Настройка AmneziaWG на Keenetic Giga (KN-1010/KN-1011): полная инструкция

Почему Keenetic Giga подходит для AmneziaWG

KN-1010 и KN-1011 построены на двухъядерном процессоре с частотой около 1,2 ГГц и оснащены не менее чем 256 МБ оперативной памяти — этого достаточно, чтобы шифрование ChaCha20-Poly1305 в AmneziaWG не становилось узким местом при типичных для дома скоростях 300–700 Мбит/с. В отличие от младших моделей серии, Giga не испытывает заметной просадки CPU при включении сразу нескольких функций: межсетевого экрана, приоритизации трафика (QoS) и активного VPN-туннеля.

Ещё одно преимущество — два гигабитных WAN-совместимых порта и полноценный USB 3.0, который можно использовать для резервного 4G-модема с автоматическим переключением при обрыве основного канала. Если у вас уже настроен резервный интернет-канал, AmneziaWG в Keenetic отдельно привязывается к каждому подключению, поэтому переключение WAN не разрывает туннель насовсем — он переустановит соединение автоматически.

Наконец, KeeneticOS с версии 4.1 получила нативную интеграцию AmneziaWG как отдельного компонента в веб-интерфейсе, а не только через командную строку. Это заметно упрощает первоначальную настройку и последующее обслуживание: обновления клиента приходят вместе с прошивкой, а не требуют ручной перекомпиляции пакетов, как это бывает на некоторых сборках OpenWrt.

Установка компонента AmneziaWG в KeeneticOS

Перед установкой убедитесь, что маршрутизатор обновлён до последней доступной версии прошивки: в старых сборках KeeneticOS компонент AmneziaWG либо отсутствует в общем каталоге, либо работает нестабильно. Обновление выполняется в разделе «Общие настройки» → «Обновление системы», галочка «Показывать бета-версии» обычно не нужна — компонент давно вышел из бета-статуса.

Компонент AmneziaWG ставится через центр приложений: «Общие настройки» → «Приложения», вкладка «VPN-серверы» или строка поиска по слову «Amnezia». Установка занимает 1–2 минуты и не требует перезагрузки устройства, но если веб-интерфейс завис на статусе «Применение изменений» дольше минуты — это нормально для Giga, дождитесь окончания.

После установки в главном меню появляется отдельный раздел «AmneziaWG» на вкладке «Другие подключения». Именно там будет создаваться сам туннель, привязка к профилю и все дальнейшие настройки маршрутизации.

1. 1Зайдите в веб-интерфейс роутера (обычно http://192.168.1.1) под учётной записью администратора
2. 2Откройте «Общие настройки» → «Обновление системы» и установите актуальную прошивку
3. 3Перейдите в «Приложения», найдите AmneziaWG и нажмите «Установить»
4. 4Дождитесь применения изменений и убедитесь, что в меню появился раздел AmneziaWG

Импорт профиля подключения

Профиль AmneziaWG для Keenetic обычно поставляется в виде файла .conf, аналогичного классическому WireGuard, но с дополнительными полями обфускации: Jc, Jmin, Jmax, S1, S2, H1–H4. Эти параметры отвечают за маскировку служебных пакетов под случайный трафик и должны быть заданы сервером — их нельзя придумывать самостоятельно, иначе клиент не пройдёт handshake.

В разделе «AmneziaWG» нажмите «Добавить подключение» и выберите «Импортировать из файла», указав скачанный .conf. Веб-интерфейс автоматически разберёт секции [Interface] и [Peer] и покажет предварительный просмотр: адрес интерфейса, публичный ключ сервера, конечную точку (Endpoint) и список разрешённых сетей (AllowedIPs).

Если провайдер конфигурации выдал не файл, а текст, можно вставить его вручную через переключатель «Ввести конфигурацию текстом» — это удобно, когда профиль присылают в мессенджере в виде блока кода, а не вложением.

[Interface]
PrivateKey = <ваш-приватный-ключ>
Address = 10.8.1.2/32
DNS = 10.8.1.1
Jc = 4
Jmin = 40
Jmax = 70
S1 = 0
S2 = 0
H1 = 1
H2 = 2
H3 = 3
H4 = 4

[Peer]
PublicKey = <публичный-ключ-сервера>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Активация и базовые настройки подключения

После импорта профиль появится в списке подключений со статусом «Отключено». Включите тумблер напротив него и подождите 5–10 секунд — Keenetic выполнит handshake и, если всё настроено верно, статус сменится на «Подключено» с указанием времени последнего рукопожатия.

В параметрах подключения стоит сразу включить опцию «Использовать для выхода в интернет по умолчанию», если вы хотите завернуть в туннель весь трафик домашней сети. Если нужен режим split-tunneling, эту галочку лучше оставить выключенной и настроить точечную маршрутизацию отдельно через политики (описано в следующем разделе).

Отдельного внимания заслуживает поле MTU: по умолчанию AmneziaWG в Keenetic использует значение 1420, но на некоторых провайдерах с PPPoE или дополнительной инкапсуляцией лучше вручную опустить его до 1380–1400, иначе часть сайтов будет открываться с задержкой из-за фрагментации пакетов.

1. 1Включите тумблер подключения AmneziaWG в списке
2. 2Дождитесь статуса «Подключено» и проверьте время последнего handshake
3. 3При необходимости включите использование туннеля как подключения по умолчанию
4. 4Проверьте и при необходимости скорректируйте MTU в дополнительных настройках

Приоритеты подключений и резервирование

Keenetic позволяет выстраивать очередь приоритетов среди всех активных подключений: обычного WAN, резервного 4G и туннеля AmneziaWG. Это делается в разделе «Интернет» → «Приоритет» перетаскиванием карточек подключений. Логично поставить AmneziaWG ниже основного WAN, но выше резервного модема, чтобы при обрыве провайдера трафик автоматически пошёл через 4G, а туннель переустановился поверх нового канала.

Для сценария с постоянно включённым VPN на весь дом рекомендуется также включить в свойствах туннеля опцию автоматического переподключения при потере связи — она уже включена по умолчанию в актуальных прошивках, но стоит перепроверить, особенно после отката к заводским настройкам.

Если в доме есть устройства, для которых VPN критически важен (например, рабочий ноутбук), а есть те, для которых важна низкая задержка (игровая консоль), одной только приоритезации подключений недостаточно — здесь на помощь приходят политики доступа, описанные ниже.

Политики доступа: кому включать туннель, а кому нет

Политики в Keenetic — это правила, которые привязывают конкретные устройства или сегменты сети к определённому подключению. Раздел находится в «Интернет» → «Политики». Можно создать политику «Только AmneziaWG» и назначить её на отдельные устройства по MAC-адресу или на всю гостевую Wi-Fi сеть, оставив основной сегмент работать напрямую через провайдера.

Такой подход особенно полезен, если через туннель нужно пускать не весь трафик, а только определённые сервисы или устройства: например, телевизор смотрит IPTV напрямую через провайдера, а смартфоны и ноутбуки ходят в интернет через AmneziaWG. Для смарт-ТВ и консолей это часто даёт заметно более стабильный пинг — подробнее в отдельном материале про [настройку роутера без лагов для консолей и Smart TV](/guides/smart-tv-console-router-no-lag).

После создания политики она применяется в свойствах Wi-Fi сети или конкретного клиента во вкладке «Устройства». Изменения вступают в силу почти мгновенно, без необходимости перезагружать сеть.

1. 1Откройте «Интернет» → «Политики» и создайте новую политику с приоритетом AmneziaWG
2. 2Перейдите в «Мои устройства» и выберите клиента, для которого нужен туннель
3. 3Назначьте созданную политику этому устройству или всей гостевой сети
4. 4Проверьте внешний IP на устройстве через whatismyip — он должен совпадать с адресом VPN-сервера

Производительность на гигабитном канале

На практике Keenetic Giga способен прогонять через AmneziaWG порядка 500–800 Мбит/с в зависимости от выбранных параметров обфускации: чем выше значения Jc и диапазон Jmin/Jmax, тем больше служебной нагрузки на процессор из-за генерации мусорных пакетов. Если для вас критична именно максимальная скорость, а не устойчивость к DPI, имеет смысл запросить у администратора сервера профиль с более умеренными значениями обфускации.

Стоит помнить, что аппаратное ускорение NAT (Hardware NAT), которым славятся многие модели Keenetic, не распространяется на зашифрованный VPN-трафик — шифрование всегда обрабатывается процессором в программном режиме. Поэтому при сравнении со скоростью обычного интернета без VPN просадка в 20–40% на гигабитном тарифе — ожидаемый результат, а не признак неправильной настройки.

Если фактическая скорость заметно ниже ожидаемой (например, 100 Мбит/с вместо 500), в первую очередь проверьте загрузку процессора в разделе «Информация о системе»: если CPU упирается в 100% на одном ядре, возможно, стоит снизить MTU или пересмотреть параметры Jc/Jmin/Jmax в сторону минимальных значений.

Диагностика и типичные проблемы

Основной источник данных о состоянии туннеля — системный журнал в разделе «Диагностика» → «Системный монитор» с фильтром по слову «amnezia». Там видно попытки handshake, ошибки резолва Endpoint и предупреждения о рассинхронизации времени, которая иногда мешает установлению соединения на новых устройствах без включённого NTP.

Если подключение висит в статусе «Подключение…» дольше 15–20 секунд и не переходит в «Подключено», чаще всего проблема в одном из трёх мест: неверный Endpoint (порт закрыт файрволом на стороне сервера), рассинхронизация параметров обфускации между клиентом и сервером, либо блокировка исходящего UDP-порта на стороне провайдера. Проверить порт можно временной заменой протокола на TCP-профиль, если сервер его поддерживает.

Полезно также проверить командную диагностику через Telnet/SSH-доступ к Keenetic: команда `show interface Wireguard0` (или аналогичное имя интерфейса AmneziaWG) покажет счётчики переданных и полученных байт — если оба значения растут, туннель работает, даже если веб-интерфейс обновляется с задержкой.

# Подключение к Keenetic по SSH и проверка интерфейса
ssh admin@192.168.1.1
show interface AmneziaWG0
show ip route