VPN на роутере: OpenWrt, весь дом за VPN, телевизор и приставки

Зачем VPN на роутере

Приложение на телефоне защищает один телефон. Роутер с VPN защищает всё, что подключено к домашней сети, и делает это незаметно для самих устройств: они видят обычный Wi-Fi, а шифрование и маршрутизация происходят на роутере.

• Телевизор, консоль, медиаплеер и умная техника без VPN-клиента получают тот же IP, что и телефон.
• На ноутбуках и телефонах не расходуется батарея и не нужно следить, включён ли туннель.
• Гости и новые устройства защищены сразу после подключения к Wi-Fi.
• Настройки живут в одном месте, а не в десятке приложений.

Есть и цена: скорость ограничена процессором роутера, а любые проблемы с туннелем затрагивают сразу весь дом. Поэтому важно правильно выбрать оборудование и продумать, что делать при обрыве соединения.

Какой роутер подойдёт

MeduzaVPN поставляет готовый пакет для OpenWrt — открытой прошивки, которая ставится на сотни моделей роутеров. Пакет собран под три платформы, на которых мы его проверяем, а для остальных доступны статические сборки демона.

Память и хранилище

Ключевое требование — место в хранилище. Пакету с зависимостями нужно 40–46 МБ. Роутер с 16 МБ флеш-памяти не подходит: после установки самой прошивки там остаётся несколько мегабайт. Ищите модели со 128 МБ и больше либо настройте extroot на USB-накопитель, если у роутера есть порт. Оперативной памяти желательно от 256 МБ, иначе при большом числе соединений демон и веб-интерфейс будут конкурировать за ресурсы.

Перед покупкой сверьтесь с таблицей оборудования OpenWrt: важны не только процессор и объём памяти, но и то, что модель поддерживается актуальной веткой прошивки. Устаревшие ветки могут не иметь нужных зависимостей.

Установка пакета на OpenWrt

Предполагается, что OpenWrt уже установлен и роутер выходит в интернет. Установка пакета занимает несколько минут.

1. Откройте страницу VPN для роутера и скачайте пакет под вашу платформу.
2. Убедитесь, что свободного места не меньше 50 МБ: раздел «Система → Программное обеспечение» в LuCI показывает остаток.
3. Загрузите пакет через тот же раздел LuCI или по SSH командой установки opkg.
4. Дождитесь установки зависимостей; при первом запуске демон создаст свои настройки.
5. Откройте новую страницу MeduzaVPN в меню LuCI и выполните вход по QR-коду.
6. Выберите локацию и протокол, включите подключение и проверьте IP с любого устройства в сети.

Статические сборки для других платформ

Если ваш роутер работает на arm64, armv7 или mips, возьмите статическую сборку демона. Она не зависит от библиотек прошивки и запускается как обычная служба. Страницы в LuCI в этом случае нет: вход и выбор локации выполняются командами по SSH, а параметры хранятся в конфигурационном файле. Этот путь рассчитан на тех, кто уверенно работает с консолью.

Вход по QR-коду и страница в LuCI

У роутера нет удобной клавиатуры, и хранить на нём пароль от аккаунта не хочется. Поэтому вход устроен так же, как на телевизоре: страница MeduzaVPN в LuCI показывает QR-код, вы сканируете его телефоном с приложением или открываете ссылку в браузере и подтверждаете вход. Роутер получает собственный ключ доступа, который можно отозвать в аккаунте в любой момент.

На самой странице доступны:

• состояние подключения, текущая локация и внешний IP;
• выбор из 30+ локаций и переключение протокола — MeduzaVPN ULTRA, WireGuard, VLESS и других;
• включение kill switch;
• выбор, какие устройства или подсети идут через туннель;
• журнал последних событий подключения.

Роутер — это ещё одно устройство в аккаунте. Он не расходует отдельную подписку и не занимает «слот», ограничения по числу устройств нет. Если вы делите VPN с семьёй, посмотрите, как устроен совместный доступ.

Kill switch и разделение трафика

Kill switch

При обрыве туннеля роутер может либо пропустить трафик напрямую, либо заблокировать его до восстановления. Второй режим — kill switch. На роутере он действует на всех, поэтому решите заранее: если у вас работают устройства, которым важен непрерывный интернет (видеонаблюдение, умный дом), возможно, лучше пустить их мимо туннеля и включить блокировку только для остальных.

Разделение по устройствам

В OpenWrt трафик легко делится по клиентам. Практичный вариант — две Wi-Fi-сети: одна идёт через VPN, другая напрямую. Телевизор и приставку подключают к первой, рабочие устройства с корпоративным VPN — ко второй. Это тот же принцип, что и split tunneling в приложениях, только границей служит сеть, а не список программ.

DNS

Проверьте, что DNS-запросы тоже идут через туннель. Если роутер продолжает спрашивать DNS-сервер провайдера, сайты будут видеть IP VPN, а провайдер — список доменов. Пакет MeduzaVPN настраивает DNS в туннель по умолчанию, но при ручных изменениях в dnsmasq это стоит перепроверить.

Ограничения и что учесть

• Скорость. Шифрование выполняет процессор роутера. На MT7621 практический потолок — десятки мегабит в секунду, на Filogic и x86 — сотни. Для 4K-видео достаточно, для гигабитного канала — нет.
• Одна локация на всех. Роутер подключён к одному серверу. Если одному устройству нужен Амстердам, а другому Токио, придётся либо переключать, либо оставить приложение на самом устройстве.
• Гео-сервисы. Все устройства получают IP выбранной локации, и часть сервисов начнёт показывать иностранный каталог, валюту и язык. Для них используйте разделение трафика.
• Смена протокола под сеть. Провайдер может начать мешать одному протоколу; на роутере это заметно сразу по всему дому. Держите под рукой страницу LuCI, чтобы переключиться, — например, с WireGuard на MeduzaVPN ULTRA.
• Обновления. Пакет обновляется через opkg, как и остальные компоненты OpenWrt. Раз в несколько месяцев стоит проверять новые версии.
• Точка отказа. Ошибка в настройке роутера оставляет без интернета всех. Сохраните резервную копию конфигурации перед изменениями.

Альтернативы роутеру

Роутер нужен не всегда. Если задача — только телевизор или приставка, проще поставить приложение на само устройство.

Для телевизоров у MeduzaVPN есть приложения для Apple TV, Android TV и Fire TV: вход по коду с телефона, выбор локации пультом, тот же персональный сервер. Многие совмещают оба подхода: роутер для техники без клиента, приложения — для телефонов и ноутбуков, которые уезжают из дома.

Заключение

VPN на роутере с OpenWrt — способ закрыть весь дом одним подключением и защитить технику, у которой нет своего клиента. Главные условия: 40–46 МБ хранилища, поддерживаемая платформа и понимание, как поведёт себя сеть при обрыве туннеля.

Персональный VPN от MeduzaVPN на роутере использует тот же отдельный сервер с собственным IP, что и приложения, а аккаунт один для всех устройств. На подписках действуют 7 дней без оплаты и возврат в течение 15 дней. Выбрать тариф.

Частые вопросы