AmneziaWG на Keenetic и Netcraze: подключение роутера к собственному VPS

MAATRIX · Обновлено 24 октября 2026

В этой инструкции роутер Keenetic или Netcraze подключается к AmneziaWG на вашем VPS, а через туннель сначала идёт трафик только одного тестового компьютера. Остальная сеть переходит на новый маршрут после проверки внешнего адреса, DNS, IPv6 и поведения при обрыве.

Чаще всего такая настройка не работает из‑за несовпадения версий. Если в панели роутера есть WireGuard, это не значит, что он примет любой профиль AmneziaWG. Поэтому начнём с проверки модели и прошивки, а к серверу перейдём после этого.

Разберитесь, что именно будет установлено

AmneziaVPN — это приложение. С его помощью можно развернуть VPN на собственном сервере, управлять им и выдавать подключения. AmneziaWG — один из протоколов, которые это приложение поддерживает. Он основан на WireGuard и меняет внешние признаки трафика. Сервер вы устанавливаете через приложение, а роутер работает как клиент: он получает файл конфигурации и подключается встроенными средствами KeeneticOS. Устанавливать AmneziaVPN на сам роутер не нужно.

Платный сервис Amnezia Premium к этой схеме отношения не имеет. Аренда VPS не означает подписку на него, а сервер вы настраиваете и обслуживаете сами.

У протокола есть несколько версий. В документации AmneziaWG описаны версии 1.0, 2.0 и 3.1, и профили разных версий не взаимозаменяемы. Ни одна из них не гарантирует доступ при любых сетевых ограничениях: многое зависит от провайдера, маршрута и конкретной реализации. Чем AmneziaWG отличается от обычного WireGuard, подробно описано в отдельной статье.

Определите модель роутера и доступную прошивку

Перепишите аппаратный код с наклейки на корпусе и посмотрите версию KeeneticOS на главной странице панели. Название модели для этого не подходит: внешне одинаковые устройства с разными кодами могут получать разные обновления. В семействе Giga встречаются, например, KN-1010, KN-1011 и KN-1012, у Netcraze Giga код NC-1012. У Hopper бывают KN-3810, KN-3811 и NC-3811.

Требования к AmneziaWG 3.1 описаны в руководстве Amnezia для KeeneticOS. Нужна KeeneticOS начиная с 5.2 Alpha 11, которая устанавливается через канал разработчика, причём только на моделях из приведённого там списка. На обычной стабильной прошивке поддержки 3.1 может не быть. Учтите, что сборки из канала разработчика могут работать менее стабильно, чем основной выпуск.

Какие каналы обновлений и версии доступны вашей модели, смотрите на странице поддержки Keenetic для вашего аппаратного кода. Для примера: так выглядят страница предварительных выпусков Keenetic Hero KN-1011 и страница основной ветки Challenger KN-3910. Если в интерфейсе есть ветка 5.1 и поля с параметрами маскировки, поддержка 3.1 этим ещё не подтверждена. Ориентируйтесь на список совместимости и минимальную версию из руководства Amnezia.

Если роутер — единственный шлюз в работающем офисе или доме, где интернет нужен постоянно, не переводите его на сборку разработчика без подготовки. Лучше проводить эксперимент на отдельном совместимом устройстве, при наличии запасного подключения и в то время, когда простой сети допустим. Если у вас уже есть рабочая связка клиента и сервера на другой версии протокола, не трогайте её, пока новая схема не проверена.

Сохраните конфигурацию перед изменениями

Перед обновлением системы сохраните файлы firmware и startup-config. Они находятся в настройках KeeneticOS, в новых версиях интерфейса — на вкладке Файлы. Запишите локальный адрес роутера, параметры подключения к провайдеру и текущую версию системы. Заранее найдите порядок восстановления для своей модели: резервная копия не снимает ограничений совместимости при откате на старую прошивку.

Обновляйтесь только штатным способом и только прошивкой для вашего аппаратного кода. Если нужная версия для модели недоступна, на этом настройку 3.1 стоит остановить. Прошивка соседней модели не подходит, даже если название у неё похожее.

На время настройки подключите компьютер к роутеру кабелем. Основное интернет-подключение оставьте в политике по умолчанию: остальные устройства должны работать как раньше.

Установите AmneziaWG на VPS

Для сервера лучше взять отдельный чистый VPS. Подойдёт, например, VPS MAATRIX в США, Великобритании или Франции. Страну выбирайте по задержке до неё и по своим задачам. Если на другом сервере уже работает WireGuard, это не значит, что там есть AmneziaWG нужной версии.

Официальные требования Amnezia к VPS: виртуализация KVM, архитектура x86-64, публичный IPv4, доступ по SSH и поддерживаемый дистрибутив Linux. Для начала подойдёт Ubuntu 24.04. Минимальные ресурсы по документации — 1 ядро, 1 ГБ оперативной памяти и 10 ГБ диска. Этого хватает для небольшой нагрузки, но производительность при активном использовании этот минимум не гарантирует. Если на сервере работает сайт или рабочая база данных, VPN лучше разместить на другом.

Установите актуальную версию AmneziaVPN с официального сайта на компьютер или телефон. Затем:

1. Выберите добавление сервера Self-hosted VPN.
2. Укажите IP-адрес VPS, имя SSH-пользователя и способ входа (пароль или ключ). Если SSH работает на нестандартном порту, укажите и его.
3. Выберите протокол AmneziaWG и дождитесь окончания установки.
4. Посмотрите, какая версия серверной части установилась.

Приложение устанавливает ту версию протокола, которую поддерживает само. Поэтому сверить её с прошивкой роутера нужно заранее: сервер с профилем 3.1 не будет работать с клиентом, который поддерживает только более раннюю версию. Общий порядок установки есть в инструкции разработчиков, развёрнутый сценарий — в нашем руководстве по Amnezia на VPS. Данные администратора сервера нужны только приложению для установки, роутеру они не нужны.

Создайте для роутера отдельный профиль

В приложении откройте Поделиться в нижней панели и создайте гостевой доступ. Дайте ему понятное имя, например «Роутер дом», выберите свой сервер, протокол AmneziaWG и формат Оригинальный формат AmneziaWG. Снова нажмите Поделиться и сохраните файл .conf. Порядок действий описан в инструкции по выдаче подключений.

Ключ вида vpn://… предназначен для приложения AmneziaVPN, роутеру нужен именно файл конфигурации. Доступ с правами полного управления сервером роутеру тоже не нужен.

По структуре файл похож на обычную конфигурацию WireGuard, но в нём есть дополнительные строки с параметрами маскировки. Их набор зависит от версии протокола. Схематично файл выглядит так (все значения вымышлены):

[Interface]
PrivateKey = <PRIVATE_KEY_PLACEHOLDER>
Address = 10.8.1.2/32
DNS = <DNS_ИЗ_ВЫДАННОГО_ФАЙЛА>
# параметры маскировки — без изменений, как в выданном файле

[Peer]
PublicKey = <SERVER_PUBLIC_KEY_PLACEHOLDER>
PresharedKey = <PSK_PLACEHOLDER>
Endpoint = 203.0.113.10:<PORT>
AllowedIPs = 0.0.0.0/0

Не используйте этот профиль одновременно на телефоне или ноутбуке: каждому клиенту нужен свой пир. Не публикуйте содержимое файла, приватный ключ и реквизиты доступа к VPS, в том числе на скриншотах.

Импортируйте подключение в KeeneticOS

Откройте панель роутера из локальной сети. В разделе Управление → Настройки системы нажмите Изменить набор компонентов и установите WireGuard VPN, если его ещё нет. Поддержка AmneziaWG зависит от версии KeeneticOS, а не от названия компонента.

Затем перейдите в Интернет → Другие подключения, нажмите Загрузить из файла и выберите сохранённый .conf. Откройте созданное подключение, задайте понятное имя, например MAATRIX-UK-AWG, включите опцию Использовать для выхода в интернет, сохраните настройки и включите подключение переключателем.

После импорта сверьте с исходным файлом адрес и порт сервера, DNS и разрешённые сети. Чтобы весь IPv4-трафик тестового устройства шёл через туннель, в разрешённых сетях должен быть 0.0.0.0/0. Этот параметр задаёт, какие адреса назначения маршрутизируются в туннель. Какие устройства будут им пользоваться, определяется на следующем шаге.

Если импорт завершился ошибкой, не правьте параметры маскировки наугад. Согласно FAQ Amnezia, профиль 3.1 нельзя превратить в рабочий профиль 2.0 простым преобразованием, а удаление незнакомых строк не изменит протокол, который ожидает сервер. Сначала выясните, какую версию поддерживает роутер, затем выпустите совместимый профиль. Общие вопросы по клиенту WireGuard на этих роутерах разобраны в статье о настройке WireGuard на Keenetic.

Направьте в туннель только тестовый компьютер

В разделе Интернет → Приоритеты подключений создайте новую политику, например «Тест через VPN», и включите в неё только созданный туннель. Затем на вкладке привязки политик назначьте её тестовому компьютеру. Если компьютера нет в списке, сначала зарегистрируйте его среди клиентов роутера.

Обычное подключение к провайдеру в эту политику на время проверки не добавляйте. Если туннель не работает, компьютер не сможет незаметно выйти в интернет напрямую, и неисправность сразу будет видна. Остальные устройства остаются в прежней политике.

Отдельно проверьте DNS. В документации Keenetic о политиках описано, как привязывать DNS-серверы к подключениям. Назначенный DNS должен быть доступен по маршруту выбранной политики. Если пользовательский DNS привязан к варианту «Любое подключение», его могут использовать сразу несколько политик. Встроенный защищённый DNS в браузере тоже может обходить настройки роутера. Для первой проверки удобнее простая схема: компьютер получает DNS от роутера, а роутер использует проверенный сервер.

Проверьте туннель, внешний адрес, DNS и IPv6

Сначала посмотрите состояние подключения в панели роутера: там должно быть свежее рукопожатие с удалённым пиром, а счётчики переданных и полученных данных должны расти. Это означает, что концы туннеля связались. Работу всей цепочки до интернета это ещё не подтверждает.

Затем проверьте внешний IPv4 тестового компьютера в любом сервисе определения адреса. Он должен совпадать с адресом выхода VPS. Перед проверкой отключите на компьютере сторонние VPN и прокси. Если проверяете с телефона, выключите на нём мобильные данные, чтобы трафик шёл только через Wi-Fi.

Разрешение имён проверьте командой:

nslookup example.com

Если имена разрешаются, а большие страницы загружаются частично или зависают, проблема может быть в маршруте или MTU. Меняйте по одному параметру и после каждого изменения проверяйте результат заново.

Отдельно проверьте IPv6. Если IPv4 идёт через туннель, IPv6 при этом может уходить напрямую через провайдера. Выберите сервис, который показывает IPv4 и IPv6 по отдельности. Если ваша схема не передаёт IPv6 через туннель, для строгого режима ограничьте IPv6 в тестовом сегменте или настройте его поддержку во всей цепочке. Отсутствие IPv6-адресов в .conf ещё не значит, что утечки нет.

В конце откройте сервис, ради которого всё настраивалось, и выполните в нём обычную задачу. Учтите, что зарубежный IP не заменяет учётную запись, подписку и региональные правила самого сервиса. Если сайт открывается, а вход отклонён, причина может быть не в роутере.

Отключите туннель и проверьте поведение при обрыве

Не выходя из домашней сети, выключите VPN-подключение в панели роутера и попробуйте открыть на тестовом компьютере сайт, который ещё не открывали. Если в политике только туннель, новые соединения должны перестать устанавливаться. Если сайт всё же открывается, проверьте резервные подключения в политике, привязку устройства, IPv6 и наличие других активных подключений.

Включите туннель обратно и убедитесь, что связь восстановилась. Затем, в удобное время, перезагрузите роутер и проверьте, что подключение поднимается само, а компьютер остаётся в нужной политике. После этого можно добавлять другие устройства или выделять для VPN отдельный сегмент Wi-Fi. Как распределить устройства по маршрутам в масштабе всей домашней сети, описано в материале о VPN на роутере для всего дома. Запишите, какие устройства ходят через VPS, а какие напрямую через провайдера: это пригодится при следующих изменениях.

Верните прежнюю схему, если она понадобится

Чтобы отключить VPN для компьютера, откройте панель роутера из локальной сети, назначьте устройству прежнюю политику, верните изменённые настройки DNS и IPv6 и выключите подключение. Затем убедитесь, что интернет работает. Сбрасывать роутер к заводским настройкам ради одного туннеля обычно не нужно. Откат прошивки, если он потребуется, выполняйте отдельно, по плану восстановления, подготовленному до обновления.