VPN для всей квартиры или офиса на роутере MikroTik

Зачем ставить VPN на роутер

VPN на роутере защищает сразу все устройства в сети, включая те, на которые нельзя установить приложение. Настроить нужно один раз, а не на каждом телефоне и ноутбуке.

Дома и в небольшом офисе много техники, которая выходит в интернет: телевизоры, игровые приставки, медиаплееры, умные колонки, камеры, принтеры. На большинство из них VPN-приложение не поставить. Если туннель поднят на роутере, весь их трафик идёт через него автоматически.

Есть и другие плюсы:

• гости подключаются к Wi-Fi и сразу получают защищённое соединение;
• не нужно следить, включён ли VPN на каждом устройстве;
• одна точка управления: сменить сервер или конфигурацию можно в одном месте.

Что понадобится

Нужны роутер MikroTik с RouterOS 7.x и поддержкой контейнеров, а также тариф DXVPN «Семейный». Ещё понадобятся базовые навыки работы с RouterOS.

Как это устроено

Внутри роутера работает контейнер с AmneziaWG, который держит туннель до сервера DXVPN. Роутер направляет в этот контейнер трафик локальной сети, а контейнер отправляет его через туннель.

Общая схема выглядит так:

1. Включение контейнеров. В RouterOS устанавливается и включается поддержка контейнеров, как описано в документации MikroTik.
2. Сеть для контейнера. Для контейнера создаётся виртуальный интерфейс, через который роутер с ним общается.
3. Запуск AmneziaWG. В контейнер загружается образ с AmneziaWG и ваша конфигурация DXVPN с параметрами обфускации.
4. Маршрутизация. На роутере настраиваются правила: какой трафик отправлять в контейнер, а какой — напрямую.
5. Проверка. С любого устройства в сети проверяется, что соединение идёт через туннель, а локальные ресурсы доступны как раньше.

Почему именно AmneziaWG: обычно это самый быстрый протокол DXVPN, он работает на роутерах и при этом скрывает стандартную сигнатуру WireGuard. На сайте DXVPN его устойчивость к DPI оценена в 4 из 5. Подробнее о том, чем он отличается от обычного WireGuard, — в гайде AmneziaWG и WireGuard.

Раздельная маршрутизация

Раздельная маршрутизация отправляет российские сайты напрямую, а международный трафик — через туннель. Это та схема, которую DXVPN описывает для MikroTik.

Зачем она нужна. Многие российские сервисы — банки, госуслуги, маркетплейсы вроде Ozon и Wildberries, VK, RuTube, Дзен — работают лучше, когда видят ваш обычный российский адрес. Через иностранный узел они могут открываться медленнее или запрашивать дополнительные проверки. Если отправлять их напрямую, эти сервисы работают как без VPN, а остальной трафик остаётся защищённым.

Технически роутер сравнивает адрес назначения со списком и выбирает маршрут: напрямую через провайдера или в контейнер с туннелем. В RouterOS для этого обычно используют списки адресов и правила маршрутизации. Конкретная реализация — на ваше усмотрение и по документации MikroTik.

Как проверить, что всё работает

После настройки проверьте три вещи: трафик идёт через туннель, российские сайты открываются напрямую, а локальные устройства видят друг друга. Это занимает несколько минут.

• Внешний адрес. Откройте с любого устройства в сети сервис, показывающий ваш IP. Для международных сайтов он должен совпадать с адресом сервера DXVPN, а не провайдера.
• Российские сервисы. Откройте, например, VK или сайт банка. При раздельной маршрутизации они должны работать так же быстро, как без VPN.
• Локальная сеть. Убедитесь, что принтер, сетевой накопитель и медиаплееры по-прежнему доступны. Если нет, проверьте, не отправляется ли в туннель трафик к локальным адресам.
• Устройства без экрана. Телевизор или приставку проще всего проверить по работе приложений, которые раньше подключались нестабильно.

Если туннель не поднимается, сначала проверьте на странице статуса, что сервер DXVPN работает.

Ограничения схемы

У VPN на роутере есть ограничения: скорость зависит от процессора, настройка сложнее, чем приложение на телефоне, а за пределами дома устройства остаются без этой защиты.

• Мощность роутера. Шифрование выполняет процессор роутера. На недорогих моделях скорость через туннель может быть заметно ниже скорости тарифа провайдера.
• Сложность настройки. Нужно разбираться в интерфейсах, маршрутах и контейнерах RouterOS. Ошибка в правилах может оставить сеть без интернета, поэтому сохраните резервную копию конфигурации.
• Только UDP. AmneziaWG работает по UDP. Если провайдер ограничивает UDP, туннель на роутере может не работать. Тогда на отдельных устройствах понадобится протокол на TCP.
• Только внутри сети. Вне дома или офиса телефону и ноутбуку нужно своё приложение. Список клиентов — на странице загрузки.
• Один протокол. На телефоне клиент может переключиться на другой протокол из подписки, а на роутере работает только AmneziaWG. Если он перестанет подключаться, пройдите шаги из гайда VPN перестал подключаться: например, получите свежую конфигурацию в @dxvpnbot или смените сервер.

Что ещё даёт тариф «Семейный»

Кроме схемы с MikroTik, «Семейный» включает все 7 протоколов, до 5 устройств, безлимитный трафик и приоритетную поддержку. Есть пробный период 3 дня.

• DNS-фильтрация. AdGuard Home на серверах DXVPN блокирует рекламные, трекерные и вредоносные домены для каждого устройства.
• Прокси MTProto для Telegram. Отдельная ссылка на прокси, которой можно поделиться с близкими.
• Серверы. Сейчас работают два узла, в том числе в Нидерландах; актуальный список — на странице статуса. Узлы в Гонконге, Токио и Сингапуре запланированы.

DXVPN не записывает содержимое трафика, посещаемые сайты и DNS-запросы. Подробнее о подходе к данным — в разделе доверия, о функциях — в разделе возможностей, цены — в разделе тарифов.