VPN на роутере для отдельных сайтов: полное руководство по настройке

Зачем нужен выборочный VPN на роутере

Большинство пользователей привыкло включать VPN на отдельном устройстве: на смартфоне, ноутбуке или планшете. Однако такой подход имеет серьёзные ограничения. Во-первых, каждое устройство нужно настраивать отдельно, а гости, подключённые к домашней сети, остаются без защиты. Во-вторых, VPN на устройстве заворачивает весь трафик в туннель, что замедляет доступ к локальным сервисам, банковским приложениям или государственным порталам, которые могут блокировать подключения из-за рубежа.

Выборочный VPN на роутере решает обе проблемы. Вы задаёте список сайтов или доменов, которые должны открываться через туннель, а весь остальной трафик продолжает идти напрямую через обычного провайдера. Это называется раздельным туннелированием (split tunneling). Такой подход позволяет, например, смотреть YouTube через VPN, чтобы обойти замедление, но при этом пользоваться онлайн-банком без риска блокировки из-за иностранного IP.

Кроме того, настройка на роутере автоматически защищает все устройства в доме: телевизоры, приставки, умные колонки и даже IoT-устройства, которые часто не имеют собственных настроек VPN. Это особенно удобно, если вы хотите, чтобы весь домашний интернет работал стабильно, а только определённые ресурсы уходили в туннель.

Принцип работы раздельного туннелирования

Чтобы понять, как направить только часть трафика в VPN, нужно разобраться в базовых принципах маршрутизации. Когда устройство в локальной сети запрашивает сайт, роутер принимает решение, куда отправить пакет: напрямую к провайдеру или через VPN-туннель. Это решение принимается на основе таблицы маршрутизации и правил файрвола.

В классической схеме весь трафик идёт через VPN-интерфейс, и роутер выступает шлюзом для всех устройств. При раздельном туннелировании создаются дополнительные правила: для определённых IP-адресов или доменов указывается маршрут через VPN, а для остальных — через основной интерфейс. Технически это реализуется с помощью policy-based routing (PBR) или через маркировку пакетов в iptables/nftables.

Важно понимать разницу между маршрутизацией по IP и по доменному имени. IP-адреса — это конкретные числовые адреса серверов, а домены — это удобные имена, которые DNS-сервер преобразует в IP. Большинство крупных сайтов (YouTube, Instagram, Facebook) используют десятки и сотни IP-адресов, распределённых по CDN-сетям. Поэтому просто указать один IP недостаточно — нужно либо собирать полный список подсетей, либо использовать DNS-фильтрацию, которая динамически определяет нужные адреса.

Какие роутеры поддерживают выборочный VPN

Не все роутеры умеют направлять трафик отдельных сайтов в VPN. Большинство бюджетных моделей от TP-Link, D-Link и других производителей имеют только встроенный VPN-клиент, который заворачивает весь трафик целиком. Для выборочной маршрутизации нужна либо продвинутая прошивка, либо специальное оборудование.

Самый популярный вариант — роутеры с поддержкой OpenWrt. Это открытая прошивка, которая устанавливается на множество моделей, включая Xiaomi Mi Router 4, Xiaomi AX3000T, TP-Link Archer и другие. OpenWrt даёт полный контроль над маршрутизацией, файрволом и DNS, что позволяет реализовать раздельное туннелирование практически любой сложности.

Другой вариант — роутеры Keenetic. Они из коробки поддерживают VPN-клиенты и имеют встроенный механизм для маршрутизации по доменам через пакет KVAS (Keenetic VPN Auto Select). Это решение подходит для пользователей, которые не хотят возиться с перепрошивкой, но готовы немного доплатить за удобство.

Профессиональные решения — MikroTik и pfSense/OPNsense. MikroTik RouterOS позволяет создавать адрес-листы с доменами и правилами файрвола, но требует определённых знаний. pfSense/OPNsense устанавливаются на мини-ПК и дают практически безграничные возможности, но для новичка это может быть сложно.

Если бюджет ограничен, стоит обратить внимание на Xiaomi AX3000T (китайская версия) — он стоит около 3–4 тысяч рублей и отлично работает с OpenWrt. Также подойдут модели GL.iNet, которые продаются уже с OpenWrt и имеют удобный веб-интерфейс.

Метод 1: Настройка через OpenWrt

OpenWrt — это самый гибкий способ настроить выборочный VPN. Рассмотрим базовую схему на примере роутера Xiaomi с установленной прошивкой OpenWrt.

Шаг 1. Установка VPN-клиента. В OpenWrt можно использовать OpenVPN, WireGuard или другие протоколы. Для WireGuard достаточно установить пакет wireguard-tools и создать конфигурацию интерфейса. Для OpenVPN — пакет openvpn-openssl и файл конфигурации.

Шаг 2. Создание таблицы маршрутизации. В OpenWrt используется несколько таблиц маршрутизации. Основная таблица (main) отвечает за обычный трафик, а для VPN создаётся отдельная таблица, например, с номером 100. В неё добавляется маршрут по умолчанию через VPN-интерфейс.

Шаг 3. Правила PBR. Для направления трафика на нужные сайты используется пакет pbr (policy-based routing). Он позволяет создавать правила на основе IP-адресов, подсетей или доменных имён. Например, чтобы направить YouTube через VPN, нужно добавить правило:

config rule
    option name 'YouTube'
    option dest_ip '173.194.0.0/16'
    option lookup '100'

Однако для доменов pbr использует DNS-резолвер, который периодически обновляет список IP. Это удобно, но не всегда надёжно для сайтов с большим количеством CDN-адресов.

Шаг 4. Настройка DNS. Чтобы домены правильно резолвились, нужно настроить DNS-сервер на роутере (dnsmasq) так, чтобы он добавлял IP-адреса нужных доменов в специальный ipset или nftset. Это позволяет файрволу автоматически маркировать трафик.

Пример для dnsmasq:

ipset=/youtube.com/vpn_ipset

Затем в iptables добавляется правило:

iptables -t mangle -A PREROUTING -m set --match-set vpn_ipset dst -j MARK --set-mark 100

Этот метод работает, но требует аккуратности: если DNS-сервер клиента не использует роутер, а, например, 8.8.8.8, то ipset не будет заполняться, и трафик не попадёт в VPN.

Метод 2: Использование Keenetic и KVAS

Роутеры Keenetic — это отличный выбор для тех, кто хочет получить результат без глубоких технических знаний. Они поддерживают VPN-клиенты (OpenVPN, WireGuard, L2TP) и имеют встроенный механизм выбора интерфейса для каждого домена.

Основной инструмент — пакет KVAS (Keenetic VPN Auto Select), который устанавливается из репозитория Keenetic. После установки в веб-интерфейсе появляется раздел «Приоритеты подключений», где можно задать список доменов, которые должны работать через VPN.

Настройка выглядит так:

1. Подключите VPN-сервис в разделе «Интернет» → «VPN».
2. Установите KVAS через меню «Компоненты».
3. Перейдите в «Приоритеты подключений» и добавьте правило: укажите домен (например, youtube.com) и выберите VPN-интерфейс.
4. Сохраните настройки.

KVAS автоматически отслеживает изменения IP-адресов доменов и обновляет маршруты. Это очень удобно, так как не нужно вручную собирать списки подсетей.

Однако у этого метода есть ограничения: KVAS работает только с доменами, а не с IP-адресами. Если сайт использует множество поддоменов (например, instagram.com, login.facebook.com, www.facebook.com), придётся добавлять каждый из них. Кроме того, для некоторых ресурсов, таких как Instagram, может потребоваться указать целые подсети, что в KVAS сделать сложнее.

Метод 3: MikroTik и профессиональные решения

MikroTik RouterOS — это мощная операционная система для сетевого оборудования, которая позволяет реализовать выборочный VPN с высокой точностью. Основные шаги:

1. Поднятие VPN-интерфейса. Например, для OpenVPN создаётся интерфейс ovpn-client1, для WireGuard — wg1.
2. Создание таблицы маршрутизации. В RouterOS можно создать несколько таблиц маршрутизации через меню Routing → Tables. Например, таблица vpn с маршрутом по умолчанию через VPN-интерфейс.
3. Адрес-листы. В файрволе создаются адрес-листы, куда можно добавлять IP-адреса или домены. RouterOS умеет автоматически резолвить домены в IP, но, как уже отмечалось, это может работать нестабильно для CDN.
4. Маркировка трафика. В цепочке mangle создаются правила, которые помечают пакеты, идущие на адреса из списка, и направляют их в нужную таблицу маршрутизации.

Пример правила mangle:

/ip firewall mangle add chain=prerouting dst-address-list=vpn_sites action=mark-routing new-routing-mark=vpn

Затем в таблице маршрутизации указывается, что пакеты с меткой vpn используют таблицу vpn.

MikroTik также позволяет использовать L7-фильтрацию по домену, но она сильно нагружает процессор и не рекомендуется для больших сетей.

Для pfSense/OPNsense подход аналогичен: создаются alias с IP-адресами или доменами, затем в firewall rules указывается gateway для нужного трафика. Эти системы более дружелюбны к новичкам, чем MikroTik, но требуют наличия отдельного устройства (мини-ПК).

Проблемы с CDN и динамическими IP

Одна из главных сложностей при настройке выборочного VPN — это сайты, использующие CDN (Content Delivery Network). Такие ресурсы, как YouTube, Instagram, Facebook, имеют сотни IP-адресов, которые меняются в зависимости от географического расположения пользователя и нагрузки.

Если вы жёстко пропишете один IP-адрес, то через VPN будет работать только часть контента, а остальное будет загружаться напрямую. Например, для Instagram нужно добавить не только instagram.com, но и login.facebook.com, www.facebook.com, а также подсеть 157.240.0.0/16, которая используется для контента.

Существуют готовые списки IP-адресов для популярных сервисов. Например, в блогах и на GitHub можно найти актуальные диапазоны для YouTube, Telegram, Instagram. Однако такие списки быстро устаревают, поэтому их нужно регулярно обновлять.

Альтернативный подход — использовать DNS-фильтрацию. Роутер перехватывает DNS-запросы к нужным доменам и добавляет полученные IP в ipset. Это автоматически решает проблему динамических адресов, но требует, чтобы все устройства в сети использовали DNS роутера. Если клиент настроен на внешний DNS (например, 8.8.8.8), то перехват не сработает.

Ещё одна проблема — IPv6. Многие сайты отдают IPv6-адреса, и если роутер не настроен на маршрутизацию IPv6 через VPN, то часть трафика может уходить напрямую. В идеале нужно либо отключить IPv6 для выбранных доменов, либо настроить IPv6-туннель.

Пошаговая инструкция для новичка на примере OpenWrt

Рассмотрим практический пример настройки выборочного VPN на роутере с OpenWrt. Предположим, у вас есть VPN-сервер (например, WireGuard) и вы хотите, чтобы только YouTube работал через VPN.

Шаг 1. Подготовка. Убедитесь, что OpenWrt установлена и роутер имеет доступ в интернет. Подключитесь к веб-интерфейсу (обычно 192.168.1.1).

Шаг 2. Настройка WireGuard. Перейдите в раздел Network → Interfaces, нажмите Add new interface. Назовите интерфейс wg0, выберите тип WireGuard VPN. Введите приватный ключ, IP-адрес и порт сервера. Добавьте peer-конфигурацию с публичным ключом и endpoint.

Шаг 3. Создание таблицы маршрутизации. В файле /etc/iproute2/rt_tables добавьте строку 100 vpn. Затем в конфигурации интерфейса wg0 укажите ip4table: 100.

Шаг 4. Настройка DNS и ipset. Установите пакет ipset и dnsmasq-full. В конфигурации dnsmasq добавьте:

ipset=/youtube.com/vpn_ipset

Перезапустите dnsmasq.

Шаг 5. Правила файрвола. В /etc/config/firewall добавьте:

config rule
    option name 'VPN_YouTube'
    option src 'lan'
    option dest 'wan'
    option family 'ipv4'
    option target 'MARK'
    option set_mark '0x64'

Затем добавьте правило маршрутизации:

config rule
    option name 'Route_YouTube'
    option src 'lan'
    option dest 'wan'
    option family 'ipv4'
    option target 'MARK'
    option set_mark '0x64'
    option lookup '100'

Но в OpenWrt проще использовать пакет pbr. Установите его через opkg install pbr и настройте в /etc/config/pbr:

config pbr
    option interface 'wg0'
    option ipset 'vpn_ipset'

Шаг 6. Проверка. Перезагрузите роутер. Зайдите на сайт 2ip.ru и убедитесь, что ваш IP изменился, когда вы открываете YouTube, но остался прежним для других сайтов.

Типичные ошибки и как их избежать

При настройке выборочного VPN пользователи часто сталкиваются с одними и теми же проблемами. Рассмотрим самые распространённые.

Ошибка 1: VPN не работает для сайта. Причина может быть в том, что сайт использует несколько доменов или IP-адресов. Например, для YouTube нужно добавить не только youtube.com, но и googlevideo.com, ytimg.com и другие. Проверьте, какие домены реально используются, с помощью инструментов разработчика в браузере.

Ошибка 2: Трафик идёт напрямую, хотя правило есть. Это часто происходит из-за того, что клиент использует внешний DNS. Убедитесь, что все устройства в сети получают DNS от роутера. Можно принудительно перенаправлять DNS-запросы на роутер через файрвол.

Ошибка 3: VPN работает, но медленно. Если вы используете OpenVPN на слабом роутере, скорость может быть ограничена аппаратным ускорением. В этом случае лучше использовать WireGuard, который более эффективен.

Ошибка 4: Роутер «кирпичнулся» при перепрошивке. Это случается, если прошивка не подходит для модели или были допущены ошибки. Всегда проверяйте совместимость на официальном сайте OpenWrt и следуйте инструкциям. Для восстановления часто помогает кнопка Reset и TFTP-загрузка.

Ошибка 5: Не работает IPv6. Если сайт отдаёт IPv6-адреса, а VPN работает только по IPv4, трафик может уходить напрямую. Решение — отключить IPv6 для нужных доменов или настроить IPv6-туннель.

Сравнение подходов: что выбрать

Выбор метода зависит от ваших технических навыков, бюджета и требований к функциональности.

OpenWrt — лучший выбор для энтузиастов, которые готовы разбираться в настройках. Он поддерживает множество моделей роутеров, включая бюджетные Xiaomi, и позволяет реализовать практически любую схему маршрутизации. Минус — сложность для новичков и риск «кирпича» при перепрошивке.

Keenetic — идеален для тех, кто хочет простое решение «из коробки». Стоит дороже, но не требует специальных знаний. KVAS автоматически обновляет списки доменов, что очень удобно.

MikroTik — для профессионалов и небольших офисов. Даёт максимальный контроль, но требует понимания сетевых технологий. Бюджетные модели (hAP lite, hAP ac2) доступны, но настройка может занять много времени.

pfSense/OPNsense — для тех, у кого есть лишний мини-ПК. Обеспечивают корпоративный уровень функциональности, но требуют отдельного устройства и базовых знаний Linux/FreeBSD.

Если ваш бюджет ограничен 5–7 тысячами рублей, лучшим вариантом будет Xiaomi AX3000T с OpenWrt или Keenetic Viva (если найдёте по акции). Для более продвинутых пользователей подойдёт MikroTik hAP ac2, но учтите, что его цена может превышать бюджет.

Вопросы и ответы