Настройка VPN между роутерами: полное руководство по организации защищённого туннеля

Зачем соединять роутеры VPN-туннелем

VPN-туннель между двумя роутерами — это способ объединить две локальные сети в единое защищённое пространство. Такая схема востребована в нескольких сценариях: соединение домашней сети с офисной, объединение двух офисов, доступ к домашним устройствам из любой точки мира или организация общей инфраструктуры для нескольких объектов.

Главное преимущество такого подхода — централизованная защита. Вместо настройки VPN-клиента на каждом компьютере, смартфоне или Smart TV достаточно один раз настроить роутер. Все устройства, подключённые к нему, автоматически получают доступ к удалённой сети и шифрование трафика. Это особенно удобно для IoT-устройств, которые часто не поддерживают установку VPN-приложений.

Кроме того, VPN между роутерами позволяет использовать единые правила безопасности для всех пользователей сети, скрывать реальный IP-адрес и обходить географические ограничения на уровне всей сети. Например, можно подключить телевизор к VPN-серверу в другой стране и смотреть стриминговые сервисы, которые недоступны в вашем регионе, без необходимости настраивать каждый девайс отдельно.

Однако важно понимать и ограничения. Шифрование трафика создаёт дополнительную нагрузку на процессор роутера. Если устройство слабое, скорость соединения может заметно упасть. Также смена VPN-сервера требует доступа к панели управления роутером, что менее удобно, чем переключение в приложении. Поэтому перед настройкой стоит оценить возможности оборудования и выбрать подходящий протокол.

Выбор протокола: WireGuard, OpenVPN или другие

От выбора протокола зависят скорость, безопасность и совместимость. На сегодняшний день наиболее популярны два варианта: WireGuard и OpenVPN.

WireGuard — современный протокол, который отличается высокой скоростью и минимальной нагрузкой на процессор. Он использует современную криптографию и работает на основе простых ключей. WireGuard идеально подходит для роутеров с ограниченными ресурсами и для соединений, где важна производительность. Его поддерживают MikroTik (начиная с RouterOS 7), OpenWrt, многие современные прошивки и VPN-провайдеры.

OpenVPN — классический стандарт, который работает практически на всех роутерах с поддержкой VPN. Он более гибок: может использовать UDP для скорости или TCP для надёжности при блокировках. Однако OpenVPN требует больше вычислительных ресурсов, что может снизить скорость на слабых устройствах. Для настройки обычно нужен файл конфигурации .ovpn, который предоставляет VPN-сервис.

Существуют и другие протоколы, такие как L2TP/IPsec или IKEv2, но они чаще используются в корпоративных сценариях и на бытовых роутерах встречаются реже. PPTP считается устаревшим и небезопасным, его использовать не рекомендуется.

Рекомендация: если роутер поддерживает WireGuard — выбирайте его. Если нет — настраивайте OpenVPN с UDP (или TCP/443 при жёстких блокировках).

Какие роутеры подходят для VPN-туннеля

Не каждый роутер умеет работать как VPN-клиент или VPN-сервер. Вот основные варианты:

• Роутеры с встроенной поддержкой VPN: Asus (AsusWRT, AsusWRT-Merlin), Keenetic, MikroTik, часть моделей TP-Link (Archer/Omada), а также устройства с прошивками OpenWrt, DD-WRT, Tomato.
• Роутеры без поддержки VPN: можно попробовать перепрошить на OpenWrt или DD-WRT, если модель поддерживается, либо использовать внешний VPN-роутер или мини-ПК, подключённый к основному.

Роутеры, которые предоставляют интернет-провайдеры, часто имеют закрытую прошивку и не поддерживают VPN. В таком случае есть два пути: купить собственный роутер и перевести устройство провайдера в режим моста, либо использовать промежуточное устройство (Raspberry Pi, NAS) для организации VPN.

Перед покупкой или настройкой проверьте в документации, какие протоколы VPN поддерживает роутер. Также обязательно обновите прошивку до последней стабильной версии — это повысит безопасность и добавит новые функции.

Подготовка к настройке: что понадобится

Прежде чем приступать к настройке, соберите все необходимые данные. Вам понадобятся:

• IP-адрес и порт VPN-сервера (если вы подключаетесь к внешнему сервису) или IP-адреса обоих роутеров (для соединения между ними).
• Выбранный протокол (WireGuard или OpenVPN).
• Учётные данные: имя пользователя и пароль, либо ключи и сертификаты.
• Файл конфигурации (.ovpn для OpenVPN или параметры WireGuard).
• DNS-серверы VPN-провайдера, если они предоставляются.
• Список локаций, рекомендуемых для вашего региона (для выбора оптимального сервера).

Если вы настраиваете VPN между двумя роутерами, важно понимать, какой из них будет сервером, а какой — клиентом. Сервер должен иметь статический (белый) IP-адрес, если клиент будет инициировать подключение. Если оба роутера имеют белые IP, можно настроить peer-to-peer соединение, где инициатором может быть любая сторона.

Также убедитесь, что у вас есть доступ к административной панели обоих роутеров. Обычно это веб-интерфейс по адресу 192.168.0.1 или 192.168.1.1, логин и пароль указаны на наклейке устройства.

Пошаговая настройка WireGuard между двумя роутерами MikroTik

Рассмотрим настройку VPN-туннеля между двумя роутерами MikroTik на примере RouterOS 7.16.2. В этой схеме один роутер будет сервером (с белым IP), второй — клиентом (с серым IP).

Настройка сервера:

1. Создайте интерфейс WireGuard: перейдите в раздел WireGuard → WireGuard, нажмите «+». Укажите Listen Port (например, 13231) и MTU (1420). Private key сгенерируется автоматически, Public key нужно будет скопировать для клиента.
2. Назначьте IP-адрес для WireGuard-интерфейса: IP → Addresses, добавьте адрес, например 174.16.0.1/24.
3. Добавьте Peer (клиента): WireGuard → Peers, укажите Public Key клиента, Allowed Address (IP клиента и подсеть за ним, например 174.16.0.2/32, 192.168.5.0/24), Persistent Keepalive (например, 10s). Endpoint и Endpoint Port оставьте пустыми — это сделает сервер пассивной стороной.
4. Настройте маршрутизацию: IP → Routes, добавьте маршрут к подсети клиента (Dst. Address = 192.168.5.0/24, Gateway = 174.16.0.2).

Настройка клиента:

1. Создайте интерфейс WireGuard: WireGuard → WireGuard, укажите Listen Port (можно тот же 13231) и MTU 1420. Скопируйте Public Key — он понадобится для сервера.
2. Назначьте IP-адрес: IP → Addresses, добавьте 174.16.0.2/24.
3. Добавьте Peer (сервера): WireGuard → Peers, укажите Public Key сервера, Endpoint (IP сервера) и Endpoint Port (13231), Allowed Address (IP сервера и подсеть за ним, например 174.16.0.1/32, 192.168.1.0/24), Persistent Keepalive 10s.
4. Настройте маршрутизацию: IP → Routes, добавьте маршрут к подсети сервера (Dst. Address = 192.168.1.0/24, Gateway = 174.16.0.1).

После этого туннель должен установиться. Проверить можно по параметрам Peer: Rx, Tx и Last Handshake начнут заполняться значениями.

Важно: если соединение не устанавливается, проверьте правила Firewall. На сервере должно быть разрешающее правило для входящих UDP-пакетов на порт WireGuard:

/ip firewall filter add action=accept chain=input dst-port=13231 in-interface-list=WAN protocol=udp

Настройка VPN-клиента на роутере для подключения к внешнему серверу

Если вы хотите подключить роутер к коммерческому VPN-сервису или к VPS-серверу, процесс будет немного другим. Рассмотрим на примере MikroTik и WireGuard.

1. Создайте интерфейс WireGuard: WireGuard → WireGuard, укажите Private Key из конфигурации, предоставленной VPN-провайдером.
2. Добавьте Peer: WireGuard → Peers, укажите Public Key сервера, Endpoint (IP и порт, например 5.61.49.243:51820), Allowed Address = 0.0.0.0/0 (весь трафик через VPN), Persistent Keepalive 10s.
3. Назначьте IP-адрес: IP → Addresses, укажите адрес из конфигурации (например, 10.180.5.5/32).
4. Добавьте WireGuard-интерфейс в список WAN: Interfaces → Interface List.
5. Настройте NAT Masquerade для WireGuard-интерфейса: IP → Firewall → NAT, создайте правило с Out Interface = WireGuard-интерфейс.
6. Создайте таблицу маршрутизации: Routing → Tables, добавьте таблицу, например To-WireGuard.
7. Промаркируйте трафик: IP → Firewall → Mangle, добавьте правило mark-routing для трафика из локальной сети, кроме локальной подсети.
8. Добавьте маршрут по умолчанию через WireGuard: IP → Routes, Gateway = WireGuard-интерфейс, Routing Table = To-WireGuard.

Для OpenVPN на роутерах Asus или Keenetic процесс обычно проще: достаточно импортировать файл .ovpn и ввести логин/пароль. В OpenWrt настройка WireGuard выполняется через Network → Interfaces, где создаётся новый интерфейс WireGuard с указанием ключей и Peer.

Маршрутизация: весь трафик или только часть

При настройке VPN на роутере важно решить, какой трафик будет идти через туннель. Есть два основных варианта:

Full Tunnel (весь трафик через VPN) — все устройства и соединения направляются через VPN. Это обеспечивает максимальную приватность и защиту, но может снизить скорость и сделать недоступными локальные ресурсы (например, принтеры или NAS). Подходит для домашних сетей и малых офисов, где важна безопасность.

Split Tunneling (разделение трафика) — через VPN идёт только часть трафика, например, только от определённых устройств или к определённым ресурсам. Это полезно, если нужно, чтобы Smart TV и медиаприставки шли через VPN для стриминга, а банковские сайты и локальные сервисы работали напрямую. Реализуется через правила маршрутизации по IP-адресам, MAC-адресам или VLAN.

Пример: подсеть 192.168.1.50–192.168.1.80 направляется через VPN (телевизоры, приставки), остальные устройства — напрямую. В MikroTik для этого используются таблицы маршрутизации и правила Mangle, как описано выше.

При полном туннеле не забудьте настроить DNS через VPN-сервер и, если возможно, включить Kill Switch — функцию, которая блокирует трафик при падении VPN-соединения, чтобы избежать утечек.

Настройка DNS и защита от утечек

Одна из частых ошибок при настройке VPN на роутере — игнорирование DNS. Если DNS-запросы идут через интернет-провайдера, ваша активность может быть видна, даже если сам трафик зашифрован. Чтобы избежать DNS-утечек:

• Установите на роутере DNS-серверы VPN-провайдера или приватные DNS (например, через конфиг OpenVPN dhcp-option DNS ...).
• Запретите использование DNS-серверов провайдера (в некоторых роутерах есть галочка «Использовать только указанные DNS»).
• Отключите IPv6 или настройте его маршрутизацию через VPN, если роутер это поддерживает.

После настройки проверьте утечки с помощью специальных сайтов. Если DNS-серверы принадлежат VPN, а не вашему ISP, значит, всё настроено правильно.

Также важно проверить, что IP-адрес сети соответствует выбранному VPN-серверу. Для этого зайдите на сайт проверки IP и убедитесь, что страна и город совпадают с локацией сервера.

Типичные проблемы и их решение

Даже при правильной настройке могут возникнуть проблемы. Вот самые распространённые и способы их решения.

Низкая скорость через VPN. Причины: слабый процессор роутера (особенно при OpenVPN), перегруженный VPN-сервер, использование TCP вместо UDP. Решения: используйте WireGuard, выбирайте сервер ближе к вашему региону, обновите роутер до более производительной модели.

Нет доступа к локальным ресурсам (принтеры, NAS). При полном туннеле часть устройств может стать недоступной. Решение: добавьте маршруты к локальной сети и не отправляйте их через VPN, либо используйте split tunneling для нужных IP.

Не открываются банковские сайты и локальные сервисы. Некоторые банки блокируют «иностранные» IP. Решение: исключите устройства с онлайн-банкингом из VPN-маршрута (policy-based routing) или временно отключайте VPN для этих задач.

VPN не подключается. Проверьте, активен ли профиль VPN, правильно ли настроена маршрутизация по умолчанию, перезагрузите роутер и попробуйте другой сервер. Также убедитесь, что в Firewall разрешён входящий трафик на порт VPN (для сервера).

Безопасность роутера при работе с VPN

VPN на роутере — это мощный инструмент, но он также требует внимания к безопасности самого роутера. Вот основные рекомендации:

• Смените стандартный админ-пароль и логин.
• Обновляйте прошивку роутера и VPN-клиента.
• Отключите удалённое администрирование с интернета, если оно не нужно.
• Используйте только проверенные конфиги от официального VPN-провайдера.
• Храните резервную копию конфигурации роутера.

Особенно осторожно относитесь к бесплатным VPN-сервисам. В среде маршрутизатора, через которую проходит весь трафик, полагаться на бесплатный сервис опасно — многие из них продают журналы просмотра. Лучше инвестировать в платный сервис с политикой отсутствия логов.

Также стоит помнить, что двойное шифрование (VPN на роутере + VPN на устройстве) не даёт дополнительной безопасности, а только снижает скорость. Выберите один уровень VPN.

Когда стоит использовать отдельный VPN-роутер

Иногда настройка VPN на основном роутере невозможна или нецелесообразна. В таких случаях используют отдельный VPN-роутер. Это имеет смысл, если:

• Основной роутер провайдера не поддерживает VPN.
• Нужно разделить сеть: часть устройств через VPN, часть — напрямую.
• Требуется максимальная производительность (использование мини-ПК или одноплатника с мощным CPU).

Схема подключения: модем/роутер провайдера → VPN-роутер → ваша локальная сеть. VPN-роутер может быть обычным роутером с прошивкой OpenWrt или мини-ПК (например, Raspberry Pi). Такой подход даёт больше гибкости и позволяет настраивать сложные сценарии маршрутизации.

Если вы используете роутер провайдера, переведите его в режим моста, чтобы избежать двойного NAT и конфликтов IP-адресов.

Вопросы и ответы