Amnezia маршрутизация: настройка выборочного туннелирования на роутерах Keenetic и серверах

Что такое AmneziaWG и зачем нужна маршрутизация

AmneziaWG — это модифицированная версия WireGuard, которая добавляет к стандартному протоколу механизмы маскировки трафика. В отличие от классического WireGuard, чей «почерк» легко распознаётся системами глубокого анализа пакетов (DPI), AmneziaWG добавляет в пакеты «мусорные» байты или имитирует HTTPS-сессии, что делает соединение неотличимым от обычного зашифрованного веб-трафика. Это особенно актуально в условиях, когда провайдеры активно блокируют VPN-протоколы по сигнатурам.

Однако сам по себе туннель — это только половина дела. Если направить через VPN абсолютно весь трафик, вы столкнётесь с рядом проблем: замедление доступа к локальным ресурсам, невозможность использовать государственные сервисы, которые блокируют зарубежные IP, и лишняя нагрузка на канал. Поэтому ключевой навык — настройка маршрутизации, которая позволяет отправлять в туннель только те домены, IP-адреса или устройства, которые действительно нуждаются в обходе блокировок, оставляя остальной трафик напрямую.

В этой статье мы рассмотрим два основных сценария: маршрутизацию на роутерах Keenetic (с использованием встроенных механизмов PBR и статических маршрутов) и настройку на Linux-серверах с помощью таблиц маршрутизации и правил ip rule. Также разберём типичные проблемы, такие как неработающий Netflix при выборочной маршрутизации, и способы их диагностики.

Подготовка роутера Keenetic к работе с AmneziaWG

Прежде чем настраивать маршрутизацию, необходимо убедиться, что роутер готов к работе с AmneziaWG. Для этого потребуется прошивка KeeneticOS версии 3.7 или выше, а также установленный системный компонент WireGuard. В более новых версиях (4.x и свежих 3.x) поддержка AmneziaWG встроена, но компонент всё равно нужно активировать.

Процесс установки компонента выглядит так:

1. Зайдите в веб-интерфейс роутера (обычно по адресу 192.168.1.1).
2. Перейдите в раздел «Управление» → «Параметры системы».
3. В блоке «Компоненты системы» нажмите «Изменить набор компонентов».
4. В поиске введите WireGuard и поставьте галочку напротив «WireGuard VPN».
5. Нажмите «Обновить» и дождитесь перезагрузки роутера.

После перезагрузки можно приступать к импорту конфигурации. Важно: не пытайтесь создавать конфигурационный файл вручную — это частая ошибка новичков. Лучше сгенерировать его в официальном приложении Amnezia VPN, выбрав протокол AmneziaWG и экспортировав файл в формате «для роутера» (обычно .conf). Внутри файла содержатся приватный ключ, публичный ключ сервера, Endpoint и параметры маскировки (Jc, Jmin, Jmax и другие).

Обратите внимание: приватный ключ — это секретная информация. Никогда не передавайте его третьим лицам, иначе любой сможет подключиться к вашему туннелю.

Импорт конфигурации и запуск туннеля

Когда конфигурационный файл готов, его нужно импортировать в роутер. В KeeneticOS это делается через раздел «Интернет» → «Другие подключения». Найдите блок WireGuard и нажмите кнопку «Загрузить из файла». Выберите ваш .conf-файл — роутер автоматически создаст новый интерфейс, например, AmneziaWG, и заполнит все необходимые поля: приватный ключ, порт прослушивания и настройки пира.

После импорта включите соединение переключателем. В разделе «Пиры» вы должны увидеть статус Handshake. Зелёный индикатор означает, что соединение установлено и роутер с сервером обменялись ключами. Если индикатор серый или отсутствует, проверьте:

• Не блокирует ли провайдер UDP-протокол (редко, но бывает).
• Правильно ли указан Endpoint (IP-адрес и порт сервера).
• Совпадают ли ключи в конфигурации.

Важно понимать: даже если туннель поднят, это не значит, что интернет-трафик автоматически пойдёт через него. По умолчанию Keenetic не заворачивает весь трафик в новый туннель, чтобы не потерять доступ к локальным ресурсам и не просадить скорость. Поэтому следующим шагом будет настройка маршрутизации.

Выборочная маршрутизация через приоритеты подключений (PBR)

Самый простой и надёжный способ направить трафик в туннель на Keenetic — использовать механизм «Приоритеты подключений» (Policy-Based Routing, PBR). Он позволяет привязать конкретные устройства к определённому подключению.

Настройка выглядит так:

1. Перейдите в раздел «Интернет» → «Приоритеты подключений».
2. Нажмите «Добавить политику» и назовите её, например, VPN_Only.
3. В правой колонке отметьте галочкой только ваше подключение AmneziaWG, снимите галочку с основного провайдера.
4. Сохраните политику.

Теперь перейдите в «Мои сети и Wi-Fi» → «Список устройств». Выберите устройство (например, Smart TV или планшет), которое должно ходить в интернет только через VPN. В настройках устройства найдите пункт «Подключение к Интернету» и смените значение «По умолчанию» на созданную политику VPN_Only.

Этот метод идеален, когда нужно направить в туннель весь трафик конкретного устройства — например, телевизора для стриминга или игровой приставки. Он не требует тонкой настройки маршрутов и работает на всех моделях Keenetic, включая Giga и Ultra.

Маршрутизация по доменам и IP-адресам

Если вы хотите пускать через VPN только определённые сайты (например, YouTube), а остальной трафик устройства оставить напрямую, используйте маршрутизацию по доменам или IP-адресам. В KeeneticOS это реализовано через раздел «Сетевые правила» → «Маршрутизация».

Здесь можно добавить статические маршруты для конкретных IP-адресов или подсетей. Однако у этого подхода есть серьёзный недостаток: многие сервисы (тот же YouTube) используют сотни доменов и динамические IP-адреса, которые постоянно меняются. Вбивать их вручную — неблагодарное занятие.

Для решения этой проблемы существуют готовые списки доменов сообщества, которые можно загрузить в роутер. Например, списки с сайта RockBlock или аналогичных ресурсов. Они содержат тысячи записей для популярных сервисов и регулярно обновляются. Однако, как показывает практика, такие списки не всегда корректны для конкретных сервисов — например, Netflix может не работать, если в списке не хватает нужных подсетей или они устарели.

Более продвинутый вариант — установка пакета domain-mapper через Entware (OPKG). Этот инструмент позволяет маршрутизировать трафик по доменным именам в реальном времени, автоматически отслеживая изменения IP-адресов. Однако для его установки требуется роутер с USB-портом, так как Entware устанавливается на флешку. На моделях без USB (например, Keenetic Sprinter) это невозможно.

Типичные проблемы: Netflix, DNS-утечки и MTU

Одна из самых частых проблем при выборочной маршрутизации — сервис не работает, хотя маршруты добавлены. Классический пример — Netflix. Пользователи жалуются, что при маршрутизации по спискам доменов Netflix не открывается, хотя весь остальной трафик через VPN ходит нормально. Причина обычно в том, что Netflix использует множество IP-адресов, которые не попадают в загруженные списки, или списки устарели.

Что делать в такой ситуации?

• Проверьте, уходит ли трафик в VPN: выполните traceroute к любому адресу из загруженных маршрутов. Если трафик идёт через туннель, значит, проблема в неполноте списка.
• Попробуйте использовать более свежие списки или обновить их.
• Если ничего не помогает, рассмотрите вариант установки domain-mapper или перехода на полный туннель для этого устройства.

Ещё одна распространённая проблема — DNS-утечки. Если в настройках VPN-интерфейса не стоит галочка «Использовать для DNS», запросы будут уходить провайдеру, и он увидит, какие сайты вы посещаете. Убедитесь, что эта опция включена.

Также обратите внимание на MTU (Maximum Transmission Unit). Если сайты открываются частично или видео не грузится, возможно, пакеты слишком большие и фрагментируются. Попробуйте уменьшить MTU с 1420 до 1280 — это «золотой стандарт» для зашифрованных каналов.

Маршрутизация AmneziaWG на Linux-серверах: таблицы и ip rule

Если вы используете собственный VPN-сервер на Linux, рано или поздно столкнётесь с задачей организации сложной маршрутизации. Например, когда нужно сделать цепочку из двух VPN-серверов (double VPN) или направить трафик от одного туннеля в другой, не затрагивая остальной трафик сервера.

Рассмотрим типичный сценарий: клиент (10.7.7.2) подключается к серверу А через AmneziaWG (интерфейс awg0), а сервер А должен перенаправлять трафик клиента через второй туннель awg1 на сервер Б, который уже выходит в интернет. При этом сервер А продолжает обслуживать другие задачи.

Простое добавление маршрута по умолчанию не подойдёт — оно сломает доступ к серверу по SSH и нарушит работу других сервисов. Правильный подход — использовать policy-based routing с несколькими таблицами маршрутизации.

Пример настройки:

ip route add default dev awg1 via 10.9.9.5 table 100
ip route add default dev eth0 via 150.200.100.100 table 101
ip rule add src 10.7.7.0/24 lookup 100
ip rule add lookup 101

Здесь мы создаём две таблицы: таблица 100 содержит маршрут через awg1, таблица 101 — через основной шлюз. Правило ip rule направляет трафик с адресом источника 10.7.7.0/24 в таблицу 100, а весь остальной трафик — в таблицу 101. Это позволяет изолировать VPN-трафик от остального.

Важно: перед изменением маршрутов добавьте статические маршруты до IP-адресов, с которых вы подключаетесь по SSH, и до IP-адресов других VPN-серверов. Иначе вы можете потерять доступ к серверу. Если сервер — VPS, у вас всегда есть консоль в панели управления, но на bare-metal это может стать проблемой.

Диагностика и отладка маршрутизации

Когда маршрутизация настроена, но что-то работает не так, важно уметь диагностировать проблему. Вот несколько инструментов и методов.

Проверка статуса туннеля

На роутере Keenetic можно использовать команду show interface WireGuard0 в CLI. Если счётчики rx и tx растут, пакеты ходят. Если растут только tx (отправка), а rx (приём) стоит на месте — ответ от сервера не приходит.

Traceroute

Выполните traceroute к проблемному адресу. Если трафик уходит в VPN, вы увидите IP-адреса VPN-сервера в цепочке. Если нет — маршрут не работает.

Wireshark

Для глубокого анализа можно использовать Wireshark на клиенте или сервере. Он покажет, куда на самом деле идут запросы и какие пакеты теряются.

Проверка DNS

Убедитесь, что DNS-запросы не утекают. Можно использовать сайты типа dnsleaktest.com, чтобы проверить, какие DNS-серверы видны извне.

Логи

На Linux-серверах смотрите логи systemd и dmesg. На Keenetic — системный журнал в веб-интерфейсе.

Если проблема в неполноте списков маршрутов, попробуйте обновить их или перейти на более гибкое решение, например, domain-mapper.

Альтернативы и ограничения

AmneziaWG — не единственный протокол, который можно использовать для обхода блокировок. Если провайдер режет вообще весь UDP-трафик, может помочь OpenVPN, работающий по TCP. Однако он медленнее и создаёт большую нагрузку на процессор роутера. На бюджетных моделях это может привести к заметному падению скорости.

Также стоит учитывать, что не все роутеры Keenetic поддерживают установку дополнительных пакетов через Entware. Модели без USB-порта (например, Sprinter) лишены этой возможности, поэтому для них доступны только статические маршруты и PBR. В версии KeeneticOS 5.0 обещают встроенную маршрутизацию по доменам на всех моделях, но пока это не реализовано.

Ещё одно ограничение — производительность. AmneziaWG, как и WireGuard, достаточно лёгкий, но на слабых роутерах шифрование может замедлять соединение. На моделях с аппаратным ускорением (Giga, Ultra) это не проблема, но на бюджетных устройствах стоит проверить реальную скорость.

Наконец, помните о безопасности: даже с VPN ваш трафик виден серверу, к которому вы подключаетесь. Если вы используете бесплатные VPN-сервисы, они могут логировать ваши действия. Для максимальной конфиденциальности лучше поднимать собственный сервер.

Вопросы и ответы