Настройка WireGuard-клиента на Keenetic и Netcraze: подключение, политики и проверка

MAATRIX · Обновлено 24 октября 2026

Если подключить WireGuard на роутере, через VPN смогут работать телевизор, приставка и другие домашние устройства, на которые нельзя поставить отдельное приложение. Keenetic поднимает туннель к удалённому серверу и сам решает, какие устройства пойдут через него, а какие останутся на обычном подключении провайдера. Ниже описан порядок настройки: подготовка, импорт конфигурации, назначение политик, проверка адресов и DNS, поведение при обрыве и подбор MTU.

Подготовьте сервер, файл конфигурации и роутер

Роутер в этой схеме работает как клиент. Ему нужен доступный WireGuard-сервер и файл подключения с расширением .conf, выданный именно для роутера. Если сервера пока нет, его можно развернуть по инструкции об установке WireGuard на VPS. На сервере должны работать пересылка пакетов, межсетевой экран с открытым портом WireGuard и выход клиентов в интернет.

Каждому устройству нужен свой участник соединения, который в WireGuard называется пиром. У пира собственные ключи и адрес внутри VPN. Файл, уже используемый на телефоне, на роутер не переносите: два клиента с одинаковыми ключами будут мешать друг другу.

Запишите модель роутера и версию KeeneticOS. По документации Keenetic, WireGuard поддерживается начиная с KeeneticOS 3.3, а встроенные маршруты по доменным именам появились в 5.0. Набор функций зависит и от модели, а названия разделов меню в разных версиях могут отличаться. Перед изменениями сохраните резервную копию настроек и запомните локальный адрес роутера. Веб-интерфейс открывается из домашней сети по адресу my.keenetic.net или по этому IP.

Отдельно про бренд. С осени 2025 года компания, которая представляла Keenetic в России и странах ЕАЭС, выпускает оборудование под маркой Netcraze. Устройства совместимы с экосистемой Keenetic, поэтому порядок действий тот же: установить компонент WireGuard, импортировать конфигурацию и назначить политики. Пункты меню на конкретной модели и прошивке могут называться иначе. Подробности есть в официальном объяснении Netcraze.

Установите компонент WireGuard VPN

Откройте Управление → Общие настройки системы и найдите блок обновлений и компонентов. Нажмите Изменить набор компонентов, отметьте WireGuard VPN и примените изменения. Роутер скачает компонент и, скорее всего, перезагрузится, поэтому интернет на несколько минут пропадёт. Если компонент уже стоит, переустанавливать его не нужно.

Импортируйте конфигурацию и сверьте параметры

Перейдите в Интернет → Другие подключения и в разделе WireGuard загрузите свой файл .conf. Ниже показан пример его структуры для IPv4. Ключи в нём условные, адрес сервера взят из диапазона для документации. Импортировать нужно собственный файл.

[Interface]
PrivateKey = <приватный_ключ_роутера>
Address = 10.20.0.2/32
DNS = 10.20.0.1

[Peer]
PublicKey = <публичный_ключ_сервера>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

В секции [Interface] описан сам роутер. PrivateKey — его секретный ключ, который нельзя публиковать и показывать на снимках экрана. Address — адрес роутера внутри VPN. Подсеть туннеля не должна совпадать с домашней. DNS указывает сервер имён. В примере подразумевается, что на 10.20.0.1 действительно работает DNS-служба. Если её там нет, сайты перестанут открываться по именам.

Секция [Peer] описывает сервер. PublicKey — его открытый ключ, Endpoint — внешний адрес и UDP-порт. PersistentKeepalive задаёт интервал служебных пакетов в секундах. Они поддерживают запись о соединении в NAT, чтобы ответы сервера доходили и во время простоя. Значение 25 руководство WireGuard называет подходящим для многих случаев. Неверные ключи, закрытый порт или ошибки маршрутов этот параметр не исправит.

Строку AllowedIPs = 0.0.0.0/0 часто понимают неправильно. Она означает, что через этого пира разрешено передавать трафик на любые адреса IPv4. Какие домашние устройства будут пользоваться туннелем, она не определяет: это задаётся политиками подключений, о которых пойдёт речь ниже.

После импорта откройте созданное подключение и проверьте его:

1. Сравните адрес интерфейса, ключи, адрес сервера, разрешённые подсети и DNS с исходным файлом. Если DNS не перенёсся, впишите его вручную. Если ваша конфигурация использует PresharedKey, убедитесь, что он на месте.
2. Включите параметр Использовать для выхода в Интернет. Без него подключение нельзя будет выбрать в политиках.
3. Сохраните настройки и включите подключение переключателем в списке.
4. В разделе Интернет → Приоритеты подключений проверьте, что в политике по умолчанию первым по-прежнему стоит подключение провайдера. Так остальные устройства не заметят изменений, пока вы проверяете VPN.

Если готового файла нет, создайте подключение вручную в том же разделе и перенесите параметры, полученные от администратора сервера. Официальное описание процесса — в инструкции Keenetic по доступу в интернет через WireGuard.

Создайте политику и назначьте её тестовому устройству

Политика подключения — это правило, которое определяет, через какие соединения выходит в интернет конкретное устройство. Сначала стоит перевести на VPN один компьютер, а остальным оставить обычный доступ.

1. На странице Приоритеты подключений (в некоторых версиях она называется «Политики подключений») откройте вкладку политик и создайте новую, например «Через VPN».
2. Отметьте в ней только подключение WireGuard. Оно будет показано под вашим именем, а системное обозначение обычно выглядит как Wireguard0.
3. Сохраните политику и откройте вкладку привязки устройств.
4. Назначьте политику тестовому компьютеру. Если его нет в списке, сначала зарегистрируйте его среди клиентов домашней сети.

Провайдера в эту политику пока не добавляйте. Если он будет стоять резервным, при неисправном туннеле трафик пойдёт напрямую, и ошибку будет трудно заметить. Иллюстрации к шагам есть в инструкции по политикам подключений. Когда проверка пройдёт, назначьте политику остальным нужным устройствам. Смартфоны со случайным MAC-адресом могут появиться в списке как новый клиент, поэтому убедитесь, что правило привязано к их текущей записи.

Проверьте туннель, внешний IP, DNS и IPv6

Включённый переключатель означает только то, что подключение активировано. Работу туннеля нужно проверить с трёх сторон: связь с сервером, адрес выхода и путь DNS-запросов.

Рукопожатие и счётчики

Откройте несколько сайтов с тестового компьютера и посмотрите состояние подключения WireGuard. Рукопожатие (handshake) показывает, что криптографическая связь с сервером установлена. Пока идёт трафик, время последнего рукопожатия обновляется, а счётчики отправленных и полученных данных растут. Если время рукопожатия давнее, это ещё не значит, что связь оборвалась: без трафика WireGuard просто молчит. Поэтому оценивайте состояние сразу после попытки что-то передать.

Внешний адрес

Откройте на тестовом компьютере 2ip или похожий сервис. Он должен показать адрес, с которого ваш сервер выходит в интернет. Ориентируйтесь на сам IP: страну такие сервисы определяют неточно. Затем выполните ту же проверку с устройства в обычной политике, там должен быть адрес домашнего провайдера. Если у тестового компьютера адрес не изменился, проверьте привязку политики, состав и порядок подключений в ней.

DNS

Серверы, обрабатывающие запросы, показывают DNS Leak Test и проверка DNS в BrowserLeaks. Если в результатах неожиданно появился DNS домашнего провайдера, настройки нужно проверить. Обратное тоже не доказывает многого: Google или Cloudflare в списке говорят о том, кто ответил на запрос, но не о том, каким путём запрос туда попал.

Если на роутере включён зашифрованный DNS (DoH или DoT), посмотрите, через какой интерфейс он работает. Отключать шифрование из-за VPN не обязательно: Keenetic позволяет привязать DoH и DoT к нужному интерфейсу. Учтите также, что браузер или операционная система могут использовать собственный DNS в обход роутера.

IPv6

Устройство может работать одновременно по IPv4 и IPv6, и правильный адрес IPv4 ничего не говорит о втором протоколе. Откройте проверку IP в BrowserLeaks и посмотрите, есть ли IPv6 и кому принадлежит адрес. Если весь трафик должен идти через VPN, а IPv6-адрес принадлежит провайдеру, настройка не закончена. В этом случае нужно либо провести IPv6 через туннель, либо отключить его для устройств или сегмента, которым разрешён только VPN. Запись ::/0 в AllowedIPs разрешает IPv6-адреса для пира, но адреса и маршруты на обеих сторонах всё равно нужно настроить.

Проверьте поведение при обрыве VPN

Для каждого устройства стоит заранее решить, что важнее: оставаться в сети, когда VPN недоступен, или прекращать передачу данных до восстановления туннеля. Поведение задаётся составом политики.

Переход на резерв срабатывает только после того, как роутер обнаружит неисправность. Отключённый интерфейс и упавший сервер при включённом интерфейсе могут обрабатываться по-разному, поэтому проверьте оба варианта:

1. Убедитесь, что тестовый компьютер находится в политике только с WireGuard и выходит через VPN.
2. Оставьте подключение провайдера работающим и выключите WireGuard на роутере.
3. Откройте новую страницу и отдельно проверьте доступ по IPv4 и IPv6. Ранее загруженная страница может отображаться из кеша.
4. Если вы управляете сервером, включите туннель обратно и временно остановите WireGuard на сервере. Перед этим убедитесь, что сможете запустить его снова через панель управления. Повторите проверки.
5. Восстановите сервер и подключение и убедитесь, что доступ через VPN вернулся.

При строгой политике новые соединения устанавливаться не должны. Если они проходят, проверьте наличие резервного подключения, IPv6 и индивидуальные маршруты. На смартфоне на время теста выключите мобильные данные, иначе он уйдёт в сотовую сеть. Кешированные ответы DNS мешают точной оценке. Надёжнее запустить захват пакетов в диагностике роутера на подключении провайдера, обращаться к новым доменам и смотреть, уходят ли туда запросы.

Верните обычное подключение, если что-то пошло не так

Зайдите в веб-интерфейс из домашней сети по локальному адресу роутера. Назначьте тестовому устройству политику по умолчанию и проверьте, что первым в ней стоит рабочее подключение провайдера. Если вы создавали DNS-маршруты, временно отключите их: исключительный маршрут может продолжать блокировать прямой доступ к выбранным сайтам. Затем выключите WireGuard и откройте новую страницу. Если имена сайтов перестали разрешаться, верните DNS, доступный через обычное подключение. Сбрасывать роутер к заводским настройкам для этого обычно не нужно.

Подберите MTU, если страницы загружаются не полностью

Если сайты открываются наполовину, а загрузки останавливаются, стоит проверить MTU, то есть максимальный размер пакета на интерфейсе. WireGuard добавляет к каждому пакету свои заголовки, поэтому внутри туннеля пакет должен быть меньше, чем позволяет внешнее подключение.

Сначала запишите текущее значение. Для канала с MTU 1500 обычно начинают с 1420, для PPPoE с MTU 1492 — примерно с 1412. Это ориентиры: результат зависит от дополнительных туннелей и ограничений на пути к серверу. Если проблема остаётся, временно поставьте 1280 и повторите загрузку тех же страниц. Для туннеля только с IPv4 можно попробовать и меньшее значение, например 1240, но всем подключениям заранее его не назначайте. При использовании IPv6 MTU интерфейса не опускают ниже 1280, это минимум по стандарту IPv6. Если уменьшение ничего не изменило, верните исходное значение и ищите причину дальше.

Прохождение пакетов нужного размера можно проверить ping с запретом фрагментации. Запускайте его с компьютера в VPN-политике, подставив адрес узла, который отвечает на ping:

Windows:  ping -f -l 1400 <адрес_узла>
Linux:    ping -M do -s 1400 <адрес_узла>
macOS:    ping -D -s 1400 <адрес_узла>

В macOS запрет фрагментации включает флаг -D, это описано в справочнике Apple. Число 1400 — размер полезных данных, к нему добавляются 28 байт заголовков IPv4 и ICMP. Изменяйте размер и смотрите, где пакеты перестают проходить. Результат уже учитывает текущий MTU туннеля, поэтому заголовки WireGuard повторно вычитать не нужно. Отсутствие ответа не всегда указывает на MTU: узел может просто блокировать ping. Путь до самого сервера измеряют отдельно, без VPN, и затем учитывают накладные расходы туннеля. Подробнее об этом — в статье о подборе MTU для WireGuard.

Направьте через VPN только отдельные сайты

Если VPN нужен лишь для некоторых сайтов, удобнее маршрутизировать по доменным именам. Эта функция появилась в KeeneticOS 5.0 и находится в разделе Сетевые правила → Маршрутизация → Маршруты DNS. В более ранних версиях её нет, а доступность на конкретной модели зависит от прошивки. По документации Keenetic, устройство при этом должно оставаться в политике по умолчанию с провайдером в качестве основного подключения и использовать роутер как DNS-сервер. DoH, включённый в браузере, может обходить DNS роутера, и тогда правила не применятся. Отключать его стоит только на тех устройствах, где нужны DNS-маршруты.

1. Создайте список доменов, по одному на строке, без https:// и пути к странице. Поддомены учитываются автоматически, символ * не нужен.
2. Создайте для списка правило маршрутизации и выберите в нём подключение WireGuard.
3. Если эти сайты не должны открываться напрямую при отказе VPN, включите Исключительный маршрут.
4. Сохраните правило, очистите DNS-кеш устройства (в Windows — командой ipconfig /flushdns) и откройте сайт заново.

Для проверки добавьте в список сервис определения IP: на нём должен отображаться адрес выхода VPN. Крупные сайты загружают данные с дополнительных доменов, и их тоже может понадобиться внести в список.

Найдите причину, если туннель не работает

Если рукопожатия нет совсем, проверьте адрес сервера, UDP-порт, ключи и межсетевой экран сервера. Полезно попробовать подключиться из другой сети. Перенос сервера на порт 443/UDP не маскирует WireGuard и не гарантирует, что блокировка перестанет действовать.

Если рукопожатие есть, а интернета нет, начните с роутера: политика устройства, параметр выхода в интернет, DNS. На собственном сервере проверьте пересылку пакетов, межсетевой экран, NAT и обратный маршрут. Когда роутер транслирует адреса, сервер видит только адрес туннеля, поэтому добавлять домашнюю подсеть в AllowedIPs наугад не нужно. Разбор типичных причин — в статье WireGuard без интернета.

Если нужно несколько серверов, создайте для каждого отдельное подключение и политику. При замене сервера сверяйте весь файл: могут измениться ключи, адрес внутри VPN и DNS. Совместимость AmneziaWG зависит от версии протокола и прошивки конкретной модели, одной поддержки WireGuard для неё недостаточно. Белый IP-адрес дома для исходящего подключения к доступному серверу обычно не нужен, публичный адрес требуется принимающей стороне. Скорость зависит от роутера, сервера, маршрута и Wi-Fi, поэтому сравнивать её стоит на одном компьютере по кабелю, с одним тестовым сервером и в близкое время.