AmneziaWG на OpenWrt: подключение домашней сети к своему серверу

MAATRIX · Обновлено 24 октября 2026

Роутер с OpenWrt может подключить к AmneziaWG сразу всю домашнюю сеть. Сначала нужно убедиться, что версии прошивки, модуля и сервера подходят друг другу. Затем остаются маршруты, firewall, DNS и проверка того, что происходит при обрыве туннеля. Ниже эти этапы описаны по порядку.

Разберитесь, что именно будет настраиваться

Три похожих названия обозначают разные вещи. AmneziaVPN — это приложение, которое разворачивает VPN на вашем VPS и управляет пользователями. AmneziaWG — один из протоколов, которые это приложение поддерживает. WireGuard — отдельный протокол. Обычный клиент WireGuard не обязан понимать дополнительные параметры AmneziaWG, поэтому стандартный пакет wireguard-tools для этой задачи не подходит. Подробнее различия описаны в статье AmneziaWG, WireGuard и AmneziaVPN: в чём разница.

В статье используется AmneziaWG 3.1, который рассматривается в актуальной инструкции Amnezia для OpenWrt. Протокол меняет признаки, по которым трафик можно распознать. Версию и параметры должны поддерживать и клиент, и сервер. Устройство протокола описано в документации разработчика. AmneziaWG снижает вероятность распознавания трафика, но не гарантирует доступность любого сервиса в любой сети.

Отсюда главное правило работы с конфигурацией: параметры групп J, S, H и I переносятся без изменений. Если импорт выдаёт ошибку на какой-то строке, удалять её нельзя. Сервер ожидает именно эти значения, и без них соединение либо не установится, либо будет работать не так, как задумано. Ошибка импорта обычно означает, что установлен модуль другой версии.

Запишите параметры роутера и найдите подходящую сборку

Дальше предполагается, что OpenWrt уже установлена и обычный интернет работает. Производитель роутера сам по себе ничего не гарантирует. Важны точная модель, аппаратная ревизия, версия прошивки и наличие модуля под конкретное ядро. Владельцам Xiaomi AX3000T и Redmi AX6000 стоит начать с материала о совместимости Xiaomi/Redmi и подготовке OpenWrt.

Сохраните архив настроек в System → Backup / Flash Firmware. Затем подключитесь к роутеру из LAN и запишите сведения о системе:

ubus call system board
uname -r
df -h /overlay

Архитектуру пакетов на OpenWrt 25.12 показывает apk --print-arch, на 24.10 — opkg print-architecture. Сборка модуля должна совпадать с вашей системой по четырём признакам: выпуску OpenWrt (release), платформе (target/subtarget), архитектуре пакетов и ABI ядра. Если хотя бы один из них отличается, модуль считается несовместимым. Это верно даже для роутера с тем же процессором.

На момент написания инструкция Amnezia перечисляет готовые пакеты AmneziaWG 3.1 для OpenWrt 24.10.8 и 25.12.5. Прошивка и сторонние модули выпускаются по разным графикам, поэтому текущий стабильный выпуск на странице релизов OpenWrt может оказаться новее того, что указан в инструкции. Соседний номер версии не стоит считать подходящим. Сверьтесь с актуальной матрицей для своей модели и ядра.

Если подходящей сборки нет, на этом стоит остановиться. Откатывать рабочий роутер на старый выпуск ради VPN не нужно. Обходить зависимости через --force-depends или отключать проверку подписей тоже не нужно. Разумные варианты такие: дождаться сборки, взять другое совместимое устройство или собрать пакет самостоятельно в рамках отдельной задачи.

Подготовьте сервер и отдельный профиль для роутера

Сервер разворачивается на собственном VPS через приложение AmneziaVPN. Порядок действий описан в инструкции по установке Amnezia на VPS. Сервер обычного WireGuard и его профиль здесь не подойдут.

На новом сервере выбирайте актуальный AmneziaWG. Если у вас уже работает сервер с версией 2.0, перед переходом на 3.1 прочитайте процедуру миграции. Удаление старого протокола затронет всех его пользователей, и после переустановки им понадобятся новые конфигурации. Предупредите об этом всех, кто пользуется сервером.

Для роутера создайте в AmneziaVPN отдельного пользователя с протоколом AmneziaWG. Экспортируйте его в нативном формате AmneziaWG — нужен файл .conf. Ссылка vpn://… и ключ полного доступа к серверу не подходят. Порядок экспорта описан в разделе о передаче подключения. Все устройства за роутером будут пользоваться этим профилем вместе. Телефону, который подключается самостоятельно, нужен собственный профиль.

Перед настройкой роутера проверьте профиль совместимым клиентом на компьютере, а потом отключите это тестовое соединение. Так вы будете знать, что сервер исправен, и при дальнейших проблемах искать причину придётся только в роутере. Файл содержит приватный ключ, поэтому храните его как пароль.

Установите пакеты AmneziaWG

Понадобятся три пакета: kmod-amneziawg, amneziawg-tools и luci-proto-amneziawg. В официальных репозиториях OpenWrt их нет. Документация Amnezia ссылается на сборки сообщества из репозитория Slava-Shchipunov/awg-openwrt. Это сторонний проект, и решение доверять ему принимаете вы.

Найдите свою систему в каталоге пакетов. Пакеты .ipk предназначены для систем с opkg, а .apk — для систем с apk. Переименование файла не делает пакет совместимым. Ставить «ближайшую» сборку при несовпадении ядра нельзя: модуль либо не загрузится, либо поведёт себя непредсказуемо.

В репозитории есть установочный скрипт сообщества. По описанию на момент написания, в одном из режимов он только ставит пакеты и не создаёт интерфейс. Запускать его через конструкции вида curl … | sh не стоит. Сначала откройте код скрипта и прочитайте, что он делает. Код может меняться, но в просмотренной версии ветка для apk устанавливает файлы с флагом --allow-untrusted, то есть без проверки подписи. Этот вариант мы не рекомендуем. Если для вашей системы нет способа установки с проверкой подписи, лучше дождаться подписанной сборки или собрать пакет самостоятельно, чем отключать защиту.

Учтите ещё одну особенность скрипта: уже установленные компоненты он пропускает. Сообщение already installed не означает, что старый AmneziaWG обновился до 3.1. Если на роутере раньше стоял AWG, сверьте версии всех трёх пакетов с выбранным выпуском, а обновление спланируйте отдельно.

Создайте интерфейс и импортируйте конфигурацию

Обновите страницу LuCI, а если протокол не появился, перезагрузите роутер. В разделе Network → Interfaces → Add new interface должен появиться протокол AmneziaWG VPN. Создайте интерфейс, например awg_maatrix, и загрузите весь файл через Load configuration. После импорта откройте поля интерфейса и peer и сверьте их с исходным файлом. Все параметры J, S, H и I должны совпадать.

В этой статье настраивается полный IPv4-туннель. Адрес интерфейса, ключи и порт берутся из файла. В настройках peer укажите в Allowed IPs 0.0.0.0/0 и включите Route Allowed IPs. В дополнительных настройках интерфейса задайте метрику 20, а для WAN — 100. Маршрут по умолчанию должен создаваться одним способом, поэтому не добавляйте вручную дубликаты поверх тех, что появятся из Allowed IPs.

Пока сохраняйте изменения без общего Save & Apply. Применять их лучше после того, как будут готовы маршрут к серверу, firewall и DNS.

Закрепите маршрут к серверу через WAN

Если в Endpoint указан числовой IP сервера, подключению не нужен DNS для старта. Зашифрованные пакеты к этому адресу должны уходить через провайдера, а не в сам туннель. До включения VPN узнайте текущий путь к серверу. В примере используется документационный адрес, вместо него подставьте IP своего VPS:

ip -4 route get 203.0.113.10

В Network → Routing добавьте статический маршрут 203.0.113.10/32 через реальный WAN-интерфейс и шлюз, который показала команда. При PPPoE указывается сам интерфейс подключения, без Ethernet-шлюза. Если провайдер выдаёт шлюз по DHCP и тот меняется, закреплённый маршрут придётся обновить вручную. То же относится к смене адреса VPS.

Настройте зону firewall

В Network → Firewall создайте зону awg и привяжите к ней сеть awg_maatrix. Включите Masquerading и MSS clamping. Для Input и Forward оставьте Reject, для Output — Accept. Затем разрешите пересылку lan → awg.

С такими настройками домашние устройства выходят в туннель через NAT, а входящие подключения со стороны туннеля в домашнюю сеть не попадают. Значения по умолчанию, на которые опирается эта схема, можно посмотреть в исходной конфигурации firewall4.

Подготовьте DNS, время и IPv6

В Network → DHCP and DNS укажите в DNS forwardings IPv4-резолвер из профиля или другой подходящий вам и включите Ignore resolve file. Так роутер перестанет использовать DNS провайдера. Клиенты по-прежнему получают адрес роутера как DNS-сервер через DHCP.

Точное время нужно роутеру для проверки сертификатов и корректной работы служб. В System → System → Time Synchronization включите NTP-клиент. Чтобы синхронизация не зависела от DNS, можно указать числовой адрес 162.159.200.1. Это официальный адрес NTP Cloudflare. Для него, как и для VPS, добавьте маршрут /32 через WAN, чтобы часы синхронизировались ещё до поднятия туннеля. Если этот сервер недоступен из вашей сети, выберите другой.

Если профиль не поддерживает IPv6, этот протокол станет обходным путём мимо туннеля. Отключите для LAN раздачу IPv6-префикса, RA и DHCPv6, а также интерфейс WAN6, если он не нужен. После этого переподключите клиентов, чтобы они забыли старые IPv6-адреса. Полноценная работа IPv4 и IPv6 через туннель требует отдельной согласованной настройки на сервере и роутере.

Запустите туннель и проверьте его с роутера

Примените все подготовленные изменения и включите интерфейс. Затем выполните:

awg show
ip -4 route
ip -4 route get 192.0.2.1
ip -4 route get 203.0.113.10

В выводе awg show должно быть время последнего handshake и растущие счётчики трафика. Маршрут к произвольному внешнему адресу должен идти через awg_maatrix, а маршрут к IP сервера — по-прежнему через WAN. Если трафик к серверу ушёл в туннель, соединение будет то подниматься, то падать. В этом случае проверьте маршрут /32.

Бывает, что сайты открываются, а крупные загрузки зависают. Обычно это проблема MTU. Подбирайте значение, исходя из своей конфигурации: расчёты накладных расходов для обычного WireGuard нельзя автоматически переносить на AmneziaWG.

Проверьте внешний IP, DNS и IPv6 с клиента

Handshake означает только то, что роутер и сервер связались. Через какой путь на самом деле идёт трафик клиентов, проверяется отдельно. Возьмите ноутбук в LAN, отключите на нём любые другие VPN и проверьте три вещи.

• Внешний IPv4. Любой сервис определения адреса должен показывать IP вашего VPS, а не адрес провайдера.
• DNS. Тест показывает резолвер, который обработал запрос, но не путь, по которому этот запрос шёл. Поэтому одно имя резолвера в отчёте ещё не означает утечку. Сравните результат с тем, что настроено в forwardings, и вспомните, нет ли на ноутбуке собственного DNS или DoH в браузере.
• IPv6. Если IPv6 отключён, тест не должен находить ваш адрес от провайдера.

Определите поведение при обрыве туннеля

Пока в firewall есть разрешение lan → wan, при пропадании VPN клиенты продолжат выходить в интернет напрямую. Если такой обход нежелателен, удалите эту пересылку, оставив lan → awg. Проверьте также, нет ли других правил, которые пропускают LAN в WAN.

Остановите интерфейс awg_maatrix и проверьте результат новыми подключениями. Страница, которая открывается из кеша браузера, ничего не доказывает. Откройте сайт, на который вы сегодня не заходили, в приватном окне или запросите внешний адрес из командной строки. Новые соединения из LAN не должны проходить наружу. После проверки снова включите туннель.

Это правило не действует на DNS-запросы самого роутера. Чтобы запретить роутеру обычный DNS и DoT через WAN, добавьте в Network → Firewall → Traffic Rules правило со следующими параметрами: источник Device (output), назначение wan, протоколы TCP и UDP, порты 53 и 853, действие Reject. Если Endpoint сервера работает на UDP-порту 53 или 853, сначала поставьте выше этого правила узкое разрешение: исходящий трафик роутера к IP сервера на этот UDP-порт. Без исключения правило заблокирует сам туннель, потому что firewall отбирает пакеты по номеру порта, а не по содержимому. DoH на порту 443 и другие службы OpenWrt такое правило не охватывает, их нужно проверять отдельно.

Перезагрузите роутер и повторите проверки IP, DNS, IPv6 и обрыва. Настройки должны сохраниться и заработать без вашего участия.

Перед строгой проверкой обрыва учтите таблицу установленных соединений и flow offloading: изменение пересылки LAN → WAN не обязательно сразу остановит уже существующие сеансы. Для проверки начните новые соединения с тестового устройства, а при необходимости временно отключите ускорение потоков и завершите его старые сеансы. Отдельно проверьте IPv6 и собственные запросы роутера.

Как откатить настройки

Чтобы вернуть прежнее состояние, остановите awg_maatrix, восстановите пересылку lan → wan, удалите правило для DNS и верните прежние настройки DNS и IPv6. Если что-то пошло не так, можно восстановить весь архив, сохранённый в начале. Перед каждым обновлением OpenWrt заново проверяйте наличие совместимого модуля: после смены ядра старый пакет работать не будет.

Обычный WireGuard на OpenWrt настраивается похоже, но со своими пакетами. Он описан в статье WireGuard на OpenWrt: настройка VPN-клиента для дома.