Как подключить VPN на OpenWrt

Эта схема направляет IPv4-трафик всей домашней сети через VPN. Нужны поддерживаемая версия OpenWrt, веб-интерфейс LuCI для управления роутером и доступные для этой версии пакеты WireGuard.

Если на роутере уже настроены подключения к нескольким провайдерам или отдельные правила маршрутизации, проверьте, не конфликтует ли с ними схема из этой инструкции. Если сеть обслуживает другой человек, согласуйте изменения с ним.

Подготовьте роутер

Подготовьте роутер и сохраните резервную копию. Скачайте архив настроек пользователя из личного кабинета и извлеките из него файл .conf. Подключитесь к роутеру кабелем из домашней сети. Запишите текущие DNS, метрики маршрутов и правила выхода LAN в WAN.

Заранее решите, как будет обрабатываться IPv6. Настройка только IPv4 не направляет IPv6-трафик в туннель.

Настройте VPN: создайте интерфейс

1. Установите пакет luci-proto-wireguard и его зависимости из репозитория своей версии OpenWrt.
2. В LuCI создайте интерфейс alfavpn с протоколом WireGuard.
3. Импортируйте файл .conf, если ваша версия предлагает импорт. При ручном вводе перенесите PrivateKey и Address в настройки интерфейса.
4. Добавьте удалённый узел (peer) — VPN-сервер с параметрами PublicKey, Endpoint и AllowedIPs. Перенесите PresharedKey и PersistentKeepalive, если они заданы в файле.
5. Чтобы направить весь IPv4-трафик через VPN, проверьте наличие 0.0.0.0/0 в AllowedIPs и включите Route Allowed IPs.

Если в выданном файле нет параметров, необходимых для этой схемы, уточните содержимое выданных настроек у поддержки AlfaVPN. Настройку OpenWrt выполните самостоятельно по инструкции ниже и руководству проекта. Не заменяйте ключи или адреса значениями из примера.

Настройте маршрут и межсетевой экран

1. Задайте VPN-маршруту меньшую метрику, чем у подключения к провайдеру (WAN). Метрика определяет приоритет: чем меньше значение, тем выше приоритет маршрута. Убедитесь, что адрес самого VPN-сервера остаётся доступен через WAN.
2. Создайте зону vpn, включающую только интерфейс alfavpn. Укажите: входящий трафик — reject, исходящий — accept, пересылка — reject.
3. Включите для зоны IPv4 masquerading и MSS clamping.
4. Разрешите пересылку lan → vpn. Обратное разрешение для новых входящих соединений не требуется.

Если пересылка lan → wan разрешена, при отключении VPN устройства могут выйти в интернет напрямую через провайдера. Описанная схема не блокирует такое подключение. Для блокировки доступа без VPN нужны отдельные правила межсетевого экрана. Если сеть обслуживает другой человек, согласуйте эти правила с ним.

Настройте DNS и примените изменения

Сначала запишите прежние значения DNS, чтобы при необходимости их восстановить. Затем укажите в настройках интерфейса DNS-серверы из файла.

Если устройства обращаются к DNS-серверу на роутере, настройте пересылку запросов на серверы из файла. Исключите использование DNS-серверов провайдера для этого подключения.

Примените изменения через LuCI и подтвердите их, только если доступ к роутеру сохранился. Если связь пропала, дождитесь автоматической отмены неподтверждённых изменений.

Проверьте подключение

На устройстве в домашней сети выключите профиль в VPN-приложении, если он включён. Откройте страницу проверки IP-адреса. На роутере проверьте обмен данными с VPN-сервером в сведениях о peer. Затем сравните IP-адрес до и после включения VPN и убедитесь, что роутер остаётся доступен. Если обмен есть, но не удаётся определить IP-адреса сайтов по их именам, вернитесь к настройкам DNS.

Как отключить VPN

Отключите интерфейс alfavpn, восстановите прежние DNS и метрики WAN. Убедитесь, что пересылка lan → wan разрешена. На устройстве в домашней сети проверьте, открываются ли сайты.

Когда убедитесь, что обычное подключение работает, можно удалить интерфейс и правила, созданные для VPN. Остальные настройки оставьте без изменений. Если связь не восстановилась, воспользуйтесь инструкцией по проверке роутера.

Справка проекта: клиент WireGuard. Названия и расположение полей зависят от версии LuCI.