Как настроить впн на роутере кинетик

Всех горячо приветствую! Такая дичь написана на других сайтах по данному вопросу, что мне пришлось основательно подготовиться и написать свою инструкцию. Даже на официальной странице поддержки Keenetic не описаны некоторые моменты, что может привести к внезапному возгласу: «А почему не работает?!». Сегодня я расскажу вам, как правильно настроить VPN-сервер на роутере ZyXEL Keenetic, а также как к нему подключиться с разных устройств.

Если вам не нужно настраивать VPN-сервер, а нужно подключиться к публичному, то просто смотрите главу «ШАГ 4…» – подглава «Роутер ZyXEL Keenetic». Там же я оставил ссылку на бесплатные публичные VPN.

Если же вы хотите настроить сервер, а также подключиться, то я описал 3 способа подключения: PPTP, L2TP/IPSec и WireGuard. Первые два настраиваются достаточно просто, но подключение там идет прямое, и вы можете приконнектиться к серверу как с Windows, Android, iOS или с отдельного роутера любой модели (TP-Link, ASUS, D-Link и т.д.)

А вот WireGuard (Keenetic VPN) настраивается исключительно на новых маршрутизаторах – то есть у вас должно быть два роутера с последней прошивкой. В общем вы можете выбрать все варианты. На самом деле все делается просто, но в настройках есть много нюансов, о которых я подробно написал в статье. Некоторые сложности могут возникнуть с WireGuard. Именно поэтому я постарался описать все по шагам с картинками и пояснениями. Не торопитесь и читайте очень внимательно. В любом случае вы всегда можете обратиться ко мне в комментариях. Поехали!

Содержание

ШАГ 1: Вход в настройки роутера
ШАГ 2: Включение DDNS
Новая прошивка
Старая прошивка
ШАГ 3: Настройка сервера
VPN PPTP
Новая прошивка
Старая прошивка версии NDMS 2.11 и меньше
VPN-сервер L2TP/IPsec
VPN WireGuard
ШАГ 4: Подключение к VPN
Роутер ZyXEL Keenetic
Windows
Android
iOS
Задать вопрос автору статьи

ШАГ 1: Вход в настройки роутера

Сначала вам нужно подключиться к локальной сети маршрутизатора – это можно сделать двумя способами:

По кабелю, подключившись к локальному порту.
По Wi-Fi.

Далее открываем браузер и вводим в адресную строку один из адресов:

192.168.1.1
my.keenetic.net

Далее авторизовываемся.

Если у вас есть проблемы со входом, то читаем эту инструкцию.

ШАГ 2: Включение DDNS

Наш план достаточно простой. Наш роутер Keenetic будет выступать в качестве VPN сервера. Причем не важно, какой именно сервер мы будет настраивать – будь это PPTP, IPSec или новый WireGuard. Смысл в том, что мы должны иметь доступ к этому роутеру извне – то бишь из интернета. У роутера есть внешний IP адрес. Конечно, мы можем использовать его. Но как правило, современные провайдеры по умолчанию выдают два вида адрес:

Белый динамический
Серый

Нужно, чтобы ваш провайдер обязательно использовал белый IP адрес, в противном случае доступ к VPN-серверу будет недоступен. Про белые и серые IP, а также про то, как узнать какой адрес у вас – читаем эту инструкцию. На новых прошивках есть возможность подключаться и к серым IP, но при использовании KeenDNS (это облачный DDNS сервис, который работает напрямую, так и через облако, поэтому его можно использовать даже с серыми IP).

В общем на первом шаге мы подключим службу DDNS, если ваш IP не является статичным.

Более подробно про DDNS читаем тут.

Новая прошивка

Для начала нам нужно настроить DDNS, можно использовать стандартный и бесплатный KeenDNS от Keenetic. Переходим в раздел «Доменное имя» и вводим любое наименование, которое мы будем использовать для подключения. Далее нажимаем «Зарегистрировать».

Если имя свободное, то роутер сообщит об этом и предложит вам 3 поддоменных имени – выберите любое.

Если у вас серый IP, то вам нужно перейти в «Общие настройки» и включить «Keenetic Cloud».

Высветится вот такое окошко, подождите пока роутер получит SSL сертификаты. После этого вам нужно выбрать «Режим работы»:
1. Через облако – если у вас серый IP.
2. Прямой доступ – если IP белый.

Старая прошивка

Понятно дело, используя внешний IP адрес, но что, если он динамический или серый. Хочу расстроить пользователей с серыми IP, тут ничего не поделаешь и единственный выход – это искать провайдера с белым IP. Второй вариант – это купить более новый роутер Keenetic, на котором есть облачная служба KeenDNS – она позволит прокинуть подключение даже с серым IP. Для тех, у кого белый IP, нам в любом случае нужно настроить DDNS, так как скорее всего у вас он конечно же белый, но динамический адрес, а поэтому, когда он поменяется – соединение просто отвалится.

В разделе «Интернет» перейдите в «DDNS» и посмотрите в список «Используемых серверов». По умолчанию у нас есть Dyn, No-Ip и DNS-Master – это все сторонние сервисы. Что вам нужно сделать? – вам нужно зайти на официальные сайты этих сервисов, зарегистрироваться и создать DDNS. Далее переходим сюда и вводим данные DDNS.

ШАГ 3: Настройка сервера

Выберите один из вариантов подключения. Напомню, что для WireGuard у вас должно быть два роутера Кинетик с последней прошивкой.

VPN PPTP

При подключении по PPTP идет шифрование MPPE (Microsoft Point-to-Point Encryption).

Новая прошивка

Теперь нужно установить компонент VPN-сервера – переходим в «Общие настройки» -«Обновления и компоненты» – кликаем по кнопочке «Изменить набор компонентов» и устанавливаем «PPTP VPN-сервер».

Переходим в «Приложения» и включаем наш сервер.

Откроются настройки. Давайте пройдемся по пунктикам:
1. Множественный вход – когда один и тот же логин и пароль используют несколько клиентов. Небезопасно, зато удобно.
2. Только шифрование – не убираем эту галочку, иначе канал связи будет не зашифрован и данные могут перехватить.
3. NAT для клиентов – использование интернета.
4. Доступ к сети – ставим «Домашняя сеть», ведь именно к этой сети мы будем иметь доступ.
5. Начальный IP-адрес – это начальный пул адресов для клиентов. Очень важно, чтобы клиентские адреса и адреса ваших локальных машин не пересекались, поэтому лучше установить другие настройки IP.
6. Пул IP-адресов – максимальное число 10.
7. Пользователи – тут вы можете использовать одного или создать несколько учетных записей.

Старая прошивка версии NDMS 2.11 и меньше

Возможность настроить VPN сервер появилась с выходом версии операционной системы NDMS V2.04.B2. Также по PPTP к одному серверу можно подключить до 10 клиентов.

Для начала нужно убедиться, что установлен компонент VPN-сервер. На главной нажмите по ссылке «Доступно» в разделе «Обновления».

Или вы можете перейти в раздел «Система», нажать по вкладке «Обновление» и далее ниже нажать «Показать компоненты».

Найдите VPN-сервер и выделите его.

Далее нажмите по кнопке «Обновить».

Теперь переходим в «Приложения» и открываем вкладку «Сервер VPN» (если такой вкладки нет, то вы не установили компонент). Включаем сервер. Ставим галочку «Одно подключение на пользователя». В строке «Доступ к сети» нужно указать наименование вашей локальной сети этого роутера – по умолчанию это «Home network». Ниже нужно указать начальный адрес пула – что это такое? Это пул адресов, который будут выдаваться клиентам подключенным к этому серверу. Нужно обязательно разделить разрешенный пул домашней сети «Home network» и пул адресов VPN сервера. На самом деле можно использовать одну подсеть, но разный пул. Например, для домашней сети пул будет 192.168.1.50-192.168.1.70. А здесь указать начальный пул 192.168.1.200. Или сделайте как я, просто указать другой начальный адрес 172.16.1 33 пула. И ниже указываем размер пула – так как максимальное число клиентов 10, то больше указывать не стоит. Для безопасности, вы можете указать меньшее число клиентов. «Транслировать адреса клиентов (NAT)» – эта галочка нужна для того, чтобы клиенты VPN-сервера могли выходить в интернет через этот роутер. Если вы хотите иметь только доступ к локальной сети, то уберите эту галочку.

Для удобства мы будем использовать учетную запись администратора, нажмите по ней.

Как видите в строке «Доступ разрешен» стоит значение «Нет» – это значит этот пользователь не может использоваться для VPN подключения. Давайте это исправим – нажимаем по этой учетке и включаем галочку «Разрешить доступ к VPN».

Admin пользователя можно использовать для нескольких подключений. Но если вам нужно несколько пользователей (для безопасности), то перейдите в раздел «Система» – «Пользователи» – нажмите по кнопке добавления.

Укажите логин, пароль клиента, а также не забудьте указать доступ к «VPN-серверу».

VPN-сервер L2TP/IPsec

Устанавливаем компонент: «Общие настройки» – «Обновления и компоненты» – «Изменить набор компонентов». Находим компонент «L2TP/IPsec VPN-сервер, ставим галочку и устанавливаем его, если он не установлен.

В приложениях включаем наш VPN.

Теперь вводим данные:
1. Общий ключ IPsec – указываем любой ключ.
2. Множественный вход – для того, чтобы использовать одну учетную запись на разных компах.
3. NAT для клиента – чтобы подключенные клиенты имели доступ к интернету в этой сети.
4. Доступ к сети – указываем «Домашняя сеть».
5. Начальный IP-адрес – это адреса локальной сети, которые будут выдавать VPN клиентам. Они не должны совпадать с теми адресами, которые уже зарезервированы в вашей локальной сети. Поэтому лучше указать другой пул частных адресов.
6. Пул IP-адресов – максимальное число поддерживаемых клиентов 10.

В поле «Пользователь» можно создать новых пользователей, которые и будут подключаться к VPN. Для теста можете использовать администратора (admin).

VPN WireGuard

WireGuard был добавлен в версии KeeneticOS 3.3 и работает только с новой прошивкой. Аналогично данная штуковина работает только между двумя роутерами Keenetic. Наше подключение еще можно назвать «Site-To-Site VPN». Если у вас у одного из роутера есть белый IP, то лучше использовать его в качестве сервера. По сути мы объединим две сети в одну виртуальную локальную сеть.

И еще очень важный момент, мы будем производить настройки одновременно на двух роутерах. То есть Web-интерфейс должен быть открыть сразу. Например, «Сервер» мы будем настраивать с компьютера, а «Клиент» с телефона. Но ничего страшного, если вы будете настраивать туннель между маршрутизаторами, которые находятся в разных точках мира.

«Общие настройки» – «Обновления и компоненты» – кликаем «Изменить набор компонентов» и устанавливаем наш компонент.

Переходим: «Другие подключения» – «WireGuard» – нажимаем по кнопке добавления.
В поле название нужно ввести английское наименование. Я в качестве примера введу на одном «WG-S» (Сервер), а на втором «WG-CL1» (Клиент). При этом оба окна должны быть открыты.
Нажимаем «Генерацию пары ключей».

В поле «Адрес» вписываем IP туннеля с bitmask указать можно любой пул из частного диапазона:

10.0.0.0 – 10.255.255.255 (маска 255.0.0.0 или /8)
172.16.0.0 – 172.31.255.255 (маска 255.240.0.0 или /12)
192.168.0.0 – 192.168.255.255 (маска 255.255.0.0 или /16)
100.64.0.0 – 100.127.255.255 (маска 255.192.0.0 или /10)

Если коротко, то частные адреса – это те, которые используются только в локальной сети, и их нет в интернете. Я в качестве примера указал 172.16.82.1/24. Также указываем порт номер 16632, именно на него и будет идти подключение от клиента к серверу. Роутер сам автоматически его откроет, поэтому его пробрасывать не нужно. Кликаем по кнопке «Добавить».

Переходим на вкладку роутера-клиента (WG-CL1). Добавляем подключение, вводим название «WG-CL1», нажимаем «Генерация пары ключей» и тут же нажимаем «Сохранить публичный ключ в буфер обмена».
Теперь нужно вернуться в настройки сервера там откроется окошко «Настройка пира» вводим данные (При этом ни в коем случае не закрывайте настройки клиентского роутера):
1. Имя пира – указываем точное наименование, какое вы указали в клиенте.
2. Публичный ключ – вставляем из буфера, тот который мы получили от клиента. Если вы настраиваете роутеры в разных местах, то ключ можно отправить по почте или с помощью мессенджера.
3. Разрешенные подсети – сюда нужно вписать пул локальных адресов нашего клиента. То есть те адреса, которые смогут иметь доступ к серверу. То есть нам нужно указать адрес туннеля, который будет прописан в клиенте. В сервере мы указали 172.16.82.1. На клиенте мы потом укажем адрес 172.16.82.2, значит здесь же его и указываем. И в качестве настройки маски пишем еще /32. И не забываем указать пул локальных адресов клиента – 192.168.100.0/24.
4. Проверка активности – ставим 15 секунд.

Это еще не все, нужно настроить «Межсетевой экран» – переходим в этот раздел. Открываем вкладку нашего подключения и добавляем правило для того, чтобы доступ к клиенту и серверу был разрешен извне.

Устанавливаем настройки как на картинке ниже – просто все разрешаем.

Теперь нужно прописать статический маршрут для нашего туннеля – «Маршрутизация» – «Добавить маршрут»:
1. Тип маршрута – маршрут до сети.
2. Адрес сети назначения – указываем пул клиентского роутера.
3. Маска подсети – 255.255.255.0
4. Интерфейс – указываем наше созданное подключение WG-S.

Вернитесь обратно в то подключение, которое мы создали и нажмите по кнопке, чтобы сохранить ключ – мы его будем вводить в настройки клиентского роутера.

Переходим на вкладку настройки клиентского роутера, вводим название. В поле адрес вписываем адрес туннеля. На серверной машине мы указали 172.16.82.1, тут указываем 172.16.82.2. И не забываем указать /24. Добавляем пир.

Настраиваем теперь пир:
1. Имя пира – указываем то, что на сервере.
2. Публичный ключ – вставляем тот, который получили, также от сервера.
3. Адрес и порт пира – вот тут указываем внешний IP или тот DDNS, который мы ранее создали. Я использую KeenDNS. После этого ставим двоеточие и указываем порт, которые мы используем на сервере. Например: keenetic.link:16632
4. Разрешенные подсети – указываем подсеть туннеля сервера 172.16.82.1/32. Еще не забываем указать пул адресов локальных машин сервера. У меня это 192.168.22.0/24.
5. Проверка активности – также ставим 15.

Теперь нужно настроить межсетевой экран. Добавляем правило.

Тут настройки такие же как на сервере.

Теперь добавляем статический маршрут как на сервере. Все настройки такие же кроме:
1. Адрес сети назначения – указываем начальный адрес пула локальных устройств сервера.
2. Интерфейс – тут указываем интерфейс WG-CL1, через который мы и подключаемся к туннелю.

Если вы все сделали верно, то на вкладке «Wireguard» на обоих устройствах в колонке «Пир» вы увидите зеленый кружок с название второго роутера.

Роутер ZyXEL Keenetic

ПРИМЕЧАНИЕ! Если вы не настраивали VPN-сервер и хотите подключиться к публичному, то можете попробовать бесплатные ВПН от Японского университета – про него подробно написано тут. Там также есть конфигурация с настройками.

Проверьте, чтобы были установлены компонент «IPsec VPN», если вы настраивали L2TP/IPSec подключение. Если вы настраивали PPTP, то ничего делать не нужно, так как этот компонент уже установлен по умолчанию.

Переходим в раздел «Другие подключения» – «VPN-подключения», кликаем «Добавить подключение». Теперь вводим настройки:

Имя подключения – указываем любое название.
Тип (протокол) – PPTP.
Адрес сервера – наш DDNS или ваш статический IP.
Имя пользователя и пароль – указываем учетную запись, которую мы используем для VPN.
У L2TP/IPsec нужно также указать секретный ключ, который мы создали.

Как только настройки будут введены, сохраните все и не забудьте включить само подключение.

Windows

Есть небольшая проблема в том, что Keenetic использует тип шифрования MPPE с ключом 40 бит – это связано с законодательством в РФ, Белоруссии и Казахстане. А на ОС Windows используется ключ 128 бит. Если вы прямо сейчас приступите к настройке, то подключение не произойдет. Но есть два выхода. Первый – мы изменим некоторые настройки в роутере. Второй – поменяем конфигурацию в Windows.

ВНИМАНИЕ! Выберите только один из двух вариантов.

Изменение настроек роутера

Нам нужно включить Telnet на Windows – для этого перейдите в «Панель управления». В Windows 10 нажмите на кнопки «Win» и «R» и введите команду:

control

«Программы и компоненты».

«Включение или отключение компонентов Windows».

Включаем «Клиент Telnet».

Запускаем командную строку через поиск.

Вводим команду для входа в роутер.

telnet 192.168.1.1

Далее введите пароль от админки роутера.

Вводим команды:

vpn-server mppe 128
system configuration save
exit

Изменение настроек в Windows

Заходим в редактор реестра – нажимаем по кнопке «Win» и «R» и вводим команду:

regedit

Копируем путь:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

И вставляем его в верхнюю строку. Или вы можете по нему пройти самостоятельно.
Находим параметр «AllowPPTPWeakCrypto», открываем и меняем на 1.
Нажимаем «ОК».
Перезагружаем комп.

Теперь переходим к подключению.

Windows 10

«Пуск» – «Параметры».

«Сеть и Интернет».

В разделе «VPN» нажимаем по кнопке с плюсиком.

Заполняем данные:
1. Имя подключения – вводим любое наименование, оно будет отображаться только у вас в винде.
2. Имя или адрес сервера – указываем наш DDNS или IP.
3. Тип VPN – «PPTP» или «L2TP/IPsec с общим ключом».
4. Общий ключ (только для L2TP/IPsec) – указываем тот самый ключ.
5. Тип данных для входа – «Имя пользователя и пароль».
6. Ниже вводим логин и пароль от учетки, которую мы создали в роутере. Можно использовать для проверки пользователя admin.

Нажимаем «Сохранить». Далее нажимаем «Подключиться».

Windows 7

Кликаем ПКМ по подключению и заходим в центр управления.

Нажимаем «Настроить новое подключение…»

«Подключение к рабочему месту» – установите настройку «Нет, создать новое подключение». Идем далее и выбираем «Использовать мое подключение к Интернету (VPN)». Сначала вводим адрес роутера с VPN-сервера – это может быть DDNS или внешний IP. Имя указываем любое.

Вводим логин и пароль. Поставьте галочку «Запомнить этот пароль», чтобы его постоянно не вводить.

Теперь нам нужно установить тип PPTP – это конечно можно и не делать, но тогда подключение будет очень долгим, так как винда будет перебирать все возможные варианты. Для настройки нажимаем на + R и вводим команду:

ncpa.cpl

Кликаем ПКМ по нашему подключению и заходим в «Свойства».

На вкладке «Безопасность» установите тип VPN как PPTP или IPSec – смотря, какой тип сервера вы создавали в интернет-центре.

Там же перейдите в раздел «Сеть» и, выделив протокол TCPv4, перейдите в «Свойства» – «Дополнительно» – уберите галочку сверху.

Android

«Настройки».

«Сеть и интернет» – «Дополнительно» – «VPN».

Добавляем профиль.
1. Название – вводим любое.
2. Тип – указываем PPTP или L2TP/IPSec PSK.
3. Адрес сервера – внешний IP или DDNS.
4. Общий ключ IPsec – указываем наш ключик.
5. И в самом низу вводим имя пользователя и пароль.

Подключаемся.

iOS

«Настройки» – «Основные» – «Добавить конфигурацию VPN».

Вводим:
1. Тип – указываем L2TP или PPTP.
2. Описание – вводим любое название.
3. Сервер – DDNS или IP нашего роутера.
4. Учетная запись – это логин.
5. Пароль – это пароль.
6. Общий ключ – нужен только для IPSec.

Подключаемся.

Источник

Как настроить OpenVPN на роутере Keenetic

Пошаговая инструкция по подключению к VPN BlancVPN на роутерах Keenetic

Обновлено больше недели назад

Вам потребуется файл конфигурации .ovpn, логин и пароль. Вы получите их в боте BlancVPN после выбора локации или в личном кабинете BlancVPN.

Настройка состоит из трех этапов – установка клиента OpenVPN, получение и редактирование файла конфигурации и загрузка его в настройки роутера Keenetic.

Для настройки OpenVPN обязательно нужно установить компонент системы «Клиент и сервер OpenVPN«.

Откройте веб-интерфейс вашего роутера. По умолчанию для этого в браузере нужно перейти по адресу 192.168.1.1 или my.keenetic.net. Введите логин и пароль от веб-интерфейса роутера (они могут быть написаны на наклейке на нижней части устройства).
Перейдите в раздел «Общие настройки», нажмите кнопку «Изменить набор компонентов».
Найдите компонент «Клиент и сервер OpenVPN» и установите его. В процессе установки интернет-соединение может временно пропасть.

Настройка файла конфигурации

Скачайте из личного кабинета или бота BlancVPN файл конфигурации .ovpn для любой нужной вам локации.
Откройте файл конфигурации любым текстовым редактором. Например, Блокнотом, Text или Notepad++ (кликните на файле правой кнопкой мыши и выберите «Открыть с помощью»).
Найдите в тексте строку auth-user-pass и удалите её.
Вместо неё впишите блок с логином и паролем, который предоставляется вам вместе файлом конфигурации:

<auth-user-pass>
blancvpn
4815162342
</auth-user-pass>

Первая строчка – в нашем примере это blancvpn – это логин. Вторая строчка – в нашем примере это 4815162342 – это пароль.

Файл сохранять не обязательно. Но пока не закрывайте.

Настройка VPN на роутере Keenetic

Откройте веб-интерфейс вашего роутера. По умолчанию для этого в браузере нужно перейти по адресу 192.168.1.1 или my.keenetic.net. Введите логин и пароль от веб-интерфейса роутера (они могут быть написаны на наклейке на нижней части устройства).
Перейдите в раздел «Другие подключения», в подразделе «VPN-подключения» нажмите кнопку «Добавить подключение».
В открывшемся окне «Параметры VPN-подключения» в поле «Тип (протокол)» выберите «OpenVPN».
Откройте изменённый файл конфигурации подключения, в который вы вписали ваш логин и пароль, выберите весь текст (например, нажав Ctrl+A) и копируйте его (например, нажав Ctrl+C).
Вернитесь в настройки «Параметры VPN-подключения», перейдите в поле ввода «Конфигурация OpenVPN» и вставьте туда скопированный текст (например, нажав Ctrl+V).
По желанию вы можете изменить имя подключения, чтобы было понятнее. Например, указав регион.
По желанию вы также можете настроить расписание работы или определение интерфейса. Для этого нажмите «Показать дополнительные настройки».
Если больше ничего менять не нужно, сохраните подключение, нажав соответствующую кнопку.
Установите этому соединению самый высокий приоритет – тогда весь трафик будет защищён VPN-соединением. Перейдите в раздел «Приоритеты подключений», переместите VPN-подключение так, чтобы оно было над подключением провайдера, и сохраните изменения.
В этом же разделе нажмите кнопку «+ Добавить политику».

Дайте ей любое название и нажмите ОК

Включите в эту политику подключений только ваше VPN подключение и сохраните.
Затем в этом же разделе перейдите к подразделу «Применение политик». Перенесите в вашу недавно созданную политику доступа ваши устройства (Домашняя сеть).

В вашей политике доступа должна содержаться как минимум «Домашняя сеть», если вы не настраивали этот пункт отдельно.
Теперь вы можете включать и выключать VPN-подключение на роутере, просто переводя переключатель в разделе «Другие подключения» → «VPN-подключения» в соответствующее положение.

После подключения проверьте, изменился ли ваш IP-адрес. Для этого откройте наш сайт blancvpn.com и посмотрите на панель наверху страницы: там будет указан ваш новый IP-адрес и локация.

Если возникли сложности или что-то пошло не так – напишите нам в Telegram-бот https://t.me/FCK_RKN_bot, поможем!

Совет: можно настроить раздельное туннелирование трафика через политику приоритетов подключений, если требуется направлять через VPN только трафик определённых устройств. Например, игровые приставки и смартфоны – через VPN, а остальные (компьютер или NAS, качающий торренты) — через основной провайдерский Интернет. Кроме того, это открывает возможности балансировки нагрузки при использовании 3G/4G-модемов с лимитированным трафиком. Инструкция по настройке раздельного туннелирования указана в разделе «Приоритеты подключений» на сайте Keenetic.

Совет: если весь ваш трафик перенаправляется через VPN на роутере, не нужно включать VPN на отдельных устройствах, которые подключены к роутеру.
Совет: если после настройки VPN на роутере у вас не загружаются некоторые заблокированные сайта, поменяйте DNS подключений на 8.8.8.8. Для этого перейдите в раздел Другие подключения, Показать дополнительные настройки и нажмите на нужное VPN подключение, отредактируйте поле «DNS 1» и сохраните.

Типовые ошибки и пути решения:

Сильно снижается скорость при использовании VPN на роутере
Протокол OpenVPN очень требователен к ресурсам. MIPS-процессор роутера при активном подключении к VPN «нагружается» постоянным шифрованием и дешифрованием трафика. Кроме того, в силу своей специфики OpenVPN – значительно более «тяжёлый» протокол, чем WireGuard, поэтому даже на флагманских моделях роутеров (включая Keenetic Giga и Ultra) он может ощутимо снижать скорость интернета.

Если замедление критично, рекомендуем подключить протокол WireGuard – его также можно настроить на роутерах Keenetic (инструкция).

Ошибка auth-user-pass without inline credentials data is not supported
Эта ошибка возникает, если в файле конфигурации осталась строка для ввода логина или пароля. В журнале Keenetic она отображается следующим образом:

OpenVPN0 auth-user-pass without inline credentials data is not supported
OpenVPN0 Exiting due to fatal error

Для решения удалите или закомментируйте все строки вида:
auth-user-pass

Другие статьи по теме

Как настроить OpenVPN на Android

Как настроить OpenVPN на Windows

Как настроить OpenVPN на роутере ASUS

Как настроить OpenVPN на iOS (iPhone, iPad)

Как настроить WireGuard на роутере Keenetic

Нашли ответ на свой вопрос?

Источник

Не редко, требуется иметь полноценный доступ к внутренним ресурсам сети из любой точки, где имеется выход в Интернет. И тут на первое место выходит вопрос безопасности и защиты передаваемых данных по открытым каналам связи.

Для организации защищенных каналов я предпочитаю использовать OpenVPN, о настройке которого уже не раз рассказывал на страницах блога. Но что делать, если у вас нет возможности, желания или навыков поднимать OpenVPN-сервер? Для небольшого офиса, а уж тем более домашнего использования, подобное решение не всегда оправдано. Гораздо проще организовать безопасное подключение к ресурсам вашей сети используя готовый L2TP VPN-сервер на базе роутера Keenetic и сегодня я наглядно покажу как это делается.

Перед тем как начать, хотелось бы отметить, что PPTP VPN-сервер на Keenetic настраивается аналогичным образом, но в виду того, что соединения по протоколу PPTP не обеспечивают требуемого уровня безопасности, его настройку рассматривать не будем. В свежих версиях macOS поддержку PPTP вообще выпилили из системы.

Настройка L2TP-сервера на роутерах Keenetic

Со времени появления первых «кинетиков», проделана большая работа и теперь эти роутеры обладают весьма не плохим функционалом, оставаясь простыми в настройке (тут засылаю огромный булыжник в огород MikroTik). Для примера, взял роутер Keenetic Extra II с прошивкой версии 2.14.C.0.0-4.

Итак, расширение функциональности Keenetic OS, на которой работает роутер, достигается за счёт установки дополнительных компонентов. Как вы уже поняли, нам потребуется установить компонент L2TP/IPsec VPN-сервера:

Заходим в панель управления и в боковом меню переходим Управление -> Общие настройки, где кликаем по кнопке «Изменить набор компонентов».

В появившемся окне в разделе «Сетевые функции» отмечаем «L2TP/IPsec VPN-сервер» для установки.

Далее создаём пользователей, которым будет предоставлен удалённый доступ к сети. Делается это в соответствующем разделе Управление -> Пользователи.
Осталось настроить сам L2TP-сервер. Переходим в Управление -> Приложения -> VPN-сервер L2TP/IPsec.

В поле Общий ключ IPsec пишем любой набор символов или секретную фразу, которая будет использоваться в качестве ключа шифрования (чем сложнее, тем лучше).

Ставим галочку, напротив поля Множественный вход, если планируется использовать одну учётную запись пользователя для нескольких соединений одновременно. Здесь же можно указать количество выдаваемых IP-адресов клиентам и задать начальный IP-адрес, с которого роутер будет их отсчитывать.

Нас избавили от решения вопросов маршрутизации, получаемой виртуальной сети, все необходимые правила роутер добавляет автоматически. Не забудьте только поставить галочку напротив пункта NAT для клиентов.

Остаётся только отметить галочками пользователей (мы их создали в третьем пункте) и активировать L2TP VPN-сервер.

Настройка соединения L2TP/IPsec на Windows и маке

Настройка VPN L2TP соединений под macOS или Windows делается штатными средствами. Если требуется подробная инструкция по их настройке, пишите в комментариях. А не сегодня это всё. Не забывайте ставить лайки и подписываться.

Подписывайтесь на канал

Яндекс.Дзен

и узнавайте первыми о новых материалах, опубликованных на сайте.

Источник

Меняем функции кнопок

Смена функций кнопок — это нововведение в сфере сетевой техники. Ее используют для того, чтобы сделать маршрутизатор более удобным для конкретного пользователя.

Для реализации подобной замены имеется кнопка «FN», находящаяся рядом с кнопкой сброса настроек.

Остальное можно сделать в веб-интерфейсе самостоятельно без посторонней помощи:

зайти на домашнюю страницу роутера и выбрать вкладку «система»;

в обновленном окне выбрать раздел «кнопки»;

выбрать кнопку и указать ее новую функцию;

нажать на опцию «применить».

Таким образом, кнопка «FN» будет запрограммирована на новую функцию.

Настройка маршрутизатора Zyxel Keenetic Omni не так труда, как кажется на первый взгляд. Можно наладить работу в интернете удаленно, настроить принтер или даже цифровое ТВ.

Простой и понятный веб-интерфейс поможет начинающему пользователю самостоятельно без помощи профессионала подключиться к интернету. Главное — строго следовать инструкции.

Первоначальная настройка роутера

Подготовительный этап является обязательной составляющей при организации защищенной сети с использованием роутера Keenetic. Для установки первоначальных настроек необходимо вначале подключить роутер к сети питания. Затем, используя патч-корд, осуществляется соединение роутера с компьютером. Кабель поставщика услуг связи необходимо подключить к разъему WAN роутера.

На следующем этапе рекомендуется обновить микропрограмму сетевого устройства. Настройка VPN-сервера PPTP роутера Keenetic возможна только на приборах с программой NDMS V 2.04.B2.

Перед настройкой защищенной сети следует также определить тип IP-адреса, предоставляемого оператором интернета. Для использования VPN на оборудовании Keenetic потребуется приобрести у провайдера статический айпи.

ШАГ 1: Вход в настройки роутера

Все настройки мы будем производить через обычный веб-интерфейс, доступ к которому можно получить из обычного браузера. Вы можете выполнять настройки с любого устройства, будь то компьютер, ноутбук, телефон или даже телевизор. Откройте браузер и введите один из предложенных адресов в адресной строке (или перейдите по ссылкам):

Далее вам нужно будет ввести свой логин и пароль. Комбинация по умолчанию – админ-админ. Всю информацию о входе в админку роутера можно посмотреть на этикетке внизу устройства.

Как открыть порты в роутере ZyXEL Keenetic? Мы также разберемся с этим, но прежде чем мы начнем, давайте правильно воспользуемся этим понятием. На маршрутизаторе они еще не открываются, а пересылают (перенаправляют или перенаправляют) порты. Самому маршрутизатору эти порты не нужны, но они используются конечными приложениями или даже устройствами в локальной сети. В этом плане Интернет-центр выступает своеобразным проливом, по которому проходит трафик. На финальном устройстве двери уже открыты. Например, на компьютере я тоже расскажу об этом ниже. Надеюсь, мы понимаем эту концепцию.

ШАГ 3: Проброс портов

Сначала вам нужно выяснить, какой порт и протокол использует ваша программа или устройство. Список всех портов можно найти в файле PDF ниже.

Новая прошивка

Например, я настрою проброс портов для компьютера – для работы с удаленным рабочим столом из Windows. Для этого используется TCP-порт 3389.

В разделе «Мои сети и Wi-Fi» нажмите «Список устройств».

Вам необходимо зарегистрировать устройство, на которое вы будете перенаправлять порт. Просто щелкните по нему.

Для начала введите свое имя и нажмите кнопку регистрации.

Это устройство появилось в списке ниже, давайте еще раз щелкнем по нему.

Установите флажок, как на изображении ниже, чтобы у устройства всегда был IP-адрес. Ниже в разделе «Перенаправление портов» нажмите «Добавить правило».

А теперь пройдемся по всем важным моментам:
1. Описание: введите знакомое имя.
2. Логин – здесь мы указываем подключение, которое вы используете для Интернета. Мы указываем именно то, что вы создали, в начале, когда вы впервые настраиваете интернет-центр.
3. Выход: указываем наше зарегистрированное устройство, на которое пойдет перенаправление портов.
4. Протокол – укажите TCP или UDP. Если вам нужно создать правило для двух протоколов одновременно, вам нужно будет создать две отдельные настройки (для TCP и UDP).
5. Тип правила: указываем порт или диапазон и ниже вставляем значение.
6. Порт назначения: используется очень редко, обычно для подмены портов. Например, 80 для 8080.

Мы соблюдаем правила.

Старая прошивка

Я покажу пример переадресации для подключения к FTP-серверу. То есть внутри локальной сети системный блок по-прежнему будет подключен к роутеру, на котором будет располагаться FTP. Это будет использовать порт 21 с протоколом TCP.

Во-первых, нам нужно зарегистрировать устройство, подключенное к сети: это необходимо, чтобы этому устройству был назначен постоянный IP-адрес. Щелкните значок «Домашняя сеть».

Во вкладке «Устройства» нажимаем на наше устройство. Установим флажок «Постоянный IP-адрес». Вы также можете ввести заголовок. Нажмите «Применить».

Щелкните значок щита.

На первой вкладке «NAT» нажмите кнопку, чтобы добавить правило.

А теперь перейдем ко всем пунктам:
1. Отключить: вы можете включить или отключить переадресацию в любое время.
2. Расписание заданий: установите расписание для включения или отключения пересылки.
3. Описание: Здесь вы можете ввести то, что хотите.
4. Интерфейс – это соединение, через которое проходит Интернет. Его можно посмотреть в разделе «Интернет» (значок планеты), во вкладке «Подключения». PPPoE использует собственное соединение. Для динамического IP «Широкополосное соединение (ISP)».
5. Протокол: вы можете выбрать из списка, как я. Или укажите порт вручную, для этого выберите тип «TCP» или «UDP». Затем ниже в поле «Открыть» выберите диапазон портов или конкретный вход.
6. Перенаправить на адрес: указывает на наше зарегистрированное устройство.
7. Номер нового порта назначения – используется для подмены портов. Часто используется для картографии. Например, при использовании порта 2121 замените его на 21. Он нам не нужен и на практике используется редко.

Мы соблюдаем правила. В моем случае мне также нужно включить компонент («Система» – «Обновление»), который работает с FTP. Возможно, вашей задаче понадобится какой-то другой компонент, чтобы вы могли просматривать компоненты, если что-то у вас не работает.

Как настроить прокси-сервер на роутере

Существует множество способов настройки доступа в Интернет с помощью прокси-сервера. Это и программные, и аппаратные решения.

Использование прокси-сервера для доступа к сети можно настроить отдельно для программы или приложения, веб-сайта, браузера, а также в операционной системе на различных устройствах: настольных компьютерах, планшетах, ноутбуках, смартфонах.

Один из наиболее эффективных способов настройки прокси-сервера – это настроить его с помощью маршрутизатора. В этой статье мы рассмотрим основные преимущества использования роутера для выхода в Интернет через прокси-сервер, а также механизм реализации этого решения (пошагово).

Firewall и безопасность

Таблица ограничена 500 записями, причём в это число не входят сервисы, запущенные на самом шлюзе — для них отведена отдельная вкладка. Помимо портов и протоколов, в настройках правил можно указывать только частоту (rate) для каждой записи. Этим сегодня никого не удивишь, и всё это было в домашних роутерах много лет назад.

А вот изюминка Zyxel VPN2S — это возможность отключения доступа к разным типам сайтов для разных категорий пользователей. Настройте менеджерам доступ к соц.сетям, чтобы они могли продавать ваш товар, набиваясь людям в друзьям, дайте техническим специалистам доступ к сайтам с документацией и обзорами, снимите все ограничения с гостей вашего офиса, и запретите начальству читать новости. Причём, вы указываете только категории медиа, а не сайты. Как Zyxel узнаёт, какой сайт к какой категории относится? Вот именно за это вы и платите при оформлении подписки на сигнатуры. И кстати, будьте внимательны: даже если вам через интерфейс управления доступна контентная фильтрация, вам всё равно нужно приобретать лицензию для активации данного сервиса.

Это действительно очень крутая функция, которая способна поднять рабочий ритм в вашей фирме, не давая отвлекаться на всякие там Ютубы, особенно если ваш офис — под землёй, где не ловит 4G.

mikrotik firewall

Начнём с фаервола. IP – Firewall – address-list. Для того что бы не создавать правило под каждый зиксель или любое другое устройство которое мы потом будем подключать к миротикку будем использовать address-list итак, жмём add (+)

Name – имя списка, Address – внешний ip зикселя. Переходим на вкладку Filter Rules и создаем правило (+).На вкладке general – chain — input

На вкладке Advanced в Src. Address List выбираем наш список

На вкладке Action ставим accept

Ставим правило ВЫШЕ всех запрещающих.

Если нам потом потребуется подключить ещё какие-то устройство, правило создавать уже не надо будет, надо будет только добавить адрес в address list.
Дальше так же в Address-list добавляем ещё один список — anti-nat, поскольку с zyxel ipsec будет работать в тунельном режиме, надо исключить пакеты предназначающиеся в сеть зикселя из маскарада.

Переходим на вкладку NAT и в правилах где есть srcnat на вкладке Аdvanced добавляем наш список с галочкой в dst.

В данном случае рассматривается дефолтная настройка микротика, где в NAT будет всего одно правило.

Галочка в правилах означает отрицание. Т.е. правило будет срабатывать для всех адресов назначения КРОМЕ тех что мы добавили в список anti-nat.

Если будем добавлять ещё устройство, то правила уже менять не надо, только подсети в список anti-nat добавляем.

Как установить и как пользоваться OpenVPN

Скачайте OpenVPN для Windows по официальной ссылке внизу этого обзора, запустите файл и следуйте инструкции.
Скачайте файл конфигурации подключения . ovpn, для подключения к серверу ретрансляции. Загрузить OpenVPN Config file можно на — https://www.vpngate.net/en/.
Выберите VPN-сервер, к которому вы хотите подключиться и кликните на файл *.ovpn, скачайте его. Далее нужно переместить файл *.ovpn в папку config — C:\Program Files\OpenVPN\config.
Кликните по иконке OpenVPN GUI и выберите запуск от имени администратора.
Статус подключения будет отображаться на экране.
После проделанных манипуляций в системе Windows создается виртуальный сетевой адаптер и этот адаптер получит IP-адрес, который начинается с 10.211. Виртуальный адаптер получит адрес шлюза по умолчанию (проверить конфигурацию можно командой ipconfig /all в командной строке). Командой tracert 8.8.8.8 — убедиться, что трафик будет проходить через VPN-сервер.

Автоматическая настройка

Самый простой способ. Если IP-адрес провайдер присваивает по DHCP и не требует привязки MAC-адреса, подключение будет установлено без участия пользователя, нужно только подождать несколько минут. Если же IP статический и неизвестен или требуется узнать MAC-адрес, проще всего это сделать через командную строку.

Сначала нужно её запустить: Win+R – cmd – Enter:

После этого ввести команду ipconfig /all и посмотреть на строки вывода, отмеченные на следующей картинке красным:

Это и есть MAC-адреса сетевых адаптеров. Вписать нужно тот, который зарегистрирован у провайдера. Если пользователь не знает, какой именно, лучше поинтересоваться у службы поддержки.

После всех этих манипуляций настройка Zyxel Keenetic Start пройдёт без участия юзера, а в конце он получит полностью готовое подключение к интернету.

Приоритеты подключений

Чем отличаются сети 3G от 4G: особенности, преимущества и недостатки

Начиная с версии 2.0, прошивка роутеров Zyxel поддерживает функцию приоритезации. По сравнению с первой версией можно по-разному комбинировать соединения.

Создаваемые соединения используют физические порты сетевого устройства или виртуальные интерфейсы. Каждому каналу связи, созданному на устройстве, назначается приоритет. Его значение изменяется вручную или остается неизменным:

На скриншоте самый высокий приоритет отдается интерфейсу интернет-провайдера. Это настройка по умолчанию для доступа в Интернет через сетевой кабель.

Далее идет Yota: беспроводное соединение. Если первый вариант перестанет работать, роутер автоматически перейдет в указанный режим. Таким образом настраиваются резервные каналы связи и VPN-подключения.

Замер скорости

Ну а теперь самое интересное – как быстро всё работает. Я мерял подключение на основном Windows ПК, подключённом к роутеру кабелем. Остальные устройства не отключал – не вижу смысла в “лабораторных” замерах, если в реальной жизни условия довольно суровые. Сначала подключил ПК к профилю VPN по L2TP/IPSec, выбрав сервер в Швеции. Почему в Швеции? Ну потому, что там не блокируют пол-интернета, Швеция близко к Москве, и связь пошустрее, чем в Финляндии и Эстонии.

Тест проводил на Яндекс.Интернете и рандомном сервере в Speedtest.net. Как видно, там сервис нашёл какой-то сервер в Швеции, т.к. решил, что я сам нахожусь в Швеции. Это нам только на руку – замерим трафик до Стокгольма.

Два скриншота выше – замеры скорости по L2TP/IPSec

Как видно, всё вполне шустро. Теперь с теми же настройками, но без VPN, чтобы сравнить с “нормальным” интернетом, без VPN (поскольку VPN всё же замедляет чуток):

Два скриншота выше – подключение без VPN

Здесь пинг получился внезапно даже больше, чем по VPN, однако это можно объяснить большим количеством узлов.

Ну а теперь, под занавес, Open VPN, от того же провайдера Express VPN, с сервером в той же Швеции:

Два скрина выше – подключение к OpenVPN с помощью роутера. Тут надо отметить, что сами тесты скорости работали раза с десятого.

Думаю, комментарии излишни. Open VPN в целом неплохо работает на компьютере через какой-нибудь фирменный клиент VPN-провайдера, но на Keenetic его стоит настраивать лишь за неимением лучшего. L2TP/IPSec, с другой стороны, – продвинутая штука для быстрого, но свободного интернета, при этом ещё и с высокой секьюрностью.

What Can Go Wrong?

1 If you see log message such as below, please make sure both ZyWALL/USG and ZyWALL IPSec VPN Client use the same Pre-Shared Key to establish the IKE SA.

MONITOR > Log

2 If you see or log message such as below, please check ZyWALL/USG Phase 1 Settings. ZyWALL/USG and ZyWALL IPSec VPN Client must use the same Encryption, Authentication method, DH key group and ID Type/Content to establish the IKE SA.

MONITOR > Log

3 If you see that Phase 1 IKE SA process done but still get or log message as below, please check ZyWALL/USG Phase 2 Settings. ZyWALL/USG and ZyWALL IPSec VPN Client must use the same Active Protocol, Encapsulation, Proposal, PFS and set correct Local Policy to establish the IKE SA.

MONITOR > Log

4 If you see log message as below, please make sure you create a user account for the ZyWALL IPSec VPN Client user on ZyWALL/USG or the external authentication server. Or please check your password matches the settings in the user account.

MONITOR > Log

5 Make sure the service HTTPS Port on IPSec VPN Client application is available.

6 Make sure the To-ZyWALL security policies allow IPSec VPN traffic to the ZyWALL/USG. IKE uses UDP port 500, AH uses IP protocol 51, and ESP uses IP protocol 50.

7 The ZyWALL/USG supports UDP port 500 and UDP port 4500 for NAT traversal. If you enable this, make sure the To-ZyWALL security policies allow UDP port 4500 too.

Настройка IPSec VPN

IPSec VPN состоит из двух фаз: Phase-1 (также известная как IKE) и Phase-2 (также известная как IPSec). Целью Phase-1 является установление защищенного канала связи с использованием алгоритма обмена ключами Диффи-Хеллмана (DH) для генерации общего секретного ключа для шифрования связи IKE. Это согласование приводит к единственной двунаправленной ассоциации безопасности (SA) ISAKMP. Аутентификация может быть выполнена с использованием предварительно общего ключа (пароля) или сертификата. Во время Phase-2 удаленный клиент IPSec использует безопасный канал, установленный в Phase-1, для согласования SA для IPSec. В результате переговоров получается как минимум две однонаправленные SA, одна входящая и одна исходящая.

Создание политики VPN Gateway (Phase1)

Чтобы создать политику VPN Phase1, перейдите в «Configuration -> VPN -> IPSec VPN» и выберите вкладку « VPN Gateway ». Нажмите кнопку Add (Добавить), чтобы вставить новое правило VPN.

Выберите опцию “Show Advanced Settings” в левом верхнем углу и убедитесь, что флажок включения установлен
Укажите имя для VPN Gateway — например, IKEv2_Tunnel
Выберите IKEv2 в разделе “IKE Version”
Настройте параметры“Gateway Settings”, для “My Address” (адрес шлюза) and “Peer Gateway Address” (адрес клиента — динамический)
Установите в разделе «Authentication» использование «Certificate», щелкните раскрывающийся список и выберите необходимый сертификат
Добавьте следующие комбинации криптоалгоритмов в «Phase1 Settings»
- -3DES / SHA1
- -AES128 / MD5
- -AES128 / SHA1
Выберете DH2 для «Key Group»
Установите флажок для опции “Enable Extended Authentication Protocol” (Включить расширенный протокол аутентификации), а так же выберите «Server Mode» (Режим сервера) и выберите из списка ранее созданную группу пользователей для «Allowed Users» (Разрешенные пользователи)
Нажмите ОК, чтобы сохранить настройки

Создать политику VPN-соединения (Phase2)

Чтобы создать политику VPN Phase2, перейдите на вкладку «VPN Connection» в меню « Configuration -> VPN -> IPSec VPN» . Нажмите кнопку Add (Добавить), чтобы вставить новое правило VPN.

Выберите опцию «Show Advanced Settings» в левом верхнем углу и убедитесь, что флажок включения установлен
Укажите имя для VPN-подключения — например, IKEv2_Tunnel
Установите параметр «VPN Gateway», чтобы использовать сценарий Remote Access (Server Role) — удаленный доступ (роль сервера)
Щелкните раскрывающийся список для опции «VPN Gateway» и выберите ранее созданную политику Phase1
Установите параметр «Local Policy», чтобы использовать объект адреса, созданный для всего трафика , если разрешен только доступ к локальной сети, выберите объект адреса для локальной сети

Но обратите внимание, что, когда клиент Windows IKEv2 устанавливает VPN-туннель, он будет пытаться отправить весь трафик через это соединение. Если весь трафик не разрешен параметром Local Policy, то доступ в Интернет будет потерян, пока установлено VPN-соединение

Чтобы обойти это ограничение, необходимо добавить маршруты политики в таблицу маршрутизации ОС Windows. (Zyxel не поддерживает создание маршрутов в операционных системах компьютеров)
Установите флажок “Enable Configuration Payload”

Установите «Пул IP-адресов»

Добавьте необязательные адреса сервера DNS и / или WINS

Добавьте следующие комбинации криптоалгоритмов в «Phase2 Settings»
- -3DES / SHA
- -AES128 / SHA256
- -AES256 / SHA1

Нажмите ОК, чтобы сохранить настройки

Test the IPSec VPN Tunnel

1 Go to ZyWALL/USG CONFIGURATION > VPN > IPSec VPN > VPN Connection, the Status connect icon is lit when the interface is connected.

CONFIGURATION > VPN > IPSec VPN > VPN Connection

2 Go to ZyWALL/USG MONITOR > VPN Monitor > IPSec and verify the tunnel Up Time and Inbound(Bytes)/Outbound(Bytes) Traffic.

MONITOR > VPN Monitor > IPSec

3 To test whether or not a tunnel is working, ping from a computer at one site to a computer at the other. Ensure that both computers have Internet access (via the IPSec devices).

PC with ZyWALL IPSec VPN Client installed > Window 7 > cmd > ping 192.168.1.33

PC behind ZyWALL/USG > Window 7 > cmd > ping 172.101.30.73

Исходные данные

Итак, мы хотим получить доступ со смартфона к серверу, расположенному у вас дома. Для этого нам нужно соединить два туннеля. Один с роутера Keenetic, второй со смартфона Android. Конечно, вы можете подключить туннель к VPNKI прямо с сервера, но это более простая задача и мы рассмотрим ее в другой инструкции. Между тем вариант непростой.

Устройство n. 1 – домашний роутер Zyxel Keenetic.

«Позади» (как видно из Интернета) находится ваша домашняя сеть с внутренней адресацией.
Например, все устройства в домашней сети имеют адреса 192.168.1.1, 192.168.1.2, 192.168.1.3 и т.д. С маской 255.255.255.0
Таким образом, все устройства образуют единую сеть с адресом 192.168.1.0 с маской 255.255.255.0. Для тех, кто не знаком с терминологией, небольшое пояснение: есть адреса устройств, а также адрес самой сети, которая описывает все ваши устройства вместе. В этом примере адрес 192.168.1.0 с маской 255.255.255.0 описывает все ваши устройства.

Допустим, адрес 192.168.1.1 – это адрес вашего маршрутизатора в домашней сети, а 192.168.1.33 – это адрес сервера в домашней сети, к которому мы хотим получить доступ.

№ устройства 2 – это смартфон на базе Android (версии 4.2 и новее), подключенный через мобильную сеть по протоколу PPTP / L2TP.

Вам понадобится любая утилита на Android, реализующая тестовый функционал: команда ping. Например, мы используем утилиту Ping and DNS, установленную Google Play.

Доступ с правами root не требуется.

Настройка в дистрибутивах Linux

Чтобы подключить через PPPoE протокол ПК с Linux, нужно учитывать, что для внесения любых изменений в ОС потребуются ROOT-права. Их получение отличается в зависимости от дистрибутива.

Обычно для настройки параметров при работе в Linux используется терминал. Он комфортен в обращении и предлагает широкий набор функций, но стоит знать как минимум начальный набор команд.

FreeBSD

Настройка PPPoE в этой ОС выполняется в файле конфигурации ppp.conf, расположенном по пути: /etc/ppp/. Он имеет вид, как на скриншоте ниже.

Чтобы создать соединение, нужно изменить файл в виде:

Default:

Set log Phase tun command

myisp:

set device PPPoE: rl0

set authname your_login

set authkey your_password

enable dns

add default HISADDR

Расшифровка параметров:

set – установка параметров в системе;
log – запись событий в журнал;
phase – разделение записей в лог-файле на этапы для простоты понимания;
tun – виртуальное устройство, формирующее подключение, в этом случае – «туннелирование»;
comand – сохранение в журнал входящих запросов;
myisp – наименование соединения, можно ввести любое слово;
device – задействованное для подключения физическое устройство;
PPPoE – указание используемого протокола;
authname, authkey – имя пользователя и пароль, вместо строк «your_name» и «your_pasword» ввести данные, выданные провайдером;
enable dns – сведения о серверах DNS получать из файла etc/resolv.conf.
add default – команда, указывающая, что для соединения должен быть использован указанный в Linux по умолчанию адрес;
HISSADR – IP-адрес подключенного сервера.

В файл resolv.conf самостоятельно внести данные, выданные провайдером. Они добавляются в строки «nameserver».

После ввода команд запустить соединение запросом: #ppp – ddial myisp. Чтобы вручную не вводить постоянно запрос, открыть файл автозапуска по адресу: /etc/rc.conf и ввести данные:

#echo ‘ppp_enable=”YES»’

#echo ‘ppp_mode=”ddial»’

#echo ‘ppp_profile=”myisp»

Чтобы вручную завершить соединение, а затем заново его запустить, нужно воспользоваться командами «/etc/rc.d/ ppp stop» и «/etc/rc.d/ ppp start» соответственно.

Debian и производные ОС

Руководство для Debian и Ubuntu:

Запустить терминал, ввести запрос «sudo pppoeconf», где «sudo» — SuperUser do – означает запуск от имени администратора, а «pppoeconf» — переход к корректировке настроек PPPoE.
Ввести пароль для входа в ОС.
В окне, предупреждающем о добавлении изменений в файл, подтвердить действие. ОС выполнит поиск сетевых устройств. Выбрать нужное.
Система выполнит поиск PPPoE. Если соединение не будет установлено, нужно посмотреть, подключен ли к устройству провод.
В появившемся окне выбрать «Да», чтобы добавить параметры «noauth» и «defaultroute» и удалить параметр «nodetach».
Появится оповещение о редактировании конфигурации «dsl-provider». Нужно сделать резервную копию, чтобы в случае сбоя иметь возможность восстановить начальную версию, а затем продолжить работу с новой конфигурацией.
Ввести логин, предоставленный поставщиком услуг.

Указать пароль.
Подтвердить добавление адреса сервера в автоматическом режиме.
Кликнуть «Да» в новом окне.
Установить соединение, кликнув «Да».
Проверить соединение, нажав «Да».

Создание подключения завершено.

Настройка IPSec VPN на стороне филиала (Branch_B):

1 Перейдите в CONFIGURATION > VPN > IPSec VPN > VPN Gateway и нажмите Enable. Укажите имя VPN шлюза в поле VPN Gateway Name.

Укажите основной и резервный IP-адрес шлюза удалённой стороны в поле Primary и Secondary (Peer Gateway Address) — IP-адрес wan1 стороны Hub_HQ (в примере, 172.16.10.1) и IP-адрес wan2 стороны Hub_HQ (в примере, 172.100.110.1). Включите Fall back to Primary Peer Gateway when possibleи установите желаемое время Fall Back Check Interval.

Введите ключ безопасности (пароль) в поле Pre-Shared Key (8–32 символа), который должен совпадать с настроенным ключом на стороне удаленного филиала (Hub_HQ) и нажмите кнопку ОК.

CONFIGURATION > VPN > IPSec VPN > VPN Gateway

2 Перейдите в CONFIGURATION > VPN > IPSec VPN > VPN Connection и нажмите Enable. Укажите имя VPN соединения в поле Connection Name. Выберите сценарий Site-to-site и укажите название VPN-шлюза, созданного в шаге 1.

CONFIGURATION > VPN > IPSec VPN > VPN Connection > General Settings and VPN Gateway

Нажмите Create new Object и добавьте объект с адресом локальной сети филиала (Branch_B) и объект-адрес с локальной подсетью стороны центрального офиса (Hub_HQ).

CONFIGURATION > VPN > IPSec VPN > VPN Connection > Create new Object

Укажите созданные объекты в полях Local Policy (подсеть Branch_B) и Remote Policy (подсеть Hub_HQ). Нажмите ОК.

CONFIGURATION > VPN > IPSec VPN > VPN Connection > Policy

3 Перейдите в Network > Routing > Policy Route и добавьте правило маршрутизации, по которому трафик c локальной подсети филиала, при назначении на подсеть удаленного филиала, будет заворачиваться в созданный туннель (с Branch_B на Branch_A).

Нажмите на Create new Object и создайте адрес-объект для локальной сети за филиалом Branch_A. В поле Source Address укажите локальную подсеть стороны Branch_B. В поле Destination Address укажите только что созданный адрес-объект для локальной сети Branch_A. В поле Next-Hop укажите созданный туннель к центральному офису. Нажмите ОК.

Network > Routing > Policy Route

VPN-туннель IPSec

Некоторые модели от Zyxel Keenetic поддерживают создание защищенного канала связи через протокол IPsec. Как и в ситуации, описанной выше, его необходимо предварительно проинсталлировать на оборудовании. Заходим через веб-панель в «Систему», далее — «Обновление»:

Выбираем опцию «Показать компоненты». Отмечаем пункт IPsec, как показано на скриншоте ниже:

ОС предложит установить его в функционал, соглашаемся. После окончания процесса инсталляции оборудование перезагрузится. Затем открываем раздел «Интернет», вкладку PPPoE/VPN. Создаем новое соединение, проводим следующие настройки:

Активируем сам протокол шифрования.
Со второго пункта снимаем галочку, так как данное соединение не будет использоваться для прямого доступа в интернет.
Поле «Описание» заполняем произвольным именем, оно необходимо только для идентификации процесса по названию.
Тип протокола оставляем, как есть.
В следующем разделе указываем интернет-соединение, используемое роутером для доступа к «мировой паутине».
Прописываем имя «юзера» и пароль для него.
Секретный ключ придумываем самостоятельно. Например, Test.
Метод проверки подлинности оставляем, как показано на скриншоте.
Адрес сервера составляется Zyxel автоматически. Как правило, используется наименование сервиса. Например, msk.test.ru.
Сетевые настройки (IP-адрес и DNS-серверы) оставляем в автоматическом режиме.
Отмечаем галочкой последний пункт.

Завершаем процесс создания нажатием кнопки «Применить». Теперь соединение появится в перечне доступных подключений. Оно используется для создания защищенного канала связи по протоколу IPsec. Android или iOS-совместимые мобильные устройства работают по данной технологии.

Установка клиента Windows IKEv2

Откройте “Network and Sharing Center” на компьютере под управлением Windows и выберите параметр “Set up a new connection or network”.

Команда в RUN для открытия сети и центра общего доступа “control.exe /name Microsoft.NetworkandSharingCenter”

Выберите для нового подключения “Connect to a workplace” и нажмите « Next .

Введите информацию «Internet address», установите флажок “Don’t connect now; just set it up so I can connect later” и нажмите« Далее » .

Введите учетные данные учетной записи пользователя и нажмите « Create », чтобы добавить новое VPN-подключение.

Отредактируйте VPN-правило, которое было создан , щелкнув правой кнопкой мыши на его иконке и перейдя к свойствам. Перейдите на вкладку « Security » и установите следующее:

Type of VPN (Тип VPN): IKEv2
Data encryption (Шифрование данных): Require encryption (disconnect if serverdeclines)
Authentication (Аутентификация): Use Extensible Authentication Protocol (EAP)
Установите раскрывающийся ниже список в значение: Microsoft: Secured password (EAP-MSCHAPv2) (encryption enabled)

Перейдите на вкладку « Networking» и отключите параметр « Internet Protocol Version 6(TCP/IPv6) .

Нажмите OK, чтобы сохранить настройки.

Дважды щелкните на созданное правило подключения к VPN или щелкните правой кнопкой мыши и выберите «Connect », чтобы открыть VPN подключение. Нажмите кнопку Connect , чтобы начать подключение.

Как только соединение установлено, VPN-клиент получит IP-адрес от шлюза в пределах диапазона, назначенного адресным объектом « IKEv2_POOL ».

Источник

Время на прочтение
7 мин

Количество просмотров 37K

В данной статье я поделюсь опытом и конфигами для построения универсального семейного VPN — как для конечных потребителей, так и для организации сетевого взаимодействия между дачей и квартирой.

Вы узнаете, как:

настроить на VPS сервере WireGuard
организовать связь через WireGuard между двумя домашними сетями без публичных IP
организовать выход с клиентских устройств в интернет без границ, если ваш VPS находится на иностранной площадке

Список сокращений

сокращение	расшифровка
WG	WireGuard

Конечно, разных статей про WG много — тем не менее, когда мне понадобилось решить комплексную задачу, те статьи, которые я находил, мне не помогали. Рискну предположить, что так происходило потому, что в большинстве статей приводится рецепт без объяснения механики происходящего, поэтому шаг влево или вправо делает инструкцию бесполезной. Я хочу ликвидировать этот пробел и дать читателю в руки не только инструкцию, но и понимание, как это работает, чтобы он имел возможность реализовать что-то из того, что нигде не описано.

Для начала опишу задачу, которая у меня возникла и которая была успешно решена. Исходной отправной точкой была идея связать два сетевых сегмента — на даче и в квартире, чтобы можно было админить одну сетку из другой и наоборот. Так сложилось, что среда оказалась гетерогенной — дома стоит роутер Keenetic Viva, доступ к его админке есть из интернета благодаря технологиям Keenetic, а вот на даче стоит MirkoTik RB3011, и у местного провайдера нет услуг типа публичного IP. Идея витала давно, но драйвером реализации стало то, что классный VPN Windscribe перестал работать через моего провайдера совсем. Я решил арендовать VPS за рубежом, настроить VPN для членов семьи, и заодно связать две сетки — как вишенка на торте. Целевая архитектура выглядит так:

Был арендован VPS сервер у провайдера Fornex^{_{[ссылка удалена модератором]}}, в качестве отправной статьи для настройки WireGuard была использована статья на 1cloud. Далее идём по порядку — я использовал рутовый аккаунт, поэтому команды без sudo.

Устанавливаем WG:

apt install -y wireguard

Переходим в каталог /etc/wireguard и все всё делаем там. Пока всё согласно инструкции — генерим ключевую пару для сервера:

wg genkey | tee /etc/wireguard/privatekey | wg pubkey | tee /etc/wireguard/publickey

В результате у нас появятся два ключа — закрытый и публичный, они будут использоваться для подключений к WG серверу. Теперь пришло время вернуться к изучению матчасти — как работает WG, какими сущностями оперирует и к чему это всё приводит. Упрощённо схема работы WG выглядит так:

Данная схема описывает следующие факты и соображения:

В результате запуска WG сервера поднимается отдельный сетевой интерфейс на хосте.
Конфигурация WG сервера применяется к сетевому интерфейсу.
Для каждого клиентского соединения на стороне сервера настраивается свой peer, он же пир.
Защищённый канал устанавливается между двумя пирами.
Сервер не настраивает параметры клиентских пиров, он настраивает только свои пиры.

Пир, он же peer, как следует из перевода термина, является равноправным участником обмена данными, пиры на сервере не отличаются по правам от пиров на клиентах, и каждый пир имеет свои собственные настройки, и данные настройки определяют, какие данные будут отправлены в защищённый канал, и это очень важный факт, который поможет настроить параметры для решения задачи.

Сначала разберём поток пакетов из квартирной сети в сеть дачи и обратно. Предположим, что у нас есть следующие параметры:

подсеть квартиры, Keenetic	192.168.0.0/24
подсеть дачи, MikroTik	192.168.88.0/24
IP адрес VPS	x.x.x.x
подсеть VPN	10.0.0.0/24

Касательно подсети VPN — можно задать любую подсеть из числа внутренних, непубличных адресов. Я у себя выбрал такую, у вас может быть любая, соответствующая критерию внутренней.

Пойдём по шагам.

Настроить сервер WG для приёма подключений клиентских пиров.
Настроить в Keenetic передачу пакетов в соединение VPN.
Настроить клиентский пир WG на Keenetic, чтобы всё, что приходит на этот пир, отправлялось в канал WG.
Настроить серверный пир WG для Keenetic, чтобы всё, что приходит из сети 192.168.0.0/24 в канал WG, отправлялось в сеть 192.168.88.0/24.
Настроить клиентский пир WG на MiroTik, чтобы всё, что приходит на этот пир, отправлялось в канал WG.
Настроить серверный пир WG Mikrotik, чтобы всё, что приходит из сети 192.168.88.0/24 в канал WG, отправлялось в сеть 192.168.0.0/24.

Начнём с настройки сервера WG, для этого нам понадобится ключ, сформированный ранее в /etc/wireguard с именем privatekey.

Для начала настроим интерконнект между двумя сетями — квартира и дача. Прежде, чем это сделать, надо сгенерировать ключевые пары для пиров квартиры и дачи, т.е. для их роутеров:

wg genkey | tee /etc/wireguard/keenetic_privatekey | wg pubkey | tee /etc/wireguard/keenetic_publickey

wg genkey | tee /etc/wireguard/mikrotik_privatekey | wg pubkey | tee /etc/wireguard/mikrotik_publickey

Сформируем файл в каталоге /etc/wireguard с именем wg0.conf и следующим содержанием:

[Interface] 
PrivateKey = <здесь privatekey> # Приватный ключ из файла privatekey. 
Address = 10.0.0.1/24 #Адрес VPN-сервера в частной сети. 
ListenPort = 51830 #Порт, который будет слушать VPN-сервер. 
PostUp   = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT 
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT 
[Peer] 
PublicKey = <keenetic_publickey> #Публичный ключ роутера Keenetic 
AllowedIPs = 192.168.0.0/24, 10.0.0.2 
[Peer] PublicKey = <mikrotik_publickey> #Публичный ключ роутера Mikrotik 
AllowedIPs = 192.168.88.0/24, 10.0.0.3

Параметр AllowedIPs как раз определяет, какой адрес источника пакетов будет передан в шифрованный канал. В настройках пира для каждого роутера записана подсеть другого роутера — плюс IP адрес пира, которой образуется в результате его подключения, чтобы с VPS сервера можно было достутчаться до хостов во внутренних сетках. Т.е. когда коннектится Keenetic, его пир имеет адрес 10.0.0.2, и пакеты из 192.168.0.0 и с 10.0.0.2 будут отправляться в шифрованный канал. С MikroTik — зеркально.

Теперь надо настроить сервис WG на VPS. На Ubuntu это делается командами:

systemctl enable wg-quick@wg0.service
systemctl start wg-quick@wg0.service

Эти команды стартуют сервис WG с настройками из указанного конфиг файла, т.е. wg0.conf. Далее надо настроить WG клиенты на роутерах. Начнём с Keenetic.

Не буду тут писать про то, как добавить WG в Keenetic — этой информации полно. После добавления в разделе Internet -> Other connections появится раздел WireGuard, где мы и настроим нужные параметры. Нажмём Add Connection и заполним нужные параметры пира на роутере:

параметр	значение
Name	название соединения, заполняем на своё усмотрение
use for accessing internet	не крыжим, иначе весь траффик уйдёт на VPN, а нам это не надо
Private key	используем данные из файла keenetic_privatekey
Address	10.0.0.2/24 — это IP адрес роутера Keenetic в сети VPN
Listen port	вообще любой
DNS	я использовал 8.8.8.8
Peer name	любой
Public key	данные из файла publickey самого сервера
Endpoint	<x.x.x.x:ListenPort> — используйте IP адрес VPS и порт, заданный в wg0.conf
Allowed IPs	0.0.0.0/0 — всё, что приходит на пир, отправляем в VPN
Persistent keepalive	15 — интервал опроса живости интерфейса в секундах

После этого у роутера Keenetic установится соединение с VPN сервером. Далее надо настроить MikroTik. Тут надо отметить, что поддержка WireGuard в MikroTik появилась только с седьмой версии RouterOS, но апгрейд выходит пока за рамки данной статьи и я предполагаю, что вы смогли проапгрейдиться.

Открываем вкладку в WebFig с названием WireGuard и заполняем параметры — это настройки пира на роутере:

параметр	значение
Name	любое
Listen Port	любое, у меня 51380
Private Key	содержимое файла mikrotik_privatekey

Переходим во вкладку Peers, потом Add New, заполняем параметры пира:

параметр	значение
Interface	Name из предыдущего шага
Public Key	содержимое publickey сервера
Endpoint	x.x.x.x — IP адрес VPS сервера
Endpoint Port	Listen Port из wg0.conf
Allowed Address	0.0.0.0/0

Вот мы и настроили связь между двумя сетями.

Дальше по списку — настройка VPN соединений для выхода, скажем, телефонов, в свободный интернет. Я потратил кучу времени и нервов, и итог получился следующий. Почему так — станет понятно из материала дальше по тексту. По итогу вывод получился следующий — нельзя настроить на одном интерфейсе выход в интернет клиентских устройств и связь между сетями

Поэтому, если я и кто-то из семьи хотим выходить в свободный интернет через VPS сервер, на него придётся добавить новые интерфейсы. Почему же так получается?

Предположим, что на телефон установлено приложение WireGuard, настроены ключи и т.д. Устанавливаем коннект с сервером, и телефон отправляет пакет на зарубежный интернет сервер, скажем, google.com. Пакет отправляется пиром телефона на пир сервера, в интерфейс wg0. В результате правильной настройки пакет с этого интерфейса форвардится на интерфейс eth1, подвергается маскараду и натированию, и уходит в большой мир. Сервер google.com отвечает на наш пакет, он приходит на eth1 и форвардится на wg0, попадая на пир сервера, и тут мы натыкаемся на проблему. В настройках серверного пира указано, пакеты с каких IP адресов или сетей должны уходить в канал. Сервера google.com там сейчас нет, поэтому ответ на телефон просто не вернётся и соединение не будет установлено. Хорошо, добавим в настройки серверного пира для телефона 0.0.0.0/0, все пакеты будут уходить на телефон — профит. После рестарта интерфейса wg0 мы с удивлением обнаружим, что наш VPS сервер больше недоступен — не пингуется, не коннектится по ssh и текущий терминал вообще завис, потому что теперь весь трафик уходит в пир, даже тот, который для него не предназначен. Именно поэтому организовать на одном интерфейсе желаемую схему нельзя. Ещё одни грабли, на которые я наступил — в рамках одного интерфейса невозможно сделать так, чтобы пакеты уходили в несколько пиров — пакет уходит в тот пир, для которого есть подходящий параметр Allowed IPs.

Но создать новые интерфейсы довольно просто. В папке /etc/wireguard копируем wg0.conf в wg1.conf, и создаём новую ключевую пару:

wg genkey | tee /etc/wireguard/user1_privatekey | wg pubkey | tee /etc/wireguard/user1_publickey

Редактируем wg1.conf

[Interface]
PrivateKey =  <здесь тот же серверный private key> # Приватный ключ из файла privatekey.
Address = 10.0.1.1/24 #Адрес VPN-сервера в частной сети.
ListenPort = 51831 #Порт, который будет слушать VPN-сервер.
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE #Команды, который будут выполнять при поднятии сервера
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE #Команды, который будут выполнять при выключении сервера
[Peer]
PublicKey =  <публичный ключ user1> #Публичный ключ user1
AllowedIPs = 10.0.1.0/24

Для того, чтобы данная конфигурация заработала, необходимо настроить IP forwarding на сервере — иначе пакеты из интерфейса wg1 не будут форвардиться в eth0, т.е. в интернет, и обратно:

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf

Итак, какие ключевые изменения получил конфиг по сравнению с интерфейсом обмена между сетями?

Во-первых, изменился Address, там теперь другая подсеть VPN — 10.0.1.0/24. Соотвественно, и AllowedIPs тоже изменился — все пакеты из этой подсети надо отправлять в peer.

Изменился ListenPort — сервер WG будет принимать соединения для этого интерфейса на другом порту.

Изменились команды PostUp и PostDown — для доступа в интернет недостаточно правил форвардинга, надо ещё и поднимать NAT и masquerade, но это тема совсем другой статьи.

На этом пока всё, настроена интеграция дачной и квартирной сети, и VPN выход в интернет через один и тот же VPS. За кадром пока осталась генерация QR кодов для настройки клиентов — думаю, с этим проблем быть не должно, отмечайте в комментариях, возникают ли проблемы на этом этапе, чтобы было понятно, надо ли обновить мануал.

Источник

ШАГ 1: Вход в настройки роутера

ШАГ 2: Включение DDNS

Новая прошивка

Старая прошивка

ШАГ 3: Настройка сервера

VPN PPTP

Новая прошивка

Старая прошивка версии NDMS 2.11 и меньше

VPN-сервер L2TP/IPsec

VPN WireGuard

Роутер ZyXEL Keenetic

Windows

Android

iOS

Настройка файла конфигурации

Настройка VPN на роутере Keenetic

Если возникли сложности или что-то пошло не так – напишите нам в Telegram-бот https://t.me/FCK_RKN_bot, поможем!

Настройка L2TP-сервера на роутерах Keenetic

Настройка соединения L2TP/IPsec на Windows и маке

Меняем функции кнопок

Первоначальная настройка роутера

ШАГ 1: Вход в настройки роутера

ШАГ 3: Проброс портов

Как настроить прокси-сервер на роутере

Firewall и безопасность

mikrotik firewall

Как установить и как пользоваться OpenVPN

Автоматическая настройка

Приоритеты подключений

Замер скорости

What Can Go Wrong?

Настройка IPSec VPN

Создать политику VPN-соединения (Phase2)

Test the IPSec VPN Tunnel

Исходные данные

Настройка в дистрибутивах Linux

FreeBSD

Debian и производные ОС

Настройка IPSec VPN на стороне филиала (Branch_B):

VPN-туннель IPSec

Установка клиента Windows IKEv2

Другие наши интересноые статьи: