WireGuard или VLESS: что выбрать для роутера
В сравнениях протоколов обычно спорят о шифровании и процентах скорости. Для роутера это вторично: выбирать приходится из того, что уже есть в прошивке и что умеет выдать ваш сервер. Ниже три протокола глазами владельца роутера, подсказка по типичным ситуациям и то, чего смена протокола не исправит.
Сначала прошивка, потом протокол
Телефон поставит любое приложение, роутер так не умеет. У него есть раздел клиента туннеля с фиксированным списком: у одной модели там WireGuard, у другой только PPTP и L2TP, у третьей вообще пусто. Поэтому первый шаг простой: откройте веб-интерфейс, найдите этот раздел и выпишите, что в нём предлагают. Если раздела нет, посмотрите характеристики модели на сайте производителя, иногда клиент появляется после обновления прошивки.
Второй шаг касается другой стороны. Сервер или сервис отдаёт настройки в своём формате: файл с расширением .conf для WireGuard, файл профиля для TLS-туннеля, строку vless:// для VLESS. Подойдёт только тот протокол, который есть в обоих списках. Всё остальное, включая споры о том, какой из них современнее, начинает играть роль уже после этого совпадения.
Есть и третий фактор, который проверяется только на практике: как с выбранным протоколом обращается ваша сеть. По жалобам пользователей, у части провайдеров соединения WireGuard с иностранными серверами то поднимаются, то рвутся. Насколько это касается вашего подключения, зависит от провайдера и региона.
Три протокола с точки зрения роутера
WireGuard: короткий файл и мало нагрузки
WireGuard появился в 2015 году, а в 2020-м вошёл в ядро Linux, на котором работает большинство прошивок. Код у него небольшой, набор шифров один и не настраивается, ключи короткие. Настройка помещается в файл на десяток строк: ключи, адрес, сервер, порт и список сетей для туннеля. Его понимают Keenetic (отдельным компонентом), MikroTik начиная с RouterOS 7, OpenWrt и часть моделей TP-Link и ASUS.
Для роутера важнее всего нагрузка. В справке Keenetic сказано, что на том же железе WireGuard работает в несколько раз быстрее TLS-туннеля, потому что процессору меньше работы. Слабая сторона в другом: у протокола узнаваемое начало соединения, и как к нему относится конкретная сеть, решает оператор. Как читать файл .conf по строкам и разбирать сбои, рассказано в статье WireGuard на роутере.
TLS-туннель: есть почти везде, но тяжёлый
TLS-туннель вышел в 2001 году и за это время попал почти во все прошивки. Он построен на той же библиотеке TLS, что и защищённые сайты, и умеет работать поверх TCP на любом порту, включая 443. Файл профиля длиннее, чем у WireGuard: внутри сертификаты, ключи и строки с режимами. Клиент TLS-туннеля встречается почти везде, где вообще есть раздел туннелей: в ASUS, TP-Link Archer, Keenetic, MikroTik, а на старых моделях нередко только он и есть.
Цена совместимости в нагрузке. Шифрование для всей домашней сети считает процессор роутера, и TLS-туннель в справке Keenetic назван очень ресурсоёмким. На недорогой модели это заметно, когда в туннель идёт сразу несколько устройств. Если в прошивке есть и WireGuard, и TLS-туннель, а сервер выдаёт оба файла, для роутера обычно разумнее первый.
VLESS: гибкий, но только на сторонней прошивке
VLESS из проекта Xray устроен иначе. Сам по себе он только передаёт данные, а то, как соединение выглядит со стороны, задаёт обёртка, чаще всего Reality. Настройки приходят не файлом, а одной строкой vless://, что в ней записано, разобрано в статье VLESS и Reality простыми словами.
В штатных прошивках Keenetic, TP-Link, ASUS и Xiaomi клиента VLESS нет. Его ставят сами: на OpenWrt пакетами Xray или sing-box, на Keenetic через Entware из командной строки, подробности для Keenetic собраны в материале Туннель на роутере Keenetic. Производители такой способ не поддерживают, а клиенту нужны свободная флеш-память и оперативная память, которых у недорогих моделей бывает впритык. После обновления прошивки установку иногда приходится повторять.
Подсказка по ситуациям
- Новый Keenetic или MikroTik, сервер выдаёт файл .conf. Начните с WireGuard: настройка из файла, нагрузка на процессор небольшая.
- Роутер пяти-шести лет, в разделе туннелей есть только TLS-туннель, PPTP и L2TP. Из этого списка остаётся TLS-туннель. Отправляйте в туннель одно-два устройства, а не всю сеть, иначе процессор станет узким местом.
- Сервис выдаёт только ссылки vless://, а прошивка штатная. На роутере такое подключение не заработает без сторонних пакетов. Решите, готовы ли вы ставить Entware или OpenWrt, или включайте туннель на самих устройствах.
- WireGuard подключается, но через пару минут передача замирает. Проверьте время на роутере и рукопожатие по статье о WireGuard. Если всё в порядке, а сбой повторяется в той же сети, попробуйте у того же сервера TLS-туннеля, если он его выдаёт.
- Роутер слабый, а в туннель нужна вся квартира. Протокол здесь помогает меньше, чем модель: требования к процессору и памяти перечислены в статье какой роутер выбрать для туннеля.
- Свой сервер за границей ещё только в планах. Тогда протокол выбирают под роутер и ставят его на сервер сами, что это значит по времени, написано в статье Сервер для роутера.
Чего смена протокола не исправит
Адрес сервера остаётся прежним при любом протоколе. Если он недоступен из вашей сети или оператор на мобильном интернете пускает только разрешённые адреса, как в режиме списков разрешённых сервисов, переход с WireGuard на VLESS ничего не даст. Проверяется это на вашей SIM-карте и в вашем регионе.
Задержку и скорость в первую очередь задают сервер и маршрут до него: страна, загрузка, канал. Два подключения по одному протоколу к разным серверам ведут себя по-разному. Менять протокол имеет смысл, когда текущий не держит соединение в вашей сети. Медленный сервер так не ускорить.
И наконец, протокол не решает вопрос доверия. Тот, кто держит сервер, видит, куда вы обращаетесь, будь то WireGuard или VLESS.
Подписка Siberian V и роутер
Из трёх вариантов в подписке Siberian нет ни одного в виде, пригодном для прошивки: файлов .conf и профиль TLS-туннеля сервис не выдаёт, ссылок vless:// с Reality тоже. В личном кабинете две ссылки под два приложения. Karing, основной клиент, ведёт трафик так, что со стороны он похож на обращение к обычному HTTPS-сайту. INCY, запасной, если его блок есть в вашем кабинете, работает по другому протоколу. Если в вашей сети одно приложение не подключается, попробуйте второе.
Значит, по схеме выше это ветка «не совпало»: роутер остаётся как есть, а туннель включают в Karing на телефоне, компьютере или телевизоре на Android TV. Российские сайты при этом открываются напрямую. Подключить можно несколько своих устройств, одновременно не больше чем из двух сетей, причём весь дом за одним роутером считается одной сетью. Подробнее о составе подписки в статье что входит в подписку для роутера.
Частые вопросы
Что выбрать для роутера: WireGuard или TLS-туннель?
Если прошивка знает оба протокола и сервер выдаёт оба файла, для роутера обычно разумнее WireGuard: он меньше нагружает процессор. TLS-туннель остаётся вариантом для старых моделей, где других клиентов нет.
Можно ли настроить VLESS на роутере без сторонней прошивки?
Нет. В штатных прошивках Keenetic, TP-Link, ASUS и Xiaomi клиента VLESS нет. Его ставят на OpenWrt пакетами Xray или sing-box, на Keenetic через Entware, производители такой способ не поддерживают.
Почему WireGuard на роутере то работает, то нет?
Частые причины: неверное время на роутере, ошибка в файле .conf или поведение сети провайдера. Проверьте рукопожатие в статусе подключения. Если с настройками всё в порядке, а сбои повторяются в той же сети, попробуйте другой протокол того же сервера.
Станет ли интернет быстрее, если сменить протокол?
Не обязательно. Скорость и задержку в первую очередь задают сервер, его загрузка и маршрут до него. Смена протокола помогает, когда текущий не держит соединение в вашей сети.
Какой протокол нужен для подписки Siberian V на роутере?
Никакой: подписка Siberian не выдаёт файлов WireGuard и ссылок VLESS для прошивки. Туннель включают в приложениях Karing или INCY на телефоне, компьютере или телевизоре на Android TV.