильны. Протоколы на базе Xray и sing-box доступны на OpenWrt и Keenetic с дополнительными пакетами.
Почему через туннель на роутере интернет медленнее?
Роутер шифрует трафик всей квартиры своим процессором, и у недорогих моделей его мощности не хватает на полную скорость вашей линии. Влияет и расстояние до сервера. Сравните скорость с туннелем и без него на своей линии, прежде чем решать, что менять.
Можно ли подключить подписку Siberian к роутеру?
Готовой прошивки и инструкции для роутеров у Siberian нет. Karing и INCY ставятся на телефон, компьютер и телевизор или приставку на Android TV. Устройства, куда приложение не поставить, закрывает только роутер со своим клиентом туннеля.
Сколько устройств дома можно подключить к одной подписке Siberian?
Несколько своих устройств, но одновременно не больше чем из двух сетей. Устройства дома за одним роутером выходят в интернет с одного адреса и считаются одной сетью.