Руководство
Как настроить VPN на роутере
Когда роутер подходит для туннеля, а когда нет; файл конфигурации провайдера на собственной странице VPN-клиента в прошивке; DNS для всего дома и проверки с устройства за роутером. Руководство написано для роутера, в прошивке которого есть страница VPN-клиента; здесь ничего не перепрошивается.
Перед началом
Это руководство не выбирает провайдера за вас
Все шаги ниже одинаковы независимо от используемого провайдера, поэтому здесь не назван ни один. Выбор — отдельная задача; он делается в реестре, где решение принимается на основе опубликованного балла, а не страницы загрузки.
Файлы конфигурации берутся из собственного личного кабинета провайдера и больше ниоткуда. В файле с форума может быть чужой ключ или адрес чужого сервера.
Роутер подходит для туннеля, когда устройства за ним не могут запустить собственный клиент — телевизор, консоль, умная колонка, — или когда нужен туннель сразу для всех устройств без установки чего-либо. Роутер не подходит, когда дому иногда нужно выходить из туннеля: за роутером это невозможно для отдельных устройств, и все устройства используют одну точку выхода, одну страну и один процессор. Именно процессор ограничивает скорость, причём его возможности заметно ниже возможностей ноутбука. Если туннель нужен из-за одного-двух устройств, установите клиент на них; на страницах платформ указано, какие провайдеры их поддерживают.
Это руководство не перепрошивает роутер. Замена прошивки на одну из распространённых сторонних прошивок даёт роутеру VPN-клиент лучше большинства штатных, но это также единственный шаг в любом руководстве на этом сайте, который может превратить оборудование в «кирпич». Если в прошивке вашего роутера есть страница VPN-клиента, достаточно шагов ниже. Если её нет, решение о перепрошивке принимаете вы, а инструкции к ней принадлежат проекту прошивки, а не нам.
Загрузите конфигурацию
- Войдите на сайт провайдера и откройте раздел роутера или ручной настройки в личном кабинете. Создайте файл конфигурации для протокола, который поддерживает ваша прошивка, и нужной точки выхода; один файл соответствует одной точке выхода. Файл содержит ваш ключ — обращайтесь с ним как с паролем.
- Откройте страницу администрирования роутера с устройства в проводной или домашней сети и найдите страницу VPN-клиента. Её название может отличаться — VPN client, VPN Fusion, WAN › VPN, — но это должна быть страница клиента, который подключается наружу, а не страница сервера, позволяющего подключаться к нему извне. Они выглядят похоже, но этому руководству соответствует только одна из них.
- Импортируйте файл или по очереди вставьте его поля туда, куда указывает прошивка. Назовите профиль по точке выхода, чтобы позже отличать его от второго.
- Выберите устройства, которые будут проходить через туннель, если страница это позволяет, и пока выберите все; список исключений можно настроить позже. Затем активируйте профиль.
- Не останавливайтесь на этом. DNS и аварийный выключатель находятся на той же или следующей странице, а по умолчанию оба отключены.
Настройки, которые стоит проверить
Страницы прошивок различаются, но настройки остаются теми же. Для каждой из них есть запись в глоссарии, если название вам незнакомо.
DNS для всего дома
Каждое устройство за роутером спрашивает у роутера, где находятся нужные ему адреса, а роутер спрашивает того, кого ему указали. Если это резолвер интернет-провайдера, каждый запрос в доме выходит за пределы туннеля: интернет-провайдер видит, какие сайты посещает дом, и скрытым остаётся только то, что происходило на них. Укажите в настройках DNS роутера — на странице VPN-клиента, если там есть соответствующее поле, иначе на странице WAN — резолвер, названный в файле провайдера, и настройте роутер так, чтобы он передавал устройствам в качестве резолвера собственный адрес. Тогда ни одно устройство не получит адрес резолвера интернет-провайдера. О том, как происходит утечка, рассказано на странице об утечках DNS.
Аварийный выключатель
На роутере это правило межсетевого экрана: когда туннель отключён, ничто с туннелированных устройств не должно выходить обычным маршрутом. В некоторых прошивках это флажок, в некоторых настройка называется block routed clients if tunnel goes down, а в некоторых её нет вовсе. Если она есть, включите её; при обрыве туннеля дом окажется без доступа к сети до восстановления соединения — в этом и состоит смысл настройки. Если её нет, помните: при обрыве туннеля каждое устройство без предупреждения вернётся к обычному подключению. Назначение этой настройки описано на отдельной странице.
IPv6
Большинство туннелей на роутерах передают только IPv4. Если интернет-провайдер также предоставляет дому IPv6, устройства будут использовать его для любого сайта, который его поддерживает, и такой трафик обойдёт туннель. Если файл провайдера не настраивает IPv6 внутри туннеля, отключите IPv6 на стороне WAN, пока туннель используется.
Протокол
Везде, где прошивка предлагает современный протокол, выбирайте его — на странице протоколов указано, какие из них актуальны, а какие устарели. Это стоит делать и по причине, на основании которой реестр начисляет ему балл, и потому, что на процессоре роутера он в несколько раз быстрее старого. Старый роутер, предлагающий только устаревший протокол, будет не только отмечен, но и работать медленно.
Убедитесь, что всё действительно работает
Проверяйте с устройства за роутером, а не на собственной странице состояния роутера: она показывает только то, во что верит сам роутер. Выполните три проверки в таком порядке:
- Адрес изменился на устройстве без собственного клиента. Откройте любую страницу «какой у меня IP» на ноутбуке или телефоне, подключённом к Wi-Fi роутера, с отключёнными мобильными данными и без запущенного VPN-приложения. Страной должна быть выбранная вами точка выхода.
- Запросы проходят внутри туннеля. Запустите тест на утечки DNS с того же устройства. Любой сервер, принадлежащий интернет-провайдеру, означает, что указанная выше настройка DNS не сработала или устройству передали неправильный резолвер.
- Аварийный выключатель работает как заявлено. Запустите на этом устройстве загрузку, затем отключите профиль VPN на странице роутера или на мгновение отсоедините кабель WAN роутера и подключите его обратно. Во время разрыва загрузка должна сразу остановиться и после восстановления соединения не возобновляться, пока не восстановится туннель. Если загрузка продолжается, выключатель отсутствует или отключён.
Расширенный набор проверок и объяснение того, что каждая из них может и не может показать, приведены в отдельном руководстве.
Что доказывают эти проверки
+Каждое устройство в этой сети выходит через сервер точки выхода в выбранной вами стране, и на нём ничего не установлено
+Интернет-провайдер видит одно зашифрованное соединение из дома и не видит запросов
+При обрыве туннеля соединение всего дома блокируется, если в прошивке есть такой выключатель
Чего они не доказывают
−Они ничего не говорят о том, что хранит провайдер, — это вопрос документов, на который отвечают страницы о хранении данных
−Они не делают никого анонимным: в каждой учётной записи на каждом устройстве по-прежнему выполнен вход; см. от чего VPN вас не защищает
−Успешная проверка на одном устройстве ничего не говорит об устройстве в другой сети или об устройстве с собственным приложением
Один дом, две сети
Жалоба на туннель роутера всегда одна и та же: чему-то нужно быть за его пределами. Чистое решение — две сети, а не одна сеть с исключениями. Варианты: второй роутер за первым, на котором работает туннель, а нужные устройства подключены к его Wi-Fi, тогда как остальные используют Wi-Fi первого; либо, если прошивка позволяет настроить VPN отдельно для каждой сети, гостевая или дополнительная сеть, через которую проходит туннель. Устройство выбирает сеть при подключении: телевизор остаётся внутри туннеля, консоль — снаружи, и никому не приходится отключать туннель для всего дома.
Второй роутер также решает вопрос скорости: через него проходят только устройства, которым нужен туннель, поэтому его процессор ограничивает скорость только для них.
Если что-то не работает
Всё в доме стало медленнее
Теперь роутер шифрует каждый байт, который отправляет дом, хотя его процессор рассчитан на пересылку пакетов, а не на их шифрование. Это ограничение самого роутера, а не провайдера, и оно наступает при скорости, заметно меньшей той, которую ноутбук выдаёт с той же подпиской.
Современный протокол значительно легче старого, поэтому используйте его, если прошивка его предлагает. В остальном решение — более быстрый роутер или туннель для меньшего числа устройств. См. последний раздел.
Одному устройству нужно быть за пределами туннеля
Банковское приложение, которое не принимает иностранный адрес, игровая консоль, умная колонка — такое устройство всегда найдётся. Некоторые прошивки позволяют исключить устройство по адресу; это раздельное туннелирование на уровне роутера. Если прошивка этого не умеет, воспользуйтесь решением из последнего раздела: создайте для туннеля вторую сеть, чтобы устройство просто подключалось к другой.
Не отключайте туннель для всего дома ради одного устройства.
Туннель обрывается, и ничего не подключается снова
Большинство прошивок переподключаются самостоятельно, но некоторым нужно это указать. Найдите на странице VPN-клиента настройку keep-alive, автоматического переподключения или watchdog и включите её. Если в прошивке есть аварийный выключатель и он включён, при обрыве туннеля дом останется без доступа к сети до восстановления соединения — это означает, что выключатель работает.
Если туннель обрывается каждый день в одно и то же время, интернет-провайдер обновляет ваш адрес, а роутер не успевает это заметить. Более короткий интервал keep-alive может помочь.
На одних устройствах сайты показывают мою настоящую страну, а на других — нет
Эти устройства не проходят через туннель роутера: телефон использует мобильные данные, на устройстве работает собственное VPN-приложение или оно подключено ко второй сети, которую туннель не охватывает. Проверьте, к какой сети подключено каждое устройство.
Если устройство подключено к туннелированной сети, но всё равно показывает вашу настоящую страну, его DNS или IPv6 выходит в интернет в обход роутера. В разделе о проверках объясняется, как это определить.
Те же шаги, другие устройства
Остальные платформы
У каждой платформы своё отдельное руководство, а не вкладка в этом. Шаги расходятся сразу после запуска установщика, а страница, отвечающая сразу на три платформы, не отвечает толком ни на одну.