VPN на роутере: зачем он нужен, какие роутеры подходят и как настроить

Зачем ставить VPN на роутер

Главный плюс в том, что настройка делается один раз, а VPN работает на всём, что подключено к домашней сети. Не нужно ставить приложения на каждое устройство и следить, чтобы они были включены.

• Телевизоры на Tizen (Samsung) и webOS (LG), на которые VPN-клиент не установить. Другие варианты для ТВ собраны в статье про VPN на телевизоре.
• Игровые консоли: на PlayStation, Xbox и Nintendo Switch VPN-приложений нет.
• Умный дом: камеры, колонки, датчики, у которых вообще нет сетевых настроек.
• Семья с кучей устройств: пять телефонов, два ноутбука и планшет не придётся настраивать по отдельности.

Внутри домашней сети VPN на роутере ничего не защищает: если на ноутбуке вирус, туннель ему не помешает. Он шифрует трафик на участке от вашего дома до VPN-сервера, и провайдер видит только подключение к этому серверу.

Чем VPN на роутере хуже приложения на устройстве

Через VPN пойдёт всё, включая российские сервисы

Банки, Госуслуги, маркетплейсы и онлайн-кинотеатры увидят зарубежный IP-адрес. Кто-то покажет не тот город, кто-то попросит подтвердить вход, кто-то откажет в доступе. Подробно о том, почему так происходит, рассказываем в статье о банках и Госуслугах с VPN.

На телефоне такие приложения легко исключить из туннеля. На роутере нужна раздельная маршрутизация: правила, по которым российские сайты и адреса идут напрямую, а остальное через VPN. Как это устроено, объясняем в статье о раздельном туннелировании. Все сторонние решения из этой статьи такие правила поддерживают, но настраивать их придётся самостоятельно.

Скорость упирается в процессор роутера

Шифрованием на роутере занимается его процессор. У недорогих моделей он слабый, и тариф на 500 Мбит/с через VPN может превратиться в заметно меньшую скорость. Точные цифры зависят от модели, протокола и сервера, поэтому перед покупкой ищите отзывы с замерами именно VLESS на вашей модели. Нужен и запас памяти: ядро Xray или sing-box занимает десятки мегабайт, а у дешёвых роутеров флеш-памяти бывает всего 16 МБ. На задержку влияет и выбор сервера: чем он ближе, тем быстрее отклик, поэтому для домашней сети обычно выбирают ближайшую локацию.

Ошибка в настройке оставит без интернета весь дом

Если на телефоне сломался VPN-клиент, вы его просто выключите. Если ошибка в конфигурации роутера, интернета не будет ни у кого, пока вы её не найдёте. Обновление прошивки тоже может сломать сторонние дополнения, о которых речь ниже.

Не обязательно пускать через VPN всю сеть

Часть минусов снимается, если через туннель идут только нужные устройства, например телевизор и приставка. XKeen, Podkop и Passwall2 умеют выбирать устройства по их адресу в домашней сети. А в Keenetic для штатных подключений вроде WireGuard есть политики доступа в разделе «Приоритеты подключений»: отдельному устройству можно назначить своё подключение к интернету.

И ещё одна мелочь. Если дома телефон с включённым VPN-приложением, его трафик пойдёт через два туннеля подряд. Работать будет, но медленнее, так что дома приложение лучше выключать.

Почему стандартный VPN-клиент роутера не подойдёт для VLESS

Почти в любом современном роутере есть раздел «VPN-клиент». Загвоздка в списке протоколов: там WireGuard, OpenVPN, L2TP, PPTP и IPsec. Ссылку-подписку VLESS туда не вставить, такого типа подключения в заводских прошивках нет.

Если ваш VPN-сервис выдаёт конфигурацию WireGuard или OpenVPN, всё просто: она настраивается в веб-интерфейсе роутера по инструкции производителя. С VLESS так не выйдет, нужен сторонний софт. Чем протоколы отличаются и зачем вообще понадобился VLESS, мы разобрали в обзоре VLESS, WireGuard и OpenVPN.

Про роутеры от провайдеров, например Ростелекома или МТС, коротко: их прошивку обычно нельзя заменить, и VLESS она не поддерживает. Если нужен VPN на уровне роутера, ставят свой роутер и подключают его к провайдерскому кабелем.

Как VLESS вообще работает на роутере

WireGuard или OpenVPN на роутере создают обычный сетевой интерфейс, и роутер отправляет в него трафик, как в ещё одно подключение к интернету. С VLESS иначе. На роутере запускается то же ядро, что в приложениях на телефоне (Xray, sing-box или Mihomo), а роутер перехватывает трафик выбранных устройств и передаёт ядру. Ядро смотрит на правила: этот сайт отправить на VPN-сервер, этот пустить напрямую.

Чтобы правила по доменам работали, роутер должен перехватывать и DNS-запросы устройств. Поэтому почти все инструкции для VLESS на роутере начинаются с настройки DNS, и ошибки чаще всего прячутся именно там: устройство спрашивает адрес сайта у постороннего DNS-сервера, и правило по домену не срабатывает.

Keenetic и Netcraze: VLESS только через сторонний XKeen

С 2025 года роутеры Keenetic поставляются в Россию под брендом Netcraze. Названия моделей и экосистема остались прежними, так что всё сказанное ниже относится к обоим брендам.

Заводская KeeneticOS поддерживает много VPN-протоколов, но не VLESS. Из свежего в ней есть AmneziaWG, вариант WireGuard с изменённым видом служебных пакетов: базовая поддержка появилась в версии 4.2, полная — с 4.3.4. Если ваш сервис выдаёт конфигурации WireGuard или AmneziaWG, это самый простой путь, всё делается в веб-интерфейсе.

Для VLESS пользователи Keenetic сделали XKeen. Это утилита, которая ставит на роутер ядро Xray (в свежих версиях ещё и Mihomo) и направляет через него трафик выбранных устройств. Активнее всего сейчас развивается форк jameszeroX/XKeen на GitHub, обсуждение идёт на форуме Keenetic.

Что понадобится:

• роутер с USB-портом и флешка: авторы XKeen гарантируют установку только на внешний накопитель, а установка во встроенную память требует опыта;
• компонент OPKG в KeeneticOS и среда Entware, в которой работают сторонние пакеты;
• доступ к роутеру по SSH и умение работать в командной строке;
• готовность править конфигурацию Xray в формате JSON.

Насколько тесно XKeen связан с версией прошивки, видно по его же документации. Например, авторы предупреждают, что в KeeneticOS 5 IPv6 нельзя полностью отключить штатными средствами, и для некоторых сценариев советуют оставаться на ветке 4.3 с долгой поддержкой.

Пошаговых команд здесь не будет: они меняются от версии к версии, и чужая устаревшая инструкция легко приводит к неработающему роутеру. Актуальный порядок установки ищите в README проекта.

MikroTik: VLESS в контейнере на RouterOS 7

В RouterOS 7 встроен WireGuard, а VLESS нет. Для него используют пакет container: он запускает на роутере контейнеры из образов Docker. В контейнере поднимают Xray или sing-box, а затем правилами маршрутизации отправляют в него нужный трафик.

Ограничения из документации MikroTik:

• контейнеры работают только на моделях с процессорами ARM, ARM64 и x86, у моделей на других процессорах этой функции нет;
• включить их можно только при физическом доступе к роутеру: после команды нужно нажать кнопку на корпусе (на x86 — сделать холодную перезагрузку);
• образы и данные контейнеров MikroTik советует хранить на внешнем накопителе;
• производитель прямо предупреждает, что сторонние образы несут риск и гарантий безопасности для них нет.

Архитектуру процессора можно посмотреть в WinBox в разделе System → Resources. Сам способ рассчитан на тех, кто уже администрирует MikroTik и понимает таблицы маршрутизации. Если вы настраивали роутер по видеоурокам и боитесь в нём что-то трогать, начните с варианта попроще.

OpenWrt: самый гибкий вариант, если роутер его поддерживает

OpenWrt — открытая прошивка, которую ставят вместо заводской. После этого роутер становится маленьким Linux-компьютером с менеджером пакетов. Для VLESS на OpenWrt есть несколько дополнений с веб-интерфейсом:

• Podkop — проект русскоязычного сообщества на основе sing-box, пока в статусе беты. Пускает через туннель выбранные списки доменов и адресов, остальное напрямую. Понимает ссылки VLESS, Shadowsocks, Trojan и Hysteria2. Рассчитан на OpenWrt 24.10 и новее, нужно около 20–25 МБ свободного места, роутеры с флеш-памятью 16 МБ не поддерживаются.
• Passwall2 — давний проект на Xray и sing-box, умеет загружать подписки. Обновляется часто: очередная версия вышла 29 октября 2026 года.
• HomeProxy — интерфейс для sing-box из ImmortalWrt, форка OpenWrt, рассчитан на роутеры с процессорами ARM64 и x86-64.

Настраиваются эти дополнения в LuCI, веб-интерфейсе OpenWrt, а ставятся обычно из командной строки по SSH, по инструкции из документации проекта.

Учтите, что в OpenWrt 25.12 сменился менеджер пакетов (вместо opkg теперь apk), и сторонние пакеты без подписи через веб-интерфейс по умолчанию не поставить. Инструкции, написанные для 24.10, к новой версии подходят не дословно.

Перед установкой найдите свою модель в таблице совместимого оборудования OpenWrt. Смотрите и на модель, и на ревизию. Например, популярный Xiaomi AX3000T поддерживается, а для новой ревизии RD03v2 официальной поддержки нет. Перепрошивка обычно лишает гарантии, а ошибка в процессе может превратить роутер в «кирпич».

Есть роутеры, где OpenWrt уже внутри. Заводская прошивка GL.iNet построена на OpenWrt, и пакеты из этого мира на неё, как правило, ставятся без перепрошивки. Модели с маленьким объёмом памяти для Xray или sing-box всё равно не подойдут.

У владельцев ASUS похожий путь: альтернативная прошивка Asuswrt-Merlin и стороннее дополнение XRAYUI, которое ставит Xray с веб-интерфейсом. Список моделей, на которых его проверяли, есть в README проекта на GitHub.

Что можно сделать с вашим роутером: сводная таблица

На что смотреть, если покупаете роутер под VLESS

• Поддержку в OpenWrt именно вашей ревизии, если планируете перепрошивку. Номер ревизии обычно указан на наклейке снизу.
• Объём флеш-памяти. По документации Podkop, если sing-box ещё не установлен, нужно около 40 МБ свободного места, так что на модели с 16 МБ флеш-памяти он не встанет вовсе.
• Процессор. Как правило, современный многоядерный ARM справляется с VLESS лучше старого MIPS, но конкретную скорость ищите в отзывах с замерами.
• USB-порт, если у вас Keenetic и вы собираетесь ставить XKeen.

Второй роутер вместо перепрошивки основного

Если не хочется рисковать основным роутером, через который работает вся квартира, можно поставить второй, с OpenWrt или заводской прошивкой GL.iNet, и подключить к нему только телевизор и приставку. Основная сеть продолжит работать как раньше, а эксперименты с VPN затронут только второй роутер.

Для сравнения: приставка на Android TV для одного телевизора настраивается минут за пятнадцать, и опыт администрирования для этого не нужен. Если VPN нужен только на ТВ, начните с неё.

Подойдёт ли ссылка-подписка для роутера

Ссылка-подписка — стандартный формат: по ней клиент получает список серверов и потом сам его обновляет. Как она устроена и чем отличается от отдельного ключа vless://, рассказываем в статье про ключи и подписки VLESS.

На роутере подписку можно использовать в дополнениях, которые умеют её загружать, например в Passwall2. В Podkop встроенной поддержки подписок пока нет, его документация советует вставлять ссылки на отдельные серверы вручную. В XKeen и контейнере на MikroTik конфигурацию Xray обычно пишут сами, по параметрам сервера.

Там, где подписка загружается автоматически, новые серверы появятся сами. Там, где ссылки вставлены вручную, при смене серверов их придётся обновлять вручную.

В кабинете Byte VPN инструкций для роутеров нет, только для приложений на телефонах, компьютерах и Android TV. Ссылку-подписку из кабинета можно добавить в роутерный клиент с поддержкой VLESS-подписок, но это самостоятельная настройка, и опираться придётся на документацию выбранного проекта.

Как проверить, что VPN на роутере работает

1. Выключите VPN-приложение на телефоне или компьютере, подключённом к этому роутеру.
2. Откройте сайт проверки IP-адреса. Он должен показать страну и адрес VPN-сервера.
3. Откройте пару российских сайтов, например банк или Госуслуги. Если раздельная маршрутизация настроена, они откроются как обычно.
4. Проверьте устройство, ради которого всё затевалось. На телевизорах Samsung и LG есть встроенный браузер: откройте в нём тот же сайт проверки IP-адреса.
5. Замерьте скорость с VPN и без него. Если разница большая, попробуйте другой сервер или пустите через VPN меньше трафика: возможно, процессор роутера не справляется.

Если после включения VPN перестало работать какое-то устройство, например умная колонка или камера, исключите его из туннеля: часть таких устройств работает через облачные сервисы, которые могут не пускать подключения из-за рубежа.

Как дополнительно проверить, не утекают ли DNS-запросы мимо туннеля, рассказываем в статье как проверить VPN.