Keenetic Hopper KN-3811: настройка VPN через WireGuard и VLESS

Возможности Keenetic Hopper KN-3811 для VPN

Keenetic Hopper KN-3811 — это современный роутер с поддержкой Wi-Fi 6 и процессором на архитектуре aarch64. Благодаря этой архитектуре для него доступна установка среды Entware, что открывает возможности для настройки продвинутых VPN-протоколов, таких как VLESS. Встроенная прошивка KeeneticOS поддерживает популярные протоколы VPN «из коробки»: WireGuard, OpenVPN, SSTP, L2TP/IPsec. Это делает роутер универсальным решением для защиты домашней сети.

Важно отметить, что Hopper KN-3811 относится к моделям, для которых доступен архив Entware aarch64-installer.tar.gz. Это означает, что вы можете установить дополнительные пакеты и использовать Xray или sing-box для работы с VLESS. В отличие от более старых моделей, где требуются mipsel- или mips-архитектуры, здесь процесс установки будет проще и быстрее.

Роутер имеет USB-порт, что необходимо для установки Entware на внешний накопитель. Рекомендуется использовать флешку объемом от 4 ГБ, отформатированную в файловую систему EXT4. Это обеспечит стабильную работу пакетного менеджера OPKG и всех установленных компонентов.

Выбор протокола VPN: WireGuard или VLESS

Перед настройкой важно определиться с протоколом. WireGuard — это современный протокол с высокой скоростью и низкой нагрузкой на процессор. Он встроен в KeeneticOS и настраивается через веб-интерфейс без дополнительных компонентов. Однако его трафик легко распознается провайдерами, и в некоторых сетях (особенно в России) соединение может быть нестабильным.

VLESS — это протокол нового поколения, который маскирует трафик под обычное HTTPS-соединение. Благодаря технологии REALITY он практически неотличим от легитимного веб-трафика, что обеспечивает стабильность даже в условиях глубокой фильтрации. VLESS требует установки Entware и дополнительного ПО (Xray или sing-box), что усложняет настройку, но дает лучшую маскировку.

Практическая рекомендация: начните с WireGuard, так как он проще в настройке. Если соединение будет нестабильным или заблокированным, переходите на VLESS. Для большинства пользователей, которым нужна просто скорость, WireGuard будет достаточен. Для тех, кто сталкивается с блокировками, VLESS станет надежным решением.

Подготовка USB-накопителя для Entware

Для установки Entware на Keenetic Hopper KN-3811 необходимо подготовить USB-накопитель с файловой системой EXT4. Windows не поддерживает EXT4 по умолчанию, поэтому потребуется специальное ПО. Подойдут бесплатные программы, такие как Paragon Partition Manager Free или AOMEI Partition Assistant Standard Edition.

Процесс форматирования:

1. Подключите USB-накопитель к компьютеру.
2. Запустите программу для управления разделами.
3. Удалите все существующие разделы на накопителе.
4. Создайте новый раздел с файловой системой EXT4.
5. Примените изменения.

После форматирования вставьте накопитель в USB-порт роутера. В веб-интерфейсе KeeneticOS на странице «Приложения» в разделе «Диски и принтеры» накопитель должен отобразиться. Если он не виден, проверьте, установлены ли компоненты «Интерфейс USB» и «Файловая система Ext» в разделе «Общие настройки» → «Изменить набор компонентов».

Установка Entware на Keenetic Hopper KN-3811

После подготовки накопителя можно приступать к установке Entware. В веб-интерфейсе роутера перейдите в раздел «Общие настройки» → «Изменить набор компонентов» и установите следующие компоненты:

• Поддержка открытых пакетов (обязательный)
• Интерфейс USB
• Файловая система Ext
• Общий доступ к файлам и принтерам по SMB (по желанию)
• Прокси-сервер DNS-over-TLS и DNS-over-HTTPS (по желанию)
• Протокол IPv6 (если нужен)
• Модули ядра подсистемы Netfilter

После установки компонентов перезагрузите роутер. Затем перейдите на страницу OPKG (в веб-интерфейсе KeeneticOS 2.12+). В поле «Накопитель» выберите ваш диск с EXT4. В поле «Сценарий initrc» введите /opt/etc/init.d/rc.unslung. Сохраните настройки.

Теперь Entware установлен. Проверить его работу можно, подключившись к роутеру по SSH и выполнив команду opkg update. Если команда выполняется без ошибок, среда готова к установке дополнительных пакетов.

Настройка WireGuard на Keenetic Hopper KN-3811

WireGuard на Keenetic настраивается через веб-интерфейс. Сначала установите компонент WireGuard VPN: «Управление» → «Общие настройки» → «Изменить набор компонентов» → найдите WireGuard VPN и установите. После перезагрузки перейдите в раздел «Интернет» → «Другие подключения» → «WireGuard» и нажмите «Добавить подключение».

Затем импортируйте конфигурацию. Если у вас есть файл .conf от VPN-провайдера, нажмите «Загрузить из файла» и выберите файл. Важно, чтобы расширение было именно .conf, а не .txt — некоторые браузеры добавляют .txt автоматически. Роутер сам подставит ключи и адреса. Если файла нет, заполните поля вручную: приватный ключ, адрес, публичный ключ пира, адрес пира, разрешенные подсети (обычно 0.0.0.0/0) и проверка активности (25 секунд).

После создания подключения настройте маршрутизацию. В разделе «Интернет» → «Приоритеты подключений» перетащите WireGuard-подключение наверх, чтобы оно использовалось для выхода в интернет. Убедитесь, что галочка «Использовать для выхода в интернет» установлена. Затем активируйте подключение и проверьте IP-адрес на устройствах — он должен измениться.

Настройка VLESS через XKeen

VLESS требует установки Xray или sing-box. Самый простой способ — использовать XKeen, установщик, который автоматически разворачивает Xray на Keenetic. Для начала подключитесь к роутеру по SSH: ssh admin@192.168.1.1. Затем выполните команды:

opkg update
opkg install curl
curl -sOfL https://raw.githubusercontent.com/RockBlack-VPN/XKeen/main/install.sh
chmod +x install.sh
./install.sh

Во время установки выберите опцию установки отсутствующих GeoSite и включите автоматическое обновление.

После установки XKeen вам нужно вставить VLESS-ссылку из подписки VPN-провайдера. Ссылка имеет формат vless://.... Вставьте ее в мастер настройки XKeen. Выберите сервер с пометкой VLESS (не XHTTP, так как XHTTP поддерживается не всеми ядрами). XKeen сгенерирует конфигурационные файлы для Xray.

Управление XKeen осуществляется командами:

• xkeen -start — запуск
• xkeen -stop — остановка
• xkeen -restart — перезапуск
• xkeen -status — проверка статуса
• xkeen -ap 443,80 — добавить порты для работы прокси

Рекомендуется использовать порт 443 для VLESS, так как он маскируется под HTTPS.

Ручная настройка sing-box для VLESS

Если вы предпочитаете полный контроль, можно настроить sing-box вручную. Этот способ требует больше шагов, но позволяет точно настроить конфигурацию. Сначала установите sing-box через Entware: opkg install sing-box. Затем создайте конфигурационный файл в /opt/etc/sing-box/config.json.

Пример конфигурации для VLESS с REALITY:

{
  "log": { "level": "warning" },
  "inbounds": [
    {
      "port": 443,
      "protocol": "vless",
      "settings": {
        "clients": [
          { "id": "ваш-uuid", "flow": "xtls-rprx-vision" }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "dest": "example.com:443",
          "serverNames": ["example.com"],
          "privateKey": "ваш-приватный-ключ",
          "shortIds": ["0a381e1fa219"]
        }
      }
    }
  ],
  "outbounds": [
    { "protocol": "freedom", "tag": "direct" }
  ]
}

Замените UUID, приватный ключ и домен на свои значения. После сохранения файла запустите sing-box: systemctl restart sing-box (или используйте команды XKeen, если он установлен). Проверьте статус: systemctl status sing-box.

Ручная настройка требует понимания структуры конфигурации, но дает гибкость. Если вы не уверены в своих действиях, лучше использовать XKeen.

Выборочная маршрутизация трафика

VPN на роутере можно настроить так, чтобы через туннель шли только определенные устройства или сайты. Это полезно, если вы хотите защитить только часть трафика или обойти блокировки для конкретных ресурсов.

Для маршрутизации по устройствам в KeeneticOS используйте раздел «Сетевые правила» → «Маршрутизация». Создайте правило, указав IP-адрес устройства и выбрав VPN-подключение в качестве шлюза. Например, можно направить трафик Smart TV через WireGuard, а остальные устройства оставить на прямом подключении.

Для маршрутизации по сайтам используйте список доменов. В разделе «Сетевые правила» → «Интернет-фильтры» можно создать правило, которое отправляет трафик к определенным доменам через VPN. Это удобно для обхода блокировок YouTube или других сервисов, не затрагивая остальной трафик.

Важно помнить, что при использовании VLESS маршрутизация настраивается в конфигурационном файле Xray или sing-box. В XKeen есть встроенные инструменты для выборочной маршрутизации, но они требуют редактирования файлов в /opt/etc/xray/configs/.

Решение типичных проблем

При настройке VPN на Keenetic Hopper KN-3811 могут возникнуть следующие проблемы:

1. WireGuard не подключается. Проверьте, что вы не нажимали «Генерация пары ключей» — это создает новые ключи, которые не совпадают с ключами сервера. Убедитесь, что файл конфигурации имеет расширение .conf. Также проверьте, что в настройках подключения указана «Проверка активности» (25 секунд) — без нее туннель может разрываться.

1. VLESS не работает. Убедитесь, что вы выбрали сервер с протоколом VLESS, а не XHTTP. Проверьте, что порт 443 не занят другими сервисами. Если используете XKeen, выполните xkeen -status для диагностики.

1. Скорость интернета упала. VPN-туннель всегда добавляет небольшую задержку. Если скорость сильно упала, попробуйте использовать WireGuard вместо VLESS — он быстрее. Также проверьте, что сервер VPN находится близко к вашему региону.

1. Сайты не открываются. Проверьте настройки DNS. В разделе «Сетевые правила» → «Интернет-фильтры» убедитесь, что опция «Игнорировать DNSv4 интернет-провайдера» не включена без указания своих DNS-серверов. Рекомендуется задать 8.8.8.8 и 1.1.1.1.

1. YouTube не грузится. Отключите IPv6 в подключении провайдера, так как туннель работает по IPv4, и запросы IPv6 уходят мимо VPN.

Производительность и безопасность

Keenetic Hopper KN-3811 имеет процессор с архитектурой aarch64, что обеспечивает высокую производительность при обработке VPN-трафика. WireGuard работает на скорости, близкой к максимальной скорости интернет-канала, благодаря эффективной криптографии. VLESS также показывает хорошую скорость, но может быть немного медленнее из-за дополнительной маскировки.

Для безопасности важно регулярно обновлять прошивку роутера и компоненты Entware. Используйте команды opkg update и opkg upgrade для обновления пакетов. XKeen также имеет команды для обновления: xkeen -ux (обновление Xray) и xkeen -uk (обновление XKeen).

Рекомендуется использовать сложные пароли для доступа к роутеру и SSH. Отключите доступ к веб-интерфейсу из внешней сети, если он не нужен. Включите брандмауэр KeeneticOS и настройте правила для ограничения доступа к VPN-портам.

Также стоит учитывать, что VPN на роутере защищает все устройства в сети, включая IoT-устройства, которые часто не имеют собственных средств защиты. Это одно из главных преимуществ настройки VPN на роутере.

Вопросы и ответы