Keenetic 2 VPN: настройка двух подключений, маршрутизация и обход блокировок

Зачем нужны два VPN-подключения на роутере Keenetic

Один VPN-туннель на роутере — это уже удобно: все устройства дома защищены, не нужно настраивать каждое отдельно. Но в реальных условиях одного подключения часто не хватает. Например, основной сервер может быть заблокирован или перегружен, и тогда интернет пропадает целиком. Два VPN-подключения позволяют настроить резервный канал: если один туннель падает, трафик автоматически переключается на второй. Это особенно актуально в России, где блокировки VPN-протоколов становятся всё более изощрёнными.

Кроме того, два подключения можно использовать для разделения трафика: например, через один туннель гнать только зарубежные сайты, а через другой — рабочие ресурсы или онлайн-банки. Роутеры Keenetic поддерживают гибкую маршрутизацию, поэтому можно настроить правила для конкретных устройств, доменов или IP-подсетей. Это позволяет не жертвовать скоростью и стабильностью ради безопасности.

Наконец, два VPN-подключения полезны, если вы используете разные протоколы: например, WireGuard для скорости и VLESS для маскировки. Так вы получаете и быстрое соединение, и устойчивость к блокировкам. В этой статье мы разберём, как настроить два VPN на Keenetic, какие протоколы выбрать и как правильно организовать маршрутизацию.

Какие протоколы VPN поддерживает Keenetic

Роутеры Keenetic (и их аналоги Netcraze) поддерживают несколько протоколов VPN, каждый со своими особенностями. Вот основные:

• WireGuard — современный протокол с высокой скоростью и низкой задержкой. Однако его трафик легко распознаётся, и в некоторых сетях он может быть заблокирован. В KeeneticOS начиная с версии 5.1 поддерживается AmneziaWG — модификация WireGuard с обфускацией, которая маскирует трафик.
• OpenVPN — классический протокол, поддерживается на всех роутерах Keenetic. Он медленнее WireGuard, но более стабилен и сложнее для блокировки.
• SSTP — протокол на основе SSL/TLS, работает через HTTPS-порт 443, что делает его похожим на обычный веб-трафик. Однако он медленный и в последнее время также подвержен блокировкам.
• L2TP/IPsec — устаревший протокол, низкая скорость и слабая защита от блокировок.
• VLESS — протокол из семейства Xray, который маскируется под обычное HTTPS-соединение. Он не поддерживается нативно в KeeneticOS, но может быть установлен через среду Entware и XKeen или sing-box. VLESS обеспечивает отличную маскировку и стабильность.

Для двух VPN-подключений чаще всего выбирают комбинацию WireGuard/AmneziaWG и VLESS. Первый — для скорости, второй — для обхода блокировок. Также можно использовать два WireGuard-подключения к разным серверам для резервирования.

Подготовка роутера: обновление прошивки и установка компонентов

Перед настройкой VPN убедитесь, что прошивка KeeneticOS обновлена до актуальной версии. Для поддержки AmneziaWG 1.5/2.0 требуется версия 5.1 или новее. Если у вас более старая версия, обновите её через веб-интерфейс: Управление → Общие настройки → Обновление. Для некоторых моделей может потребоваться переключение на канал разработчика, но помните, что dev-сборки могут быть менее стабильными.

Затем установите компонент WireGuard VPN: Управление → Общие настройки → Изменить набор компонентов, найдите WireGuard VPN и установите его. После этого перезагрузите роутер.

Для VLESS потребуется установить среду Entware. Для этого нужен USB-накопитель (флешка от 4 ГБ), отформатированный в ext4. Вставьте флешку в роутер, затем в разделе Управление → Общие настройки → Изменить набор компонентов установите компонент «Среда пакетов Entware». После установки перезагрузите роутер.

Также рекомендуется сделать резервную копию настроек перед изменениями: Управление → Файлы — скачайте файлы firmware и startup-config. Это позволит откатиться в случае проблем.

Настройка первого VPN-подключения: WireGuard/AmneziaWG

Первый VPN-туннель на Keenetic обычно настраивается через WireGuard. Если ваш провайдер VPN предоставляет конфигурацию AmneziaWG (с параметрами Jc, Jmin, Jmax, S1, S2, H1-H4), то на прошивке 5.1 и новее роутер прочитает их автоматически. На более старых версиях (4.x, 5.0.x) параметры маскировки нужно вводить вручную через веб-консоль.

Шаги настройки:

1. Перейдите в Интернет → Другие подключения → WireGuard.
2. Нажмите «Добавить подключение» и введите название, например «VPN1».
3. Загрузите конфигурационный файл .conf, нажав «Загрузить из файла». Убедитесь, что файл имеет расширение .conf, а не .txt (некоторые браузеры добавляют .txt).
4. Если вы заполняете поля вручную, укажите приватный ключ, адрес, публичный ключ пира, endpoint и AllowedIPs (обычно 0.0.0.0/0).
5. Поставьте галочку «Использовать для выхода в интернет».
6. Включите подключение.

Если у вас прошивка до 5.1 и вы используете AmneziaWG, выполните команды в веб-консоли (замените dashboard на a в адресе, например http://192.168.1.1/a):

interface Wireguard0 wireguard asc

#

##

###

####
system configuration save

Значения возьмите из файла конфигурации. Имя интерфейса (Wireguard0) смотрите в карточке подключения.

Настройка второго VPN-подключения: VLESS через XKeen или sing-box

Второй туннель можно настроить на VLESS — протокол с отличной маскировкой. Для этого потребуется установить Entware (как описано выше) и выбрать один из двух способов: XKeen (автоматический) или sing-box (ручной).

Путь А: XKeen (рекомендуется для новичков)

1. Подключитесь к роутеру по SSH: ssh admin@192.168.1.1.
2. Установите XKeen по инструкции с официальной страницы проекта (одна команда).
3. В мастере настройки вставьте VLESS-ссылку из вашей подписки VPN-провайдера.
4. Выберите сервер с пометкой VLESS (не XHTTP, так как XHTTP поддерживается не всеми ядрами).
5. Настройте автозапуск — XKeen сделает это автоматически.

Путь Б: sing-box вручную

1. Подключитесь по SSH.
2. Установите sing-box через opkg (пакетный менеджер Entware).
3. Создайте конфигурационный файл с параметрами VLESS-сервера.
4. Настройте автозапуск через systemd или init.d.

После настройки VLESS-подключение будет работать как отдельный интерфейс, который можно использовать для маршрутизации. Обратите внимание: VLESS-туннель не отображается в стандартном списке подключений Keenetic, поэтому управление им осуществляется через конфигурационные файлы.

Маршрутизация трафика между двумя VPN

Когда у вас есть два VPN-подключения, важно правильно настроить маршрутизацию, чтобы трафик шёл через нужный туннель. В Keenetic это делается через раздел Сетевые правила → Маршрутизация.

Основные варианты:

• Весь трафик через один VPN, второй — резервный. В этом случае в Приоритетах подключений (Интернет → Приоритеты подключений) перетащите основное VPN-подключение наверх, а резервное — ниже. Если основное падает, трафик автоматически переключится на резервное.

• Разделение по устройствам. Создайте правило маршрутизации для конкретного устройства (по MAC-адресу) и укажите, через какой туннель направлять его трафик. Например, Smart TV — через VLESS, а компьютер — через WireGuard.

• Разделение по доменам. В разделе Сетевые правила → Интернет-фильтры можно добавить домены, которые должны идти через VPN. Например, все зарубежные сайты — через VLESS, а российские — напрямую.

• Разделение по IP-подсетям. Если у вас есть список IP-адресов, которые нужно направить через VPN, создайте статический маршрут с указанием нужного интерфейса.

Важно: при использовании нескольких VPN-подключений убедитесь, что их подсети не пересекаются. Например, если WireGuard использует 10.0.0.0/24, то VLESS должен использовать другую подсеть (например, 10.5.1.0/24). Иначе возникнут конфликты маршрутизации.

Настройка DNS и IPv6 для стабильной работы

Неправильная настройка DNS и IPv6 — частая причина проблем с VPN на Keenetic. Вот что нужно сделать:

DNS

1. Перейдите в Сетевые правила → Интернет-фильтры → Настройка DNS.
2. Добавьте публичные DNS-серверы: 8.8.8.8, 8.8.4.4, 1.1.1.1, 1.0.0.1, 9.9.9.9.
3. В настройках интернет-подключения (например, Кабель Ethernet или Mobile) включите опцию «Игнорировать DNSv4 интернет-провайдера», если хотите, чтобы все запросы шли через указанные DNS. Это опционально, но рекомендуется для обхода блокировок.

IPv6 Если ваш VPN-туннель работает по IPv4, отключите IPv6 в настройках интернет-подключения: Интернет → ваше подключение → IPv6 → Не используется. Иначе часть трафика (особенно YouTube) будет уходить мимо VPN, и сайты могут работать некорректно.

Эти настройки особенно важны при использовании двух VPN, так как каждый туннель может иметь свои DNS-серверы. Убедитесь, что DNS-запросы не утекают через прямое подключение.

Приоритеты подключений и автоматическое переключение

Чтобы два VPN-подключения работали как резервная пара, настройте приоритеты. В разделе Интернет → Приоритеты подключений вы увидите список всех доступных подключений: провайдер, WireGuard, VLESS (если он отображается). Перетащите основное VPN-подключение наверх, а резервное — сразу под ним. Провайдер должен быть в самом низу, если вы хотите, чтобы весь трафик шёл через VPN.

Если основное подключение падает, Keenetic автоматически переключится на следующее по приоритету. Это происходит в течение нескольких секунд, но для этого нужно, чтобы у подключений была включена проверка активности (PersistentKeepalive). Для WireGuard этот параметр задаётся в конфигурации (обычно 25 секунд). Для VLESS проверка активности настраивается в конфигурации sing-box или XKeen.

Также рекомендуется заранее добавить несколько VPN-подключений к разным серверам (например, в разных странах) и держать их в списке приоритетов. Тогда переключение будет мгновенным, а не потребует ручной настройки.

Типичные проблемы и их решение

При настройке двух VPN на Keenetic могут возникнуть следующие проблемы:

• Подключение создаётся, но не работает. Проверьте, что вы не нажимали «Генерация пары ключей» при импорте конфигурации — роутер создаст свои ключи, и сервер не узнает подключение. Также убедитесь, что файл имеет расширение .conf.
• Скорость низкая. Если оба VPN работают одновременно, они могут конкурировать за ресурсы роутера. Попробуйте использовать только один туннель для основного трафика, а второй — для резерва.
• Сайты не открываются. Проверьте DNS: если включена опция «Игнорировать DNSv4 интернет-провайдера», но DNS-серверы не заданы, роутер останется без DNS. Добавьте публичные DNS.
• YouTube не грузит видео. Это часто связано с IPv6. Отключите IPv6 в настройках интернет-подключения.
• VLESS не работает. Убедитесь, что вы выбрали сервер с пометкой VLESS, а не XHTTP. Также проверьте, что Entware установлен корректно и XKeen настроен на автозапуск.
• Конфликт подсетей. Если два VPN используют одинаковые подсети, измените подсеть одного из них в настройках сервера или в конфигурации.

Если проблема не решается, обратитесь к документации Keenetic или к сообществу Amnezia VPN — там часто публикуют решения для нестандартных случаев.

Практические сценарии использования двух VPN

Два VPN-подключения на Keenetic открывают множество возможностей. Вот несколько практических сценариев:

1. Резервирование для домашней сети. Основной VPN (например, WireGuard) используется для всего трафика. Второй VPN (VLESS) настроен как резервный. Если основной сервер блокируют, роутер автоматически переключается на VLESS, и интернет продолжает работать.

1. Разделение трафика по устройствам. Например, игровая консоль использует WireGuard для низкой задержки, а Smart TV — VLESS для обхода блокировок YouTube. Настройте правила маршрутизации по MAC-адресам.

1. Доступ к домашней сети извне. Если у вас есть VPN-сервер дома (например, на Keenetic), вы можете подключиться к нему через внешний VPS, используя два туннеля: один — от дома к VPS, другой — от клиента к VPS. Это позволяет обойти отсутствие белого IP-адреса.

1. Тестирование разных протоколов. Вы можете сравнить скорость и стабильность WireGuard и VLESS, переключая приоритеты, и выбрать оптимальный для вашего провайдера.

1. Обход блокировок для конкретных сервисов. Например, через VLESS направить только трафик к заблокированным сайтам, а остальной — напрямую. Это снижает нагрузку на VPN и увеличивает скорость.

Каждый сценарий требует индивидуальной настройки маршрутизации, но Keenetic предоставляет для этого все необходимые инструменты.

Вопросы и ответы