Keenetic: Часть 3 — VPN-клиент для всей сети

Зачем VPN-клиент на роутере

Настраивать VPN на каждом устройстве неудобно, а телевизоры, игровые приставки и устройства умного дома часто не умеют этого вовсе. Если VPN-клиентом становится роутер, туннелем могут пользоваться все устройства сети — или только выбранные.

Второй частый сценарий — связь с офисом: роутер филиала или домашнего сотрудника постоянно подключён к корпоративной сети, и её ресурсы доступны без запуска программ на компьютерах.

Какие подключения поддерживаются

• WireGuard — быстрый современный протокол; подходит и для подключения к VPN-сервису, и для связи с другим роутером.
• IKEv1/IKEv2 — клиент для корпоративных и коммерческих IPsec-серверов.
• L2TP/IPsec и PPTP/L2TP — для совместимости с существующими серверами; PPTP для новых схем не использовать.
• SSTP — подключение по HTTPS, в том числе к другому Keenetic через облако KeenDNS.
• OpenConnect — клиент для серверов, совместимых с Cisco AnyConnect.
• OpenVPN — самый гибкий вариант, но с требованиями к конфигурации (ниже).
• Прокси-клиент — с KeeneticOS 3.9 роутер может выходить в интернет через HTTP-, HTTPS- или SOCKS5-прокси. Производитель рекомендует при этом включить DNS-over-TLS или DNS-over-HTTPS, иначе часть сайтов может открываться некорректно.
• ZeroTier — подключение роутера к mesh-сети ZeroTier (подробнее — в первой части цикла).
• Туннели GRE, IPIP, EoIP — для связи сетей между роутерами. IPIP и GRE сами по себе не шифруют трафик. Пример использования — перенаправление трафика подсети через удалённый сервер по IPIP.

Особенности OpenVPN на Keenetic

• Конфигурация — один файл, сертификаты и ключи встроены в него.
• Поддерживаются параметры из документации OpenVPN 2.4; параметры, связанные с IPv6, не поддерживаются.
• Закрытый ключ должен быть без пароля: ввести его в интерфейсе негде.
• Файл OpenVPN не сохраняется в основной файл настроек роутера, поэтому его резервную копию нужно хранить отдельно.
• На старых моделях все VPN-конфигурации вместе не должны превышать 24 КБ; на современных моделях с индексом KN-XXXX хранилище больше.

Пошаговый пример — OpenVPN-сервер на Ubuntu и клиент Keenetic.

Кому какой туннель: политики подключений

Главная возможность роутера как VPN-клиента — политики подключений (маршрутизация по правилам). Политика — это набор подключений с приоритетами, к которому привязаны устройства или сегменты сети. Всего можно создать до 16 политик.

Пример: весь дом ходит в интернет через провайдера, а игровая приставка — через VPN.

1. Настройте VPN-подключение на странице «Другие подключения» и включите для него «Использовать для выхода в интернет».
2. На странице политик подключений (Connection Policies), на вкладке настройки политик, нажмите «Добавить политику» и отметьте в ней только VPN-подключение.
3. На вкладке привязки политик перетащите нужное устройство на новую политику. Устройство должно быть зарегистрировано в списке клиентов.

Все незарегистрированные устройства домашнего и гостевого сегментов остаются в политике по умолчанию. Проверить, какая политика действует для устройства, можно в списке клиентов.

Кроме привязки устройств, есть маршруты по доменным именам: трафик к отдельным сайтам можно направить в нужное подключение.

Что происходит при обрыве туннеля

Поведение задаётся составом политики, отдельного переключателя «Kill Switch» в документации Keenetic нет.

• В политике по умолчанию при отказе подключения с высшим приоритетом роутер переходит к следующему доступному. Если VPN стоит первым, а провайдер вторым, при обрыве туннеля трафик пойдёт напрямую.
• В политике только с VPN-подключением других путей в интернет нет. Пока туннель не восстановится, устройства этой политики остаются без интернета — трафик не уходит в обход.

Выбор зависит от задачи: для рабочих устройств, которым нельзя выходить в интернет мимо VPN, — политика только с туннелем; для удобства — туннель с резервным провайдером.

DNS и политики

В политику попадают только DNS-серверы тех подключений, которые в неё включены. Это защищает от ситуации, когда трафик идёт через VPN, а запросы к DNS — через провайдера. Но если VPN-сервис не выдаёт DNS-серверы, устройства политики могут остаться без разрешения имён — тогда DNS-сервер добавляют вручную с привязкой к интерфейсу.

Типичные ошибки

• Не включён выход в интернет для VPN-подключения. Туннель поднят, но в политиках не участвует.
• Устройство не зарегистрировано. Незарегистрированный клиент остаётся в политике по умолчанию, и правила к нему не применяются.
• Нет резервной копии конфигурации OpenVPN. После сброса роутера её придётся восстанавливать с нуля.
• Пересекающиеся подсети. Если сеть на другой стороне туннеля совпадает с домашней, маршруты конфликтуют. Больше типовых проблем — в разборе связки MikroTik и Keenetic.