Туннель на роутере Keenetic: что умеет прошивка и как подключить подписку

Siberian V · 21 октября 2026 · раздел «Роутеры»

У Keenetic клиент защищённого канала встроен в прошивку, и для домашнего роутера это редкость. Ничего перешивать не нужно: ставите компонент, загружаете файл от сервиса, выбираете устройства. Но роутер принимает только протоколы из своего списка, и подписка сервиса должна выдавать настройки именно под них. Ниже пункты меню взяты из официальной справки производителя. С 2025 года новые модели в России продаются под маркой Netcraze, прошивка у них та же, а справка лежит на support.netcraze.ru.

Что проверить до настройки

• Версия прошивки. Клиент WireGuard есть в KeeneticOS начиная с версии 3.3, маршруты по доменам появились в 5.0. У Netcraze та же система называется NDMS, номера версий совпадают.
• Что выдаёт ваш сервис: файл .conf для WireGuard, файл профиля для TLS-туннеля, логин и пароль для L2TP/IPsec или ссылку подписки для отдельного приложения. Ссылка подписки роутеру не подойдёт, об этом ниже.
• Доступ к веб-интерфейсу с компьютера. В справке Keenetic загрузка файла описана для веб-интерфейса, его открывают в браузере компьютера.
• Какие устройства пойдут в туннель. Удобнее начать с одного, например с ноутбука, и расширять список, когда всё заработает.

Какие подключения понимает роутер Кинетик

Все внешние подключения собраны на странице «Другие подключения» в разделе «Интернет». В таблице то, что там можно создать, и что для этого нужно получить у сервиса.

VLESS, Reality и другие протоколы на базе Xray и sing-box в этом списке не значатся. Их запускают через Entware, то есть ставят пакеты из командной строки на USB-накопитель или во внутреннюю память. Это самодеятельность владельца роутера, справка производителя её не описывает и поддержка за неё не отвечает. Чем эти протоколы различаются по устройству, рассказано в статье WireGuard или VLESS.

Шаг 1. Установите компонент

Клиенты защищённого канала в KeeneticOS ставятся отдельными компонентами, и в заводской прошивке их может не быть. Откройте страницу «Общие настройки системы», в разделе обновлений и компонентов нажмите «Изменить набор компонентов» и отметьте нужное: WireGuard, клиент TLS-туннеля или «Клиент прокси». Роутер загрузит компоненты и перезагрузится. После этого на странице «Другие подключения» появится раздел WireGuard или станет доступен нужный тип в «подключениях через туннель».

Шаг 2. Загрузите настройки сервиса

WireGuard

1. Откройте «Интернет», затем «Другие подключения».
2. В разделе WireGuard нажмите «Загрузить из файла» и выберите файл .conf, который выдал сервис.
3. Подключение появится в списке с именем файла. Переведите переключатель в положение «Включено».
4. Откройте подключение и найдите в настройках пира проверку активности. По умолчанию там 30 секунд. На стороне клиента поле обязательно должно быть заполнено, и справка пишет, что обычно хватает 10 или 15 секунд.

Внутренний адрес туннеля из файла не должен совпадать с подсетями на самом роутере. Если сервис выдал адрес из того же диапазона, что и ваша домашняя сеть, туннель поднимется, а трафик пойдёт не туда.

TLS-туннель

1. В «Других подключениях» в разделе «подключения через туннель» нажмите «Добавить подключение».
2. В окне «Параметры подключения через туннель» в поле «Тип (протокол)» выберите TLS-туннель и задайте имя.
3. Откройте файл профиля в блокноте, скопируйте весь текст и вставьте его в поле конфигурации. Сохраните и включите подключение.

К файлу TLS-туннеля у Keenetic строгие требования. Конфигурация должна быть одним файлом, сертификаты и ключи вписаны в него, неизвестных директив быть не должно. Опции TLS-туннеля для IPv6 прошивка не поддерживает. Если сервис раздаёт файлы под разные роутеры, справка советует брать версию для OpenWrt. Настройки TLS-туннеля не попадают в общий файл конфигурации роутера, поэтому их резервную копию надо хранить отдельно.

Шаг 3. Выберите, кого пускать в туннель

Включённое подключение ещё не значит, что через него пойдёт трафик. Порядок задаётся на странице «Приоритеты подключений». Здесь два пути.

• Весь дом. Перетащите подключение через туннель в начало списка, и оно станет основным для всех устройств. Убедитесь, что в его настройках включено «Использовать для выхода в интернет».
• Только выбранные устройства. На вкладке «Политики доступа в интернет» нажмите «Добавить политику», дайте ей имя и отметьте в ней только подключение через туннель. Потом перетащите на эту политику нужное устройство или целый сегмент сети. Всего политик может быть до 16.

Второй путь удобнее: телевизор уходит в туннель, а банковское приложение на телефоне работает через провайдера и не спрашивает лишних подтверждений. В политику попадают только DNS-серверы от тех подключений, которые в неё включены, так что устройство в политике туннеля спрашивает адреса сайтов через туннель.

С версии 5.0 есть третий путь, по адресам. В настройках маршрутизации на вкладке «Маршруты DNS» создают список доменов и указывают, через какое подключение к ним ходить. Справка ставит три условия: подключение включено и в статусе «Подключено», устройство остаётся в «Политике по умолчанию», а DNS-сервером у него указан сам роутер. Если в браузере включён DNS через HTTPS, маршруты по доменам работать не будут. Откуда брать списки и почему их нужно обновлять, разобрано в статье раздельная маршрутизация: российское напрямую.

Шаг 4. Проверьте результат

С устройства, которое вы отправили в туннель, откройте любой сайт, показывающий IP-адрес и страну. Должен отображаться адрес сервера туннеля. Если видно адрес провайдера, устройство не попало в политику: проверьте его привязку в списке клиентов или на вкладке политик. Для туннеля к другой сети справка советует утилиту ping на странице «Диагностика». Причину разрыва обычно видно в системном журнале роутера.

Ошибки WireGuard из справки Keenetic

Большая часть жалоб на «не подключается» сводится к нескольким строкам в журнале. Справка производителя разбирает их прямо.

На старых моделях с индексами KN-1110…KN-1910 под настройки туннеля отведено 24 КБ. Пара больших файлов TLS-туннеля туда может не поместиться, у современных моделей места больше. Какие модели вообще стоит брать под туннель, мы разобрали в статье какой роутер выбрать для туннеля.

Подписка Siberian и Keenetic

Напрямую в роутер подписку Siberian не загрузить. В личном кабинете две ссылки, для Karing и для INCY, а файлов WireGuard сервис не выдаёт. Клиентов для этих ссылок в штатной прошивке Keenetic нет, а связку с Entware мы не проверяли и инструкцию по ней не даём.

На практике для дома с Keenetic это работает так. Karing (основной клиент) и INCY (запасной) ставятся на телефон, компьютер, телевизор или приставку на Android TV, и каждое устройство ходит через свой туннель. Протоколы у клиентов разные: если один не проходит в вашей сети, попробуйте второй. Российские адреса идут мимо туннеля, поэтому настраивать маршруты по доменам на роутере ради банка не нужно. Подключить можно несколько своих устройств, одновременно не больше чем из двух сетей. Всё, что стоит за одним Keenetic, выходит в интернет с одного адреса и считается одной сетью.

Если на роутере уже настроен другой туннель, устройство с Karing оставьте в «Политике по умолчанию». Иначе получится туннель внутри туннеля, и причину сбоя искать будет сложнее. Что входит в подписку, описано на странице подписка для домашней сети, а общий разбор «роутер или приложение» есть в статье Подключение через роутер.

Личный кабинет

Частые вопросы