AmneziaWG 3.1 на Keenetic и Netcraze: всё через VPN, кроме российских сайтов

Привет! Сегодня настроим AmneziaWG 3.1 нативно на Keenetic или Netcraze так, чтобы весь интернет работал через VPN, а выбранные российские сайты — напрямую через провайдера.

Подключим Amnezia Premium с серверами более чем в 50 странах.

А в моём генераторе маршрутов на сайте Revelix.org выберем новый режим «Всё, кроме российских».

Подготовим исключения для банков, Госуслуг, маркетплейсов и других российских сайтов.

И в конце на этом же сайте проверим наш IP-адрес и возможную утечку через WebRTC. Всё в одном месте, искать отдельный сайт для проверки не придётся.

Всё сделаем через веб-интерфейс — без флешки, установки Entware, терминала и AWG Manager.

Что изменилось в AmneziaWG 3.1

Но сначала коротко разберёмся, чем AmneziaWG 2.0 отличается от версии 3.1.

В AmneziaWG 2.0 уже менялись заголовки и размеры пакетов, а перед подключением отправлялись маскировочные пакеты.

В версии 3.1 эту защиту дополнили шифрованием служебных полей, случайным дополнением данных и пятью настройками служебного обмена.

Они позволяют менять интервалы обновления ключей, ожидания ответа и число попыток подключения.

Меняются не только размеры пакетов, но и поведение соединения.

Также добавили возможность случайным образом дополнять окончания пакетов и отключать специальные служебные ответы.

Последнее уменьшает узнаваемость протокола при активной проверке, когда система сама отправляет запросы и анализирует реакцию.

Всё это усложняет распознавание трафика системами DPI-анализа.

Этап 1. Оформляем Amnezia Premium

Что такое Amnezia Premium

В этой инструкции будем использовать Amnezia Premium — готовую подписку с уже настроенными серверами. На момент записи в личном кабинете доступны серверы в 50 странах.

А по заявлению команды Amnezia, к концу года список планируют расширить до более чем 60 локаций.

При этом скорость подключения — до 200 Мбит/с, трафик безлимитный, а одна подписка позволяет использовать до семи конфигураций одновременно.

По сути, вы получаете выбор из десятков готовых серверов, а стоимость подписки в месяц выходит даже ниже аренды одного отдельного VPS.

Плюс по моему промокоду REVELIX действует дополнительная скидка 10%. Срок скидки ограничен.

Если хотите свой сервер

Если вы не хотите использовать Amnezia Premium, можно настроить всё по схеме Self-hosted на собственном VPS-сервере. Подробная инструкция уже есть у меня — AmneziaWG 3.1 на своём VPS. Конфигурация со своего сервера загружается в роутер точно так же, как в этой статье.

А сам VPS можно арендовать у AdminVPS со скидкой до 60% по моему промокоду.

Оформляем подписку

Итак, переходим по ссылке на сайт Amnezia. Ссылка ведёт через зеркало сайта, поэтому по ней всегда будет открываться актуальная рабочая страница. На главной нажимаем «Купить Premium».

Переходим к оформлению и сразу видим, что скидка по моему промокоду уже активирована — минус 10%.

Теперь выбираем срок подписки: 6 месяцев, 1 или 2 года. Чем больше срок, тем ниже получается стоимость в пересчёте на месяц. Далее выбираем удобный способ оплаты. Доступны СБП, карты российских банков, зарубежные банковские карты и криптовалюта.

Вводим адрес электронной почты. Промокод уже применён автоматически, поэтому дополнительно вводить его не нужно. Остаётся принять политику конфиденциальности и условия использования, перейти к оплате и завершить оформление подписки.

Скачиваем файл конфигурации

После оформления подписки на электронную почту придёт ключ для подключения. Переходим в личный кабинет Amnezia и вводим этот ключ.

После входа видим статус подписки, срок действия и активные подключения. Ниже можно посмотреть подключённые устройства и при необходимости удалить лишние.

Нас интересует вкладка «Файлы конфигурации». Здесь выбираем страну, к серверу которой будем подключаться. Я выберу Румынию и нажму «Скачать».

Теперь указываем страну, из которой будет происходить подключение. В нашем случае это Россия. Нажимаем «Получить новый» — скачается файл конфигурации.

Этап 2. Обновляем роутер до KeeneticOS 5.2

Меняем канал обновлений

Теперь переходим в панель управления нашего роутера и открываем «Настройки системы».

В разделе «Обновления и компоненты» меняем канал обновления с основного на предварительный и нажимаем «Подтвердить».

Какая версия нужна

На момент записи здесь доступна прошивка 5.2 Beta 1 с нативной поддержкой AmneziaWG 3.1. Её и будем использовать.

Если вы читаете статью позже и версия 5.2 или новее уже доступна в основном канале, оставайтесь на нём. Переходить на предварительный в таком случае не нужно.

Ставим компонент и обновление

После выбора канала обновления нажимаем «Изменить набор компонентов».

В поиске вводим «WireGuard VPN» и отмечаем компонент галочкой для установки. Затем внизу нажимаем «Обновить». Если компонент уже установлен, закрываем это окно и нажимаем «Обновить KeeneticOS».

Выбираем «Создать резервную копию сейчас» и сохраняем её.

После этого подтверждаем установку обновления и дожидаемся завершения.

Когда роутер снова загрузится, входим в панель управления. Открываем «Настройки системы» и проверяем, что установилась необходимая версия системы.

Этап 3. Подключаем AmneziaWG

Далее в боковом меню переходим в «Другие подключения». В разделе WireGuard нажимаем «Загрузить из файла» и выбираем конфигурацию, которую ранее скачали из личного кабинета Amnezia.

В настройках подключения отмечаем «Использовать для выхода в интернет» и нажимаем «Сохранить».

После этого включаем подключение переключателем и дожидаемся, пока индикатор пира станет зелёным, а в счётчиках «Отправлено» и «Принято» появятся данные. Это означает, что туннель установил соединение с сервером и начался обмен данными.

Этап 4. Всё, кроме российских

Как устроена схема

Подключение готово. Теперь настроим маршрутизацию по принципу «Всё, кроме российских».

В этой схеме основным подключением станет VPN. Через него пойдёт весь интернет, а для выбранных российских сайтов мы добавим исключения через провайдера.

Поэтому не придётся отдельно собирать список каждого зарубежного сервиса.

Для этого я добавил новый режим в свой генератор маршрутов. Выбираем российские сайты, которые должны открываться напрямую, и получаем готовые списки доменов для роутера.

Важно, что исключения работают именно по выбранным спискам. Если российского сайта в них нет, он тоже пойдёт через VPN.

Собираем исключения в генераторе

Переходим к генератору маршрутов на моём сайте Revelix.org. Перед вами откроется генератор маршрутов. Основные возможности я уже подробно показывал в предыдущих инструкциях, поэтому сейчас разберём новый режим.

В правом блоке «Ваш набор» появился выбор «Что пустить через VPN». По умолчанию включён режим «Только выбранные», который мы использовали раньше. Выбираем «Всё, кроме российских».

По кнопке «Подробнее» можно прочитать, как работает эта схема, какие у неё плюсы, ограничения и условия настройки.

Слева откроется каталог российских сайтов. Они уже выбраны автоматически, но при необходимости можно убрать лишние или изменить набор.

Справа видим результат выбора. В моём случае это 73 сайта и 1 818 доменов. Генератор распределит их по семи спискам, не больше 300 строк в каждом.

Почему доменов гораздо больше, чем сайтов? Один сервис может использовать отдельные домены для входа в аккаунт, загрузки изображений, видео и работы приложения. Поэтому на одну карточку в каталоге приходится сразу несколько доменов.

А разделение нужно из-за ограничения Keenetic: в одном списке допускается не больше 300 строк. Генератор учитывает этот лимит автоматически, вручную ничего делить не нужно.

Ниже есть напоминание: на роутере VPN станет основным подключением, а выбранные сайты пойдут напрямую через провайдера.

Подтверждаем использование данных стороннего проекта и нажимаем «Собрать списки».

После обработки можно посмотреть отчёт. В моём случае изменения затронули 62 домена. По кнопке «Показать все изменения» можно ознакомиться с подробностями.

Проверяем результат, ставим подтверждающую галочку и копируем первый список.

Отключаем IPv6

Возвращаемся в панель управления роутером. Перед добавлением маршрутов отключим IPv6.

В боковом меню открываем «Кабель Ethernet». В настройках действующего интернет-подключения находим «Параметры IPv6», выбираем «Не используется» и нажимаем «Сохранить».

Зачем это нужно? Маршрутизация по доменам сама по себе не требует отключения IPv6.

Но если провайдер поддерживает эту версию, а VPN-туннель — нет, часть соединений может пойти в обход туннеля. Поэтому в этой инструкции отключаем IPv6, чтобы исключить такой вариант.

Делаем VPN основным подключением

Теперь открываем «Приоритеты подключений». В «Политике по умолчанию» перемещаем подключение Amnezia выше основного подключения к провайдеру. Тогда весь трафик по умолчанию пойдёт через VPN.

Во вкладке «Применение политик» проверяем, что нужные устройства и сегменты находятся в «Политике по умолчанию».

Добавляем исключения в «Маршруты DNS»

Далее переходим в «Маршрутизация» и открываем вкладку «Маршруты DNS».

В разделе «Списки доменных имён» нажимаем «Добавить». Задаём название, например «Российские сайты 1», и вставляем первый список, который скопировали из генератора. Если скачали текстовый файл, открываем его и копируем содержимое. Нажимаем «Сохранить».

Список появится в таблице.

Теперь в разделе «Правила маршрутизации» нажимаем «Добавить». Выбираем созданный список, а в поле «Интерфейс» указываем основное подключение к провайдеру. Важно: здесь выбираем именно провайдера, а не Amnezia. Через это подключение выбранные российские сайты будут открываться напрямую.

Отмечаем «Добавлять автоматически» и нажимаем «Сохранить».

Проверяем, что правило включено.

Повторяем эти действия для остальных списков. Для каждого создаём отдельный список доменных имён и правило через то же подключение провайдера. В моём случае нужно добавить все семь списков.

Этап 5. Проверяем DNS на устройствах

Теперь проверьте DNS на устройствах: запросы должны проходить через роутер, иначе доменные правила могут не сработать.

Android. Найдите в настройках «Частный DNS» или «Персональный DNS» и отключите его.

iPhone и iPad. Откройте настройки Wi-Fi, нажмите значок информации рядом с вашей сетью и в пункте «Настройка DNS» выберите «Автоматически».

Windows. Откройте свойства сетевого подключения, затем «IP версии 4» и включите автоматическое получение адреса DNS-сервера.

Mac. Откройте «Системные настройки» → «Сеть» → ваше подключение → «Подробнее» → «DNS» и уберите вручную добавленные сторонние серверы.

Также отключите безопасный DNS в настройках браузера.

Если используете отдельные DNS-приложения, профили или «Частный узел iCloud», проверьте, не обходят ли они роутер.

После изменений переподключитесь к домашней сети и перезапустите браузер или приложение.

Этап 6. Проверяем IP-адрес и WebRTC

Теперь проверим результат на моём сайте: откройте проверку IP-адреса или нажмите «Проверить IP» в шапке сайта.

Здесь отображаются внешний IP-адрес, страна, город, часовой пояс, провайдер и сеть. При правильной настройке мы увидим адрес выбранного сервера Amnezia, а не нашего домашнего провайдера. Также сайт подскажет, похоже ли это подключение на VPN или сервер хостинга.

Ниже можно запустить проверку утечки через WebRTC. Проверяем, не раскрывается ли дополнительный публичный IP-адрес нашего провайдера.

После этого проверяем нужные российские сайты и приложения.

Готово! Мы настроили AmneziaWG 3.1 нативно на роутере и новый режим «Всё, кроме российских». Теперь весь остальной трафик идёт через VPN, а выбранные российские сайты — напрямую через провайдера.

Частые ошибки

• Российский сайт открывается через VPN — его нет в выбранных списках, или правило «Маршрутов DNS» ведёт список через Amnezia, а не через провайдера.
• Доменные правила не срабатывают — на устройстве включён свой DNS: частный DNS на Android, ручные DNS на компьютере, безопасный DNS в браузере, DNS-приложения или профили.
• Весь интернет идёт напрямую — в «Приоритетах подключений» подключение Amnezia должно стоять выше подключения провайдера, а устройства — находиться в «Политике по умолчанию».
• Часть российских сайтов идёт через VPN — для каждого списка из генератора нужно создать отдельный список доменных имён и своё правило; в моём случае их семь.
• Часть соединений идёт мимо VPN — отключите IPv6 в настройках интернет-подключения, при PPPoE также в блоке «Аутентификация у провайдера».
• Нет обновления до 5.2 — проверьте каналы обновлений: основной, затем предварительный.
• Не скачивается новый конфиг — проверьте лимит в семь конфигураций в личном кабинете Amnezia.

Другие ошибки — с поиском по симптому и коду ошибки Amnezia и Keenetic — собраны на странице «Ошибки и решения».

Если инструкция и генератор вам пригодились, ставьте лайк, подписывайтесь на канал и пишите в комментариях, как всё заработало у вас и какие сайты стоит добавить в каталог. Я отвечаю на ваши вопросы и учитываю предложения в следующих обновлениях.

Спасибо и до встречи!