OpenWRT настройка VPN VLESS: полное руководство по установке и конфигурации

Зачем настраивать VLESS на роутере с OpenWRT

Настройка VPN-протокола VLESS непосредственно на роутере с OpenWRT позволяет обеспечить защищённый доступ в интернет для всех устройств в домашней сети — от компьютеров и смартфонов до телевизоров и игровых приставок, на которые часто невозможно установить VPN-клиент. В отличие от установки приложения на каждое устройство, роутер берёт на себя шифрование и маршрутизацию трафика, что упрощает управление и повышает стабильность соединения.

VLESS (VMess Lightweight) — это облегчённая версия протокола VMess, разработанная для проектов Project V и Xray. Его ключевое преимущество — минимальный оверхед и высокая производительность, что особенно важно для роутеров с ограниченными вычислительными ресурсами. Трафик VLESS неотличим от обычного HTTPS, что делает его эффективным для обхода региональных блокировок и обеспечения приватности.

Сценарии использования включают:

• Обеспечение приватности интернет-соединения всех или части устройств в локальной сети.
• Обход региональных блокировок на всех или части устройств.
• Реализация двойного VPN: первый VPN-провайдер на роутере видит IP клиента, но не видит IP посещаемых ресурсов; второй VPN-провайдер на клиентских устройствах видит IP ресурсов, но не IP клиента.

Важно понимать, что настройка требует определённых технических знаний и внимательности. Неправильная конфигурация может привести к потере доступа к интернету или снижению производительности.

Требования к оборудованию и подготовка роутера

Для успешной настройки VLESS на OpenWRT необходимо убедиться, что роутер соответствует минимальным требованиям. Рекомендуется:

• Операционная система OpenWRT версии 23.05 или новее (или совместимая сборка ImmortalWRT).
• Минимум 256 МБ оперативной памяти (ОЗУ). Для комфортной работы с графическими интерфейсами вроде HomeProxy желательно от 512 МБ.
• Свободное место во flash-памяти: около 30 МБ для установки пакетов.

Если OpenWRT ещё не установлена, проверьте совместимость вашей модели на официальном сайте openwrt.org. Для роутеров Xiaomi, ASUS, Keenetic и других популярных брендов существуют отдельные инструкции по прошивке. Альтернативный вариант — приобрести роутер с предустановленной OpenWRT, например, модели GL.iNet, которые избавляют от этапа перепрошивки.

Перед началом настройки рекомендуется выполнить сброс роутера до заводских настроек. Это удалит несовместимое с Passwall или HomeProxy программное обеспечение (другие VPN-клиенты, программы для анализа трафика, DoH- и DoT-конфигурации) и временные файлы. Для сброса:

1. Подключитесь по кабелю к LAN-порту роутера.
2. Введите локальный IP роутера (обычно 192.168.0.1 или 192.168.1.1) в браузере.
3. Перейдите в System → Backup/Flash Firmware и нажмите Perform reset.
4. Дождитесь перезагрузки роутера.

После сброса настройте доступ в интернет: введите параметры WAN-интерфейса (IP, шлюз, DNS) согласно данным от провайдера. Если провайдер использует фильтрацию по MAC-адресу, измените MAC-адрес WAN-интерфейса в Network → Interfaces → Devices → WAN → Configure.

Выбор инструмента: Passwall или HomeProxy

Для настройки VLESS на OpenWRT существует два основных пакета с графическим интерфейсом: Passwall и HomeProxy. Оба позволяют управлять VPN-подключениями через веб-интерфейс LuCI, но имеют различия.

Passwall — это пакет на основе xray-core, поддерживающий широкий спектр протоколов, включая VLESS, VMess, Shadowsocks, Trojan и другие. Он предоставляет гибкие возможности маршрутизации, ACL (списки контроля доступа) и управления подписками. Установка выполняется через SSH-скрипт, который загружает и настраивает все необходимые компоненты. Passwall требует больше оперативной памяти (рекомендуется от 256 МБ) и более внимательной настройки.

HomeProxy — более современный и лёгкий пакет, работающий на движке sing-box. Он устанавливается из стандартного репозитория OpenWRT (пакет luci-app-homeproxy) и отличается простотой настройки. HomeProxy поддерживает VLESS, но не поддерживает конфигурации типа XHTTP — это важно учитывать при добавлении подписки. Для большинства домашних сценариев HomeProxy является предпочтительным выбором благодаря меньшему потреблению ресурсов и интуитивному интерфейсу.

Выбор между ними зависит от:

• Объёма оперативной памяти: если менее 256 МБ, лучше использовать HomeProxy или Passwall в облегчённом режиме.
• Необходимости поддержки XHTTP: если нужен XHTTP, выбирайте Passwall2 (обновлённая версия Passwall).
• Уровня технической подготовки: HomeProxy проще в настройке для новичков.

Оба пакета позволяют добавлять подписки от VPN-провайдеров, выбирать серверы и настраивать маршрутизацию трафика.

Пошаговая установка Passwall через SSH

Установка Passwall выполняется через командную строку. Для этого потребуется SSH-клиент (PuTTY на Windows, встроенный терминал на macOS/Linux).

1. Подключитесь к роутеру по SSH:

• На Windows: используйте PuTTY, введите IP роутера и порт 22.
• На macOS/Linux: в терминале выполните ssh root@192.168.1.1 (замените IP на адрес вашего роутера).
• Введите пароль от роутера (если установлен).

1. Выполните команду для загрузки и запуска скрипта установки:

   rm -f passwallx.sh && wget https://raw.githubusercontent.com/amirhosseinchoghaei/Passwall/main/passwallx.sh && chmod 777 passwallx.sh && sh passwallx.sh

1. Скрипт предложит выбрать вариант установки:

• Вариант 1: если объём оперативной памяти роутера меньше 256 МБ.
• Вариант 2: если объём оперативной памяти больше 256 МБ.

1. Дождитесь завершения установки и перезагрузите роутер командой reboot.

1. После перезагрузки проверьте наличие нового меню Services → Passwall в веб-интерфейсе.

Важно: Перед выполнением скрипта убедитесь, что вы доверяете источнику. Скрипт загружается из стороннего репозитория, и его содержимое может изменяться. Рекомендуется изучить скрипт перед запуском или использовать альтернативные методы установки из официального репозитория OpenWRT.

Если после установки изменилось имя роутера (hostname), его можно вернуть командами:

uci set system.@system[0].hostname="Name"
uci commit system
echo $(uci get system.@system[0].hostname) > /proc/sys/kernel/hostname
reboot

Настройка Passwall: добавление подписки и выбор сервера

После установки Passwall необходимо добавить подписку на VPN-серверы. Большинство коммерческих VPN-провайдеров предоставляют ссылку на подписку (Subscribe URL), которая содержит список доступных серверов.

1. В веб-интерфейсе перейдите в Services → Passwall → Node Subscribe.
2. Нажмите Add, введите название подписки в поле Subscribe Remark и ссылку, предоставленную провайдером, в поле Subscribe URL.
3. Нажмите Manual Subscription для ручного обновления подписки. Дождитесь завершения процесса — список серверов отобразится в Services → Passwall → Node List.
4. В Node List можно проверить пинг до каждого сервера, нажав на кнопку Ping.

1. Выберите сервер для подключения:

• Перейдите в Services → Passwall → Basic Settings → Main.
• В поле Node выберите нужный сервер из списка.
• Поставьте галочку Main switch для включения VPN.
• Нажмите Save & Apply.

1. После успешного подключения рядом с пунктом Core появится зелёная надпись RUNNING.

1. Проверьте, что трафик идёт через VPN: откройте на любом устройстве сервис определения IP (например, whatismyipaddress.com) — должен отображаться IP-адрес VPN-сервера.

Совет: Для повышения надёжности используйте режим URLTest в поле Main Node. Passwall будет автоматически проверять доступность нескольких серверов и переключаться на живой при сбое. Для этого выберите в поле Main Node режим URLTest и укажите два-три сервера из разных стран.

Установка и настройка HomeProxy

HomeProxy — альтернативный пакет для настройки VLESS, который устанавливается из официального репозитория OpenWRT. Он проще в установке и требует меньше ресурсов.

Установка:

1. В веб-интерфейсе перейдите в System → Software → Update lists (обновить список пакетов).
2. Найдите и установите пакет luci-app-homeproxy. Если в штатном репозитории его нет, скачайте готовую сборку с GitHub проекта.
3. После установки обновите страницу — в меню Services появится пункт HomeProxy.

Добавление подписки:

1. Откройте Services → HomeProxy → вкладка Node Settings.
2. Быстрый способ: вкладка Subscriptions → вставьте ссылку подписки → Update. Роутер сам подтянет список серверов.
3. Ручной способ: Nodes → Import share links → вставьте конфигурацию сервера из личного кабинета провайдера → Импорт.

Важный нюанс: Движок sing-box, на котором работает HomeProxy, не поддерживает конфигурации типа XHTTP. Если в подписке есть XHTTP-серверы, их необходимо отфильтровать. Во вкладке Subscriptions включите Filter nodes → Blacklist mode и добавьте ключевое слово xhttp — останутся только VLESS-серверы.

Выбор сервера и режима маршрутизации:

1. В качестве Main Node выберите сервер с наименьшим пингом.
2. В Routing Mode выберите Global — весь домашний трафик пойдёт через VPN.
3. Режим проксирования: Redirect TCP + TProxy UDP как универсальный вариант. Если выбран вариант с Tun, создайте интерфейс для устройства singtun0 в Network → Firewall и отнесите его к зоне wan.
4. После применения статус службы должен стать RUNNING — проверьте во вкладке Status.

Проверка: Откройте с любого устройства сервис определения IP — адрес должен быть адресом VPN-сервера.

Маршрутизация трафика: глобальный режим и исключения

После настройки VPN-подключения необходимо определить, какой трафик будет проходить через туннель. OpenWRT с Passwall или HomeProxy предлагает несколько режимов маршрутизации.

Глобальный режим (Global): Весь трафик всех устройств в локальной сети направляется через VPN. Это самый простой и надёжный способ, подходящий для большинства сценариев. Однако он может привести к замедлению соединения для задач, не требующих VPN (например, доступ к локальным ресурсам).

Режим с исключениями (ACL): Позволяет настроить, какие устройства или порты будут идти в обход VPN. Например, можно оставить прямой доступ для рабочего ноутбука, а телевизор направить через туннель.

В Passwall для создания исключений:

1. Перейдите в Services → Passwall → ACL.
2. Нажмите Add, в поле Source выберите MAC-адрес устройства.
3. В полях TCP No Redir Ports и UDP No Redir Ports выберите All (весь трафик в обход).
4. Нажмите Save & Apply.
5. В ACL поставьте галочки напротив созданного правила и Main switch.

Важно: На устройствах, которые должны идти в обход VPN, отключите рандомизацию MAC-адреса при каждом подключении к Wi-Fi. В настройках сети выберите «Стабильный MAC-адрес» (на Android и Linux с GNOME).

В HomeProxy настройка маршрутизации по устройствам также доступна, но требует отдельного разбора. Базовые режимы описаны выше.

Дополнительные настройки:

• Для повышения стабильности можно настроить автоматический перезапуск службы при обрыве с помощью пакета internet-detector.
• Если роутеру не хватает памяти, рассмотрите использование sing-box без веб-интерфейса — это более лёгкий, но сложный в настройке вариант.

Решение типичных проблем и диагностика

При настройке VLESS на OpenWRT могут возникнуть следующие проблемы:

Служба RUNNING, но интернета нет.

• Проверьте фильтр XHTTP в HomeProxy (9 из 10 случаев).
• Смените Main Node на другой сервер.
• Проверьте логи: в Passwall — Services → Passwall → Watch Logs, в HomeProxy — вкладка Status.

Подписка не обновляется.

• Обновите вручную во вкладке Subscriptions.
• Если проблема повторяется, включите опцию Update via Proxy (обновление через VPN).

Соединение периодически отваливается.

• Настройте автоперезапуск службы при обрыве с помощью internet-detector.
• Используйте URLTest для автоматического переключения на другой сервер.
• Обратитесь в поддержку VPN-провайдера — возможно, проблема на их стороне.

Роутеру не хватает памяти.

• HomeProxy — самый экономный вариант с GUI, но 128 МБ ОЗУ недостаточно.
• Альтернатива: настройка sing-box без веб-интерфейса (требует уверенного владения консолью).
• Рассмотрите апгрейд роутера на модель с 512 МБ ОЗУ.

Нужна поддержка XHTTP или других протоколов.

• Используйте Passwall2 вместо HomeProxy — он работает на xray-core и поддерживает всё, но требует больше памяти.

Общие советы:

• Перед началом настройки сделайте резервную копию текущей конфигурации OpenWRT.
• Используйте пробный период VPN-провайдера для проверки совместимости и скорости.
• Если что-то пошло не так, выполните сброс до заводских настроек и начните заново.

Сравнение производительности: VLESS vs другие протоколы на роутере

Выбор протокола VPN для роутера с OpenWRT влияет на производительность, стабильность и совместимость. VLESS имеет ряд преимуществ перед классическими протоколами:

VLESS vs VMess: VLESS является облегчённой версией VMess с меньшим overhead. Он быстрее устанавливает соединение и потребляет меньше ресурсов процессора, что критично для слабых роутеров. При этом VLESS сохраняет все функции безопасности, включая шифрование и маскировку трафика.

VLESS vs Shadowsocks: Shadowsocks также лёгок, но его трафик легче детектировать методами DPI (глубокого анализа пакетов). VLESS с транспортом REALITY делает трафик неотличимым от обычного HTTPS, что повышает устойчивость к блокировкам.

VLESS vs WireGuard: WireGuard — современный протокол с высокой скоростью и низкой задержкой, но его трафик легко идентифицировать. VLESS предпочтительнее для обхода цензуры, тогда как WireGuard лучше для чистых каналов.

Производительность на роутере:

• Бюджетные модели с OpenWRT (например, на базе MT7621) дают 30–80 Мбит/с через VLESS-туннель. Этого достаточно для просмотра видео в HD и работы.
• Для тарифов 200+ Мбит/с потребуется роутер с более мощным процессором (например, на базе IPQ8074).
• HomeProxy на sing-box обычно показывает чуть более высокую производительность, чем Passwall на xray-core, за счёт оптимизации.

Рекомендация: Для большинства домашних сценариев VLESS является оптимальным выбором благодаря балансу скорости, безопасности и устойчивости к блокировкам. Если требуется максимальная производительность на слабом железе, рассмотрите Shadowsocks.

Безопасность и рекомендации по выбору VPN-провайдера

При настройке VLESS на роутере важно учитывать аспекты безопасности и выбирать надёжного VPN-провайдера.

Ключевые критерии выбора провайдера:

• Поддержка протокола VLESS и предоставление ссылки на подписку (Subscribe URL).
• Отсутствие логов (no-logs policy) и независимые аудиты.
• Наличие серверов в разных странах для гибкой маршрутизации.
• Возможность использования на нескольких устройствах (мультиустройственная подписка).
• Техническая поддержка, готовая помочь с настройкой на OpenWRT.

Рекомендации по безопасности:

• Используйте только официальные или проверенные источники для установки пакетов (Passwall, HomeProxy). Избегайте запуска скриптов из непроверенных репозиториев без предварительного анализа.
• Регулярно обновляйте OpenWRT и установленные пакеты для закрытия уязвимостей.
• Настройте брандмауэр (firewall) для ограничения доступа к веб-интерфейсу роутера из внешней сети.
• Используйте сложные пароли для доступа к роутеру и Wi-Fi.
• Рассмотрите возможность использования двойного VPN для повышения анонимности: первый VPN на роутере, второй — на клиентских устройствах.

Важно: Ни один VPN не гарантирует полную анонимность. Для максимальной приватности комбинируйте VPN с другими инструментами, такими как Tor, и соблюдайте цифровую гигиену.

Если вы не уверены в своих силах, обратитесь к специалисту или используйте готовые решения от провайдеров, которые предоставляют пошаговые инструкции и поддержку.

Вопросы и ответы