VLESS на роутере Keenetic: полная настройка через Entware и XKeen

Зачем нужен VLESS на роутере Keenetic

Установка VLESS на роутер Keenetic позволяет направить весь трафик домашней сети через защищённый туннель без установки приложений на каждое устройство. Это особенно удобно для техники, которая не поддерживает VPN-клиенты: Smart TV, игровые консоли, IP-камеры и умные розетки. Один раз настроив роутер, вы получаете постоянную защиту для всех гаджетов, подключённых к Wi-Fi или кабелю.

VLESS — это современный протокол, разработанный проектом XTLS. Его главное преимущество — маскировка трафика: соединение выглядит как обычное HTTPS-обращение к сайту, что затрудняет его обнаружение и блокировку. В отличие от классических протоколов вроде OpenVPN или WireGuard, VLESS с технологией REALITY практически неотличим от легитимного веб-трафика, поэтому он стабильно работает даже в сетях с агрессивной фильтрацией.

Роутер Keenetic выступает в роли клиента: он подключается к вашему серверу (VPS) и раздаёт защищённый канал на всю локальную сеть. Это даёт полный контроль над маршрутизацией: можно направить в туннель только нужные сайты или устройства, оставив остальной трафик напрямую. Такой подход экономит трафик и снижает задержки, если VPN-сервер находится далеко.

Требования к роутеру и подготовка оборудования

Не все модели Keenetic поддерживают установку VLESS. Основное требование — наличие USB-порта и поддержка среды пакетов Entware. Entware — это менеджер пакетов, который превращает роутер в мини-компьютер, позволяя устанавливать дополнительное программное обеспечение, включая Xray — движок, реализующий VLESS.

Список совместимых моделей включает:

• Архитектура mipsel: Keenetic 4G (KN-1212), Omni (KN-1410), Extra (KN-1710/1711/1713), Giga (KN-1010/1011), Ultra (KN-1810), Viva (KN-1910/1912/1913), Giant (KN-2610), Hero 4G (KN-2310/2311), Hopper (KN-3810), а также модели Zyxel Keenetic II/III, Extra II, Giga II/III, Omni II, Viva, Ultra II.
• Архитектура mips: Ultra SE (KN-2510), Giga SE (KN-2410), DSL (KN-2010), Duo (KN-2110), Hopper DSL (KN-3610), Zyxel Keenetic DSL, LTE, VOX.
• Архитектура aarch64: Peak (KN-2710), Ultra (KN-1811), Giga (KN-1012), Hopper (KN-3811), Hopper SE (KN-3812).

Если вашей модели нет в списке, установка Entware невозможна, и VLESS на роутере не заработает. В этом случае можно рассмотреть использование отдельного устройства, например Raspberry Pi, в качестве VPN-шлюза.

Для установки Entware потребуется USB-накопитель объёмом не менее 4 ГБ, отформатированный в файловую систему EXT4. Windows не поддерживает EXT4 по умолчанию, поэтому для форматирования используйте специальные программы, например Paragon Partition Manager Free или AOMEI Partition Assistant Standard Edition. После форматирования накопитель подключается к USB-порту роутера.

Установка Entware на Keenetic

Перед установкой Entware необходимо включить в веб-интерфейсе роутера несколько компонентов. Зайдите в раздел «Управление» → «Общие настройки» → «Изменить набор компонентов» и отметьте:

• Поддержка открытых пакетов — обязательный компонент для работы Entware.
• Интерфейс USB — для работы с накопителем.
• Файловая система Ext — для чтения EXT4.
• Общий доступ к файлам и принтерам по SMB — опционально, но полезно.
• Прокси-сервер DNS-over-TLS и DNS-over-HTTPS — рекомендуется для защиты DNS-запросов.
• Модули ядра подсистемы Netfilter — необходимы для маршрутизации.

После установки компонентов перезагрузите роутер. Затем подключите USB-накопитель и убедитесь, что он отображается в разделе «Приложения» → «Диски и принтеры».

Далее перейдите на страницу OPKG (в KeeneticOS 2.12+ она доступна в веб-интерфейсе). В поле «Накопитель» выберите ваш диск с EXT4, в поле «Сценарий initrc» укажите /opt/etc/init.d/rc.unslung и сохраните настройки. Роутер автоматически установит базовые пакеты Entware.

После этого подключитесь к роутеру по SSH (порт 22 или 222, если установлен SSH-сервер) и выполните обновление пакетов:

opkg update
opkg upgrade

Теперь среда Entware готова к установке Xray.

Установка XKeen и Xray

XKeen — это установщик и менеджер прокси-клиента Xray, разработанный специально для Keenetic. Он автоматизирует установку Xray, настройку конфигурационных файлов и управление службой. Это самый простой способ запустить VLESS на роутере.

Для установки XKeen выполните в SSH-терминале:

opkg install curl
curl -sOfL https://raw.githubusercontent.com/RockBlack-VPN/XKeen/main/install.sh
chmod +x install.sh
./install.sh

Во время установки скрипт спросит, нужно ли установить недостающие GeoSite-файлы (базы данных для гео-маршрутизации) и включить автоматическое обновление. Рекомендуется согласиться, так как это упростит дальнейшую настройку.

После завершения установки XKeen будет доступен набор команд для управления:

• xkeen -start — запуск прокси-клиента.
• xkeen -stop — остановка.
• xkeen -restart — перезапуск.
• xkeen -status — проверка статуса.
• xkeen -ux — обновление Xray.
• xkeen -uk — обновление XKeen.
• xkeen -ugs — обновление GeoSite.
• xkeen -ap 443,80 — добавить порты для работы прокси-клиента.
• xkeen -dp 443 — удалить порт.

Xray автоматически запускается при загрузке роутера, поэтому после настройки он будет работать постоянно.

Настройка VLESS-подключения через XKeen

Для настройки VLESS вам понадобится ссылка подключения вида vless://..., которую вы получаете от вашего VPN-провайдера или создаёте самостоятельно на своём VPS-сервере. Если вы используете платный сервис, ссылка обычно доступна в личном кабинете. Если настраиваете собственный сервер, ссылку генерирует панель управления, например 3X-UI.

XKeen включает в себя генератор конфигурации, который автоматически создаёт файл 04_outbounds.json на основе вашей ссылки. Для этого:

1. Скопируйте ссылку vless://... целиком.
2. Запустите генератор XKeen (обычно вызывается командой xkeen -c или через меню установщика).
3. Вставьте ссылку и следуйте подсказкам.
4. Сгенерированный файл будет сохранён в /opt/etc/xray/configs/04_outbounds.json.

Если вы предпочитаете ручную настройку, отредактируйте файл 04_outbounds.json вручную, указав адрес сервера, порт, UUID, публичный ключ REALITY и другие параметры. Пример конфигурации для VLESS с REALITY:

{
  "outbounds": [
    {
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "ваш-сервер.com",
            "port": 443,
            "users": [
              {
                "id": "ваш-uuid",
                "flow": "xtls-rprx-vision",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "serverName": "example.com",
          "fingerprint": "chrome",
          "publicKey": "ваш-публичный-ключ",
          "shortId": "ваш-short-id"
        }
      }
    }
  ]
}

После сохранения конфигурации перезапустите Xray командой xkeen -restart и проверьте статус xkeen -status.

Маршрутизация трафика: выбираем, что идёт через VPN

Одно из главных преимуществ VLESS на роутере — гибкая маршрутизация. Вы можете направить в туннель только определённые устройства или сайты, оставив остальной трафик напрямую. Это позволяет не терять скорость на ресурсах, которые и так доступны, и экономить трафик, если у вас лимитированный тариф.

Xray использует файл 05_routing.json для правил маршрутизации. По умолчанию XKeen настраивает маршрутизацию так, что весь трафик идёт через VPN, кроме локальных подсетей. Вы можете изменить это поведение, отредактировав файл.

Пример правила, которое направляет в туннель только трафик с определённого устройства (по IP-адресу):

{
  "routing": {
    "rules": [
      {
        "type": "field",
        "source": ["192.168.1.100"],
        "outboundTag": "proxy"
      },
      {
        "type": "field",
        "outboundTag": "direct"
      }
    ]
  }
}

Аналогично можно настроить маршрутизацию по доменам, используя поле domain. Например, чтобы направить через VPN только YouTube и Netflix:

{
  "type": "field",
  "domain": ["youtube.com", "netflix.com"],
  "outboundTag": "proxy"
}

Для применения изменений перезапустите Xray. Если вы не уверены в своих действиях, оставьте маршрутизацию по умолчанию — она обеспечивает полную защиту всего трафика.

Проверка работы и типичные ошибки

После настройки VLESS важно убедиться, что туннель работает корректно. Самый простой способ — зайти на любой устройстве в сети на сайт, показывающий ваш IP-адрес, например 2ip.io. Если отображается IP-адрес вашего VPN-сервера, значит, всё работает.

Обратите внимание: российские сайты могут открываться напрямую, даже если VPN включён, из-за настроек маршрутизации. Это нормально, если вы не настроили правило «весь трафик через VPN».

Типичные проблемы и их решения:

• Туннель не поднимается. В 90% случаев причина — опечатка в конфигурации. Проверьте UUID, адрес сервера, порт и ключи посимвольно.
• Соединение устанавливается, но через несколько минут пропадает. Это может быть связано с закрытым портом на сервере или неправильными параметрами REALITY. Убедитесь, что порт 443 открыт в брандмауэре сервера.
• Скорость ниже ожидаемой. Проверьте задержку до сервера (ping). Если сервер находится далеко, скорость будет ниже. Выберите сервер ближе к вашему региону.
• Xray не запускается после перезагрузки роутера. Убедитесь, что Entware установлен на накопитель, который монтируется автоматически. Проверьте, что в настройках OPKG указан правильный сценарий initrc.

Если ничего не помогает, посмотрите логи Xray: xkeen -log или tail -f /opt/var/log/xray.log.

Сравнение VLESS на роутере с другими способами

VLESS на роутере — не единственный способ защитить домашнюю сеть. Сравним его с альтернативами:

| Параметр | VLESS на Keenetic | Клиент на каждом устройстве | Платный VPN-сервис | | --- | --- | --- | --- | | Охват устройств | Вся сеть | Только устройства с клиентом | Зависит от тарифа | | Smart TV и приставки | Да, автоматически | Часто нет | Редко | | Маскировка трафика | Сильная (REALITY) | Сильная (REALITY) | Зависит от сервиса | | Контроль над сервером | Полный | Полный | Нет | | Порог входа | Средний (нужен VPS и SSH) | Средний на каждом устройстве | Низкий |

Главное преимущество VLESS на роутере — один туннель для всех устройств и полный контроль. Недостаток — необходимость иметь собственный VPS и выполнить первоначальную настройку. Платный сервис проще, но вы не контролируете сервер и делите канал с другими пользователями, что может снижать скорость.

Если у вас уже есть VPS, VLESS на Keenetic — оптимальный выбор по соотношению контроля и удобства.

Создание собственного VLESS-сервера на VPS

Если вы хотите полностью контролировать свой VPN, можно развернуть VLESS-сервер на арендованном VPS. Для этого потребуется:

1. Арендовать VPS у хостинг-провайдера (рекомендуется 1 ядро и 2 ГБ RAM).
2. Установить панель управления, например 3X-UI, одной командой через SSH.
3. В панели создать новое подключение с протоколом VLESS, портом 443 и технологией REALITY.
4. Скопировать сгенерированную ссылку vless://....

Панель 3X-UI предоставляет удобный веб-интерфейс для управления пользователями, ключами и статистикой. Она автоматически генерирует UUID, ключи REALITY и shortId.

Важно открыть порт 443 в брандмауэре сервера, иначе подключение не установится. Также выберите регион сервера с умом: слишком далёкий сервер добавит задержку и снизит скорость.

После создания сервера вы можете использовать полученную ссылку для настройки Keenetic через XKeen, как описано выше.

Безопасность и дополнительные рекомендации

VLESS с REALITY обеспечивает высокий уровень маскировки, но для полной безопасности рекомендуется также:

• Использовать DNS-over-HTTPS или DNS-over-TLS на роутере, чтобы DNS-запросы не проходили через провайдера в открытом виде.
• Отключить IPv6 на подключении провайдера, если ваш VPN-туннель работает только по IPv4. Иначе часть трафика может уходить мимо VPN.
• Регулярно обновлять Xray и XKeen командой xkeen -ux и xkeen -uk, чтобы получать исправления уязвимостей.
• Создать резервную копию конфигурации роутера перед внесением изменений, чтобы можно было быстро восстановить рабочее состояние.

Также рекомендуется настроить несколько серверов (например, в разных странах) и переключаться между ними при необходимости. XKeen позволяет хранить несколько конфигураций, но переключение требует ручного вмешательства. Вы можете автоматизировать это с помощью скриптов, но для большинства пользователей достаточно одного надёжного сервера.

Помните, что использование VPN не гарантирует полную анонимность. Для максимальной конфиденциальности комбинируйте VPN с другими инструментами, такими как Tor, и соблюдайте цифровую гигиену.

Вопросы и ответы