Настройка VLESS на роутере с OpenWRT: полное руководство по Passwall и HomeProxy

Зачем поднимать VPN на роутере

Установка VPN-клиента на роутер решает сразу несколько задач, которые трудно или невозможно закрыть приложениями на отдельных устройствах. Главный сценарий — защита всего домашнего трафика: телевизоры, игровые приставки, умные колонки и прочие IoT-устройства часто не позволяют установить VPN-клиент, но при этом активно обмениваются данными с внешними серверами. Когда VPN работает на роутере, все устройства в локальной сети автоматически попадают в защищённый туннель без каких-либо дополнительных настроек.

Второй важный сценарий — обход региональных блокировок. Если вы подключаетесь к серверу в другой стране, все устройства в доме получают доступ к сервисам, которые в вашем регионе недоступны. Это удобно, когда нужно смотреть стриминговые платформы, пользоваться соцсетями или мессенджерами, которые ограничены на уровне провайдера.

Третий сценарий — реализация двойного VPN. На роутере поднимается первый туннель, а на клиентских устройствах — второй. В результате VPN-провайдер №1 видит IP клиента, но не видит посещаемые ресурсы, а VPN-провайдер №2 видит ресурсы, но не видит реальный IP клиента. Такая схема значительно повышает анонимность и устойчивость к отслеживанию.

Наконец, роутер с VPN обеспечивает стабильность: он держит соединение круглосуточно, не завися от фоновых ограничений мобильных операционных систем. Это особенно актуально для умных устройств, которые должны оставаться на связи в любое время.

Что такое VLESS и почему он подходит для роутера

VLESS — это современный прокси-протокол, разработанный как облегчённая версия V2Ray. Его ключевая особенность — отсутствие шифрования на уровне самого протокола: данные передаются в исходном виде, а шифрование обеспечивается транспортным уровнем, например TLS или REALITY. Это снижает накладные расходы и повышает производительность, что особенно важно для роутеров с ограниченными вычислительными ресурсами.

В отличие от классических протоколов вроде OpenVPN или WireGuard, VLESS использует TLS-подобное рукопожатие, которое делает трафик неотличимым от обычного HTTPS. Это позволяет обходить глубокий анализ пакетов (DPI), который применяют провайдеры для блокировки VPN. Протокол поддерживает различные транспорты: TCP, WebSocket, gRPC, XHTTP — что даёт гибкость при настройке.

Для роутера VLESS удобен тем, что он легче и быстрее, чем OpenVPN, и лучше маскируется, чем WireGuard. Однако важно помнить: наивная конфигурация VLESS+TCP+Reality может быть обнаружена современными DPI-системами, поэтому рекомендуется использовать более продвинутые транспорты, такие как gRPC или XHTTP. Это особенно актуально для России, где ТСПУ активно развивается.

Выбор роутера и требования к железу

Прежде чем приступать к настройке, нужно убедиться, что ваш роутер поддерживает OpenWRT и обладает достаточными ресурсами. Минимальные требования для работы Passwall или HomeProxy — 128 МБ оперативной памяти и 16 МБ flash-памяти, но комфортный уровень начинается с 256 МБ ОЗУ и 32 МБ flash. На 128 МБ Passwall будет работать, но возможны нехватка памяти и нестабильность, особенно при использовании geoip-баз.

Если вы планируете покупать новый роутер, обратите внимание на модели с процессорами архитектуры aarch64 (ARM64) — они обеспечивают лучшую производительность при шифровании. Популярные бюджетные варианты: Xiaomi Mi Router 4A Gigabit (около 1500 ₽ б/у, 128 МБ RAM, скорость через VPN 60–80 Мбит/с) и Xiaomi Redmi AC2100 (около 3000 ₽, 80–120 Мбит/с). Более дорогие модели, такие как GL.iNet Flint 2 (MT6000) с 1 ГБ RAM и аппаратным AES, позволяют достичь гигабитных скоростей через туннель.

Чего стоит избегать: роутеры с 64 МБ RAM, старые ревизии TP-Link Archer C7 (всего 16 МБ flash), а также устройства на MIPS-процессорах от Realtek — на них Xray собирается с трудом и работает медленно. Если вы не хотите возиться с перепрошивкой, выбирайте роутеры GL.iNet — на них OpenWRT установлен с завода, и все инструкции работают как есть.

Установка OpenWRT: подготовка роутера

Если на роутере ещё нет OpenWRT, его нужно установить. Для этого зайдите на firmware-selector.openwrt.org, найдите свою модель и скачайте factory-образ — он подходит для первой прошивки с заводской прошивки. Если OpenWRT уже стоит, используйте sysupgrade-образ для обновления.

Процесс прошивки зависит от модели. Для большинства роутеров достаточно зайти в веб-интерфейс заводской прошивки, найти раздел «Обновление ПО» и загрузить скачанный файл. Однако для некоторых моделей, например Xiaomi, требуется сначала получить SSH-доступ через утилиту OpenWRTInvasion (доступна на GitHub), так как заводская прошивка не разрешает прямую загрузку.

После перепрошивки роутер обычно получает IP-адрес 192.168.1.1, логин root и пустой пароль. Сразу зайдите по SSH (ssh root@192.168.1.1) и установите пароль командой passwd. Также рекомендуется настроить доступ в интернет: если после сброса подключение не появилось, проверьте настройки WAN-интерфейса в разделе Network → Interfaces. Возможно, потребуется ввести IP-адрес, шлюз и DNS от провайдера, а также изменить MAC-адрес, если провайдер фильтрует по нему.

Passwall: установка и настройка

Passwall — это графическая надстройка над Xray или Sing-box, которая позволяет управлять VPN-подключениями через веб-интерфейс OpenWRT (LuCI). Установка Passwall начинается с добавления репозитория. По SSH выполните команды:

opkg update

Затем добавьте репозиторий Passwall в файл /etc/opkg/customfeeds.conf. Строка должна содержать URL, соответствующий архитектуре вашего роутера (узнать её можно командой opkg print-architecture). Например, для aarch64_cortex-a53:

src/gz passwall_luci https://master.dl.sourceforge.net/project/openwrt-passwall-build/releases/packages-24.10/aarch64_cortex-a53/passwall_luci
src/gz passwall_packages https://master.dl.sourceforge.net/project/openwrt-passwall-build/releases/packages-24.10/aarch64_cortex-a53/passwall_packages

После этого выполните:

opkg update
opkg install luci-app-passwall luci-i18n-passwall-ru

Перезайдите в LuCI — в меню «Сервисы» появится раздел Passwall. Если репозиторий недоступен, можно скачать ipk-файлы с GitHub проекта и установить их вручную через scp.

Альтернативный способ установки — использование скрипта passwallx.sh, который автоматически загружает и настраивает Passwall. Однако будьте осторожны: скрипты из непроверенных источников могут содержать вредоносный код. Рекомендуется использовать официальные репозитории или проверенные сборки.

HomeProxy: современная альтернатива

HomeProxy — это более новый пакет, который также предоставляет графический интерфейс для sing-box. Он считается более лёгким и экономным по памяти, чем Passwall, и лучше подходит для роутеров с 256 МБ ОЗУ. Установка HomeProxy проще: в LuCI перейдите в Система → Software, нажмите Update lists, затем найдите и установите пакет luci-app-homeproxy. Если пакета нет в репозитории, скачайте готовую сборку с GitHub проекта.

После установки в меню «Службы» появится HomeProxy. Для добавления подписки перейдите на вкладку Node Settings → Subscriptions, вставьте ссылку на подписку и нажмите Update. Роутер сам подтянет список серверов и будет обновлять его автоматически. Также можно импортировать конфигурацию вручную через Nodes → Import share links.

Важный нюанс: движок sing-box, на котором работает HomeProxy, не поддерживает конфигурации типа XHTTP. Если ваша подписка содержит и VLESS, и XHTTP-серверы, включите фильтр нод (Filter nodes → Blacklist mode) и добавьте ключевое слово xhttp — тогда останутся только VLESS-серверы. Это частая причина проблем «настроил, а не работает».

Добавление подписки и выбор сервера

Для работы VPN вам понадобится подписка на сервис, предоставляющий VLESS-конфигурации. Обычно провайдер выдаёт ссылку на подписку в личном кабинете или через Telegram-бота. В Passwall перейдите в раздел Узлы → Подписка, нажмите Добавить, введите название и вставьте ссылку. Затем нажмите «Ручное обновление подписки» — через несколько секунд в списке узлов появятся серверы.

В HomeProxy аналогично: вкладка Subscriptions, вставьте ссылку, нажмите Update. После обновления выберите основной узел (Main Node) — лучше всего сервер с наименьшим пингом. Для надёжности можно настроить режим URLTest, указав несколько серверов из разных стран: HomeProxy будет автоматически проверять их доступность и переключаться на живой.

При выборе сервера учитывайте географию: для России часто оптимальны серверы в Москве или Санкт-Петербурге — они обеспечивают минимальную задержку. Однако для обхода блокировок может потребоваться сервер в другой стране. В Passwall можно проверить пинг каждого узла в списке узлов, нажав на значок обновления.

Режимы маршрутизации: global, gfwlist, chnroute

Режим маршрутизации определяет, какой трафик пойдёт через VPN, а какой — напрямую. В Passwall доступны три основных режима:

• global — весь трафик идёт через VPN. Самый простой, но если сервер недоступен, интернет пропадёт на всех устройствах.
• gfwlist — через VPN идут только заблокированные сайты (YouTube, Instagram, Twitter и т.д.), остальное — напрямую. Это оптимально для России: российские сервисы (Сбербанк, Госуслуги) работают без задержек, а трафик через VPN минимален.
• chnroute — через VPN идёт всё, кроме IP-адресов из списка (обычно китайских/российских). Подходит, если нужно максимально много трафика через туннель.

В HomeProxy режим задаётся через Routing Mode. Для большинства случаев рекомендуется Global, если вы хотите, чтобы весь домашний трафик был защищён. Также доступен режим проксирования Redirect TCP + TProxy UDP — универсальный вариант. Если выбран вариант с Tun, потребуется создать интерфейс для устройства singtun0 в файрволе и отнести его к зоне wan.

Важно: при использовании gfwlist не забывайте обновлять правила — списки блокировок меняются, и устаревший gfwlist может не пропускать новые сайты. В Passwall это делается в разделе Базовые → Обновить правила.

Решение типичных проблем

Даже при правильной настройке могут возникать проблемы. Рассмотрим самые частые.

Служба RUNNING, но интернета нет. В HomeProxy проверьте фильтр xhttp — это причина 9 из 10 случаев. Убедитесь, что в подписке отфильтрованы нерабочие XHTTP-конфигурации. Затем смените Main Node на другой сервер.

Низкая скорость (5 Мбит/с при канале 100 Мбит/с). Скорее всего, роутеру не хватает вычислительной мощности. Xray-шифрование на MIPS-процессорах — это боль. Решение — роутер помощнее, например с ARM64 и аппаратным AES.

Узлы добавились, но не подключаются. Проверьте дату и время на роутере (команда date в SSH). Протокол REALITY чувствителен к рассинхронизации более чем на минуту. Установите NTP-клиент через opkg.

Подписка не обновляется. Возможно, разовая проблема сети — попробуйте обновить вручную. Если повторяется, включите опцию Update via Proxy.

Соединение периодически отваливается. Помогает автоперезапуск службы при обрыве — установите пакет internet-detector и настройте перезапуск HomeProxy или Passwall.

Интернет пропал совсем. Выключите VPN тумблером и проверьте доступ. Если доступ есть — проблема в конфигурации VPN. Если нет — возможно, кривая прошивка, потребуется сброс к заводским настройкам (зажать reset на 10 секунд).

Безопасность и дополнительные рекомендации

При настройке VPN на роутере важно помнить о безопасности. Во-первых, используйте только проверенные скрипты и репозитории. Некоторые установщики, например passwallx.sh, могут содержать обфусцированный код, который стоит изучить перед запуском. Если вы не уверены в источнике, лучше установить Passwall из официального репозитория OpenWRT.

Во-вторых, настройте исключения для устройств, которые должны работать напрямую. В Passwall это делается через раздел ACL: добавьте правило для MAC-адреса устройства и укажите TCP No Redir Ports и UDP No Redir Ports = All. Это полезно, например, для рабочего ноутбука, где VPN может мешать корпоративным сервисам.

В-третьих, регулярно обновляйте прошивку и пакеты. OpenWRT и Passwall активно развиваются, выходят исправления уязвимостей. Настройте автоматическое обновление подписок и правил geoip.

Наконец, помните о юридических аспектах: использование VPN для обхода блокировок может нарушать законодательство вашей страны. Ответственность за это лежит на пользователе.

Вопросы и ответы