VPN на роутере Keenetic: настройка XKeen через Entware
VPN на роутере Keenetic — настройка XKeen через Entware по шагам: флешка и компоненты, вход по SSH, сервер из подписки, политики устройств и проверка.
VPN на роутере Keenetic настраивается через Entware и XKeen: на флешку ставится среда с пакетами, в неё — утилита XKeen с ядром Xray, а дальше роутер сам заворачивает трафик выбранных устройств в туннель. Клиенты на телефонах и телевизорах при этом не нужны. Ниже весь путь от пустой флешки до работающего подключения с названиями пунктов меню и командами.
Что понадобится для VPN на роутере Keenetic
- Роутер Keenetic с USB-портом. Разработчик XKeen рекомендует модели на процессоре aarch64 (новые Giga, Ultra, Titan, Peak, Hopper и подобные): шифрование они тянут заметно лучше. Бюджетные mips и mipsel тоже подходят, но скорость упрётся в процессор.
- USB-накопитель: XKeen поддерживает установку только на внешний диск.
- Ссылка подписки из кабинета — пригодится на четвёртом шаге.
- Компьютер, подключённый к роутеру проводом. Правила безопасности — копия настроек, кнопка сброса — те же, что в общей статье про настройку на роутере.
Архитектуру модели проще всего посмотреть в таблице Routers Info в вики XKeen; второй вариант — команда show version в командной строке роутера, поле arch.
Шаг 1. Установить Entware на накопитель
Entware — набор пакетов Linux, который Keenetic умеет запускать с флешки. Порядок такой.
- В веб-интерфейсе откройте «Общие настройки → Обновления и компоненты → Изменить набор компонентов» и включите «Поддержка открытых пакетов». Там же отметьте «Прокси-сервер DNS-over-TLS» и «Прокси-сервер DNS-over-HTTPS» — пригодятся на следующем шаге — и модули ядра Netfilter, без которых прозрачный перехват трафика не работает. Роутер скачает компоненты и перезагрузится.
- Вставьте флешку и отформатируйте её в EXT4: страница «Накопители и устройства», раздел «Форматирование и проверка файловой системы на USB-накопителе».
- В корне накопителя создайте папку
installи положите в неё установочный архив с bin.entware.net по своей архитектуре:aarch64-installer.tar.gzизaarch64-k3.10/installer/,mipsel-installer.tar.gzизmipselsf-k3.4/installer/илиmips-installer.tar.gzизmipssf-k3.4/installer/. Удобнее всего копировать через сетевую папку: включите компонент «Сервер SMB (доступ к файлам и принтерам)», и накопитель появится в сетевом окружении компьютера. - Откройте «Менеджер пакетов OPKG», в поле «Накопитель» выберите флешку и сохраните. Роутер сам распакует архив — в журнале появится строка «Начало установки системы пакетов Entware».
Шаг 2. Зайти по SSH и подготовить роутер
Подключитесь к Entware по SSH: адрес роутера, порт 222, логин root, пароль keenetic. Если компонент «SSH-сервер» самой KeeneticOS не установлен, Entware отвечает на порту 22. На Windows хватит встроенного ssh в PowerShell. Первой командой смените пароль — passwd.
Ещё два момента, о которых просит документация XKeen.
Шифрованный DNS. XKeen требует, чтобы на роутере были прописаны DoT или DoH: иначе запросы имён уходят провайдеру открытым текстом, и часть сайтов резолвится не туда. Настраивается на странице «Интернет-фильтр», вкладка «Настройка DNS»: «Добавить сервер», тип DNS-over-TLS или DNS-over-HTTPS, адрес сервера. Почему это важно, разобрано в статье что такое DNS.
Порт 443. По умолчанию XKeen 2.0 работает в режиме Hybrid, и трогать порты не нужно. Чистый TProxy требует освободить 443: в настройках доступа к веб-интерфейсу перенести HTTPS на другой порт, например 8443. Для начала оставьте Hybrid.
Шаг 3. Установить XKeen
В консоли выполните две команды:
opkg update && opkg upgrade && opkg install curl tar && cd /tmp
sh -c "$(curl -sSL https://raw.githubusercontent.com/jameszeroX/XKeen/main/install.sh)"
Актуальный адрес скрипта и вики — на странице проекта. Установщик задаёт вопросы по очереди:
- Версия — берите стабильную.
- Ядро — Xray. Mihomo оставьте тем, кто уже знаком с его конфигами.
- Версия ядра — последнюю с числовым номером в списке.
- GeoSite и GeoIP — наборы адресов для правил маршрутизации. На первый раз ставьте всё, выбрав
1. - Исключать ли российские подсети. Если вы в России и хотите, чтобы российские сайты ходили напрямую, — да. Если вы за границей и заводите роутер ради российского выхода, — нет: тогда российские сервисы тоже пойдут через туннель и увидят российский адрес.
- Автообновление geo-файлов и автозагрузка — включайте.
Когда установка закончится, ничего не запускайте: сначала нужен сервер.
Шаг 4. Вписать сервер из подписки
Xray не понимает ссылку подписки целиком — ему нужен один конкретный сервер. В Happ или другом клиенте откройте подписку, выберите сервер из раздела «Обычный VPN» с нужной страной — не заголовок-«автовыбор», роутер переключаться не умеет — и скопируйте его ссылку через «Поделиться» или «Скопировать». Если такого пункта в вашем клиенте нет, ссылку отдельного сервера подскажет поддержка @PositiveFixers.
Дальше эту ссылку надо разложить в файл 04_outbounds.json в каталоге /opt/etc/xray/configs/. Править можно по SSH (opkg install nano, затем nano) или прямо с компьютера через ту же сетевую папку: Entware лежит в корне флешки, так что путь будет etc/xray/configs/. Не трогайте блоки freedom и blackhole — это прямой выход и заглушка, они нужны маршрутизации.
Соответствие полей ссылки полям файла:
- адрес и порт сервера —
addressиport - идентификатор перед
@—id;encryptionостаётсяnone flow, если он есть в ссылке, — в тот же блок пользователяsecurity—tlsилиrealityвstreamSettingssni→serverName,fp→fingerprint,pbk→publicKey,sid→shortIdtype→network(tcp,ws,grpc,xhttp); для веб-транспортов ещёpathиhost
В вики XKeen перечислены и онлайн-генераторы, которые собирают файл из ссылки, но разработчик советует один раз разобраться руками. Почему для дома лучше обычный раздел, а не премиальный, — в разборе видов подключений.
Шаг 5. Выбрать, кто идёт через туннель
Главное отличие XKeen 2.0 от старых сборок: он заворачивает в туннель не всех подряд, а только устройства из политики доступа в интернет Keenetic. Остальные ходят напрямую, на полной скорости.
- Политики в Keenetic живут на странице «Сетевые правила → Приоритеты подключений». Какая политика нужна XKeen и как её назвать, смотрите в
xkeen -hи вики: свои политики с произвольными именами описываются в/opt/etc/xkeen/xkeen.jsonв массивеpolicy, где пустое полеportозначает все порты. - В «Списке устройств» откройте телевизор, приставку или консоль и назначьте им эту политику. Устройства, оставшиеся в политике по умолчанию, туннель не затрагивает.
Режим без политик, для всех клиентов роутера, тоже есть, но начинать удобнее с политики: ошибка в настройке не оставит без интернета весь дом.
Шаг 6. Запустить и проверить
xkeen -start — запуск, xkeen -status — состояние, xkeen -restart — перезапуск после правки файлов, xkeen -stop — остановка. xkeen -diag собирает диагностику для обращения к разработчику.
Проверяйте с устройства, которое добавлено в политику: откройте любой сайт, показывающий ваш адрес, — должна быть страна выбранного сервера. С телефона вне политики адрес останется провайдерским. Если телевизор всё равно пишет «недоступно в вашем регионе», загляните в инструкцию по Android TV: приложения на нём подолгу держат старые ответы.
Если не заработало
xkeen -statusговорит, что Xray не запущен. Почти всегда ошибка в JSON: лишняя запятая, кавычки, скобки. Откройте журнал ошибок в/opt/var/log/xray/— там будет строка с номером символа.- Запущен, но сайты не открываются. Проверьте, назначена ли устройству политика. Затем — работает ли тот же сервер в Happ на телефоне: если нет, дело в сервере или сети, а не в роутере.
- На телефоне работает, на роутере уже нет. Клиент обновляет список серверов сам, а роутер держит одну зафиксированную ссылку. Заново скопируйте ссылку сервера и обновите
04_outbounds.json. - После включения
xkeen -dnsпропал интернет у устройств вне политики. Известная особенность встроенной «Политики по умолчанию» — создайте для таких устройств отдельную политику. - Часть сайтов идёт мимо туннеля. Обычно это IPv6: в KeeneticOS 5 его нельзя выключить полностью, и XKeen обрабатывает его отдельно. Если IPv6 от провайдера не нужен, отключите его на подключении.
- Роутер сидит на мобильном интернете, и туннель не поднимается вовсе. У оператора может быть белый список. В подписке для таких сетей есть раздел Premium LTE, но он тратит пакет гигабайт, поэтому для дома лучше проводной канал и обычный раздел.
Частые вопросы
Можно ли поставить XKeen без флешки, во внутреннюю память?
Технически возможно, но разработчик поддерживает только внешний накопитель, а проблемы при установке во внутреннюю память не считает ошибками XKeen.
Работает ли XKeen на KeeneticOS 5?
Да, XKeen 2.0 рассчитан на KeeneticOS 5 и новее; для ветки 4.3 LTS он тоже доступен. На 5.2 утилите нужен токен доступа к RCI — как его создать в веб-интерфейсе, описано в вики на странице о конфигурационном файле.
Насколько упадёт скорость?
Шифрование считает процессор роутера. На aarch64-моделях запас есть; про mips и mipsel с частотой 580 МГц вики XKeen прямо говорит: не требуйте от них больше, чем они могут.
Нужен ли на роутере блокировщик рекламы?
Не обязательно: в подписке MOSTIS реклама режется на уровне сервиса во всех разделах, кроме помеченных ADS. Если ставите свой фильтр, следите, чтобы он не перехватывал DNS раньше XKeen.
Как сменить сервер или страну?
Скопировать ссылку другого сервера из подписки, заменить значения в 04_outbounds.json и выполнить xkeen -restart. Переключаться по кнопке, как в телефоне, роутер не умеет.
3 дня и 2 ГБ Premium LTE. Карта не нужна.
Открыть кабинет