Маршруты для AmneziaWG: настройка выборочного туннелирования на роутере и устройствах

Зачем нужны маршруты для AmneziaWG

AmneziaWG — это протокол на базе WireGuard с дополнительной обфускацией, который помогает обходить блокировки и защищать трафик. Однако по умолчанию весь трафик устройства направляется через VPN-туннель, что может снижать скорость и создавать лишнюю нагрузку на сервер. Маршруты позволяют отправлять через VPN только те сайты и сервисы, которые действительно нуждаются в обходе блокировок, а остальной трафик пускать напрямую через провайдера. Это называется split tunneling (раздельное туннелирование).

Практическая польза: российские сайты работают на максимальной скорости, а заблокированные ресурсы (например, YouTube) открываются через VPN. Кроме того, снижается нагрузка на VPN-сервер, что особенно важно при использовании бесплатных или ограниченных тарифов. Настройка маршрутов также помогает избежать конфликтов с локальными сервисами, которые могут неправильно работать при полном туннелировании.

В этой статье мы разберем, как настроить маршруты для AmneziaWG на роутерах Keenetic, в клиентах Amnezia и на мобильных устройствах, а также рассмотрим типичные проблемы и способы их решения.

Как работает разделение трафика в AmneziaWG

В основе разделения трафика лежит параметр AllowedIPs в конфигурационном файле WireGuard/AmneziaWG. Этот параметр определяет, какие IP-адреса (или подсети) должны направляться через туннель. Если указать 0.0.0.0/0 и ::/0, весь трафик пойдет через VPN. Если указать конкретные подсети, например 173.194.0.0/16 (диапазон Google/YouTube), то только трафик к этим адресам будет туннелироваться.

Однако на роутерах Keenetic маршруты задаются не через AllowedIPs, а через статические маршруты и политики доступа. При этом важно понимать, что маршруты работают на уровне IP-адресов, а не доменных имен. Поэтому для корректной работы необходимо, чтобы все IP-адреса, которые использует целевой сервис, были включены в маршруты. Например, YouTube использует множество IP-адресов, и если не все они будут в списке, часть трафика пойдет напрямую и может быть заблокирована.

Существуют готовые списки IP-адресов для популярных сервисов, например, на GitHub (RockBlack-VPN/ip-address) или на сайтах opencck.org и rockblack.pro. Эти списки регулярно обновляются, так как IP-адреса могут меняться.

Настройка маршрутов на роутере Keenetic

Роутеры Keenetic поддерживают AmneziaWG в качестве VPN-соединения. Для настройки маршрутов необходимо:

1. Создать VPN-соединение AmneziaWG в веб-интерфейсе роутера (раздел «VPN»).
2. Перейти в раздел «Сеть» → «Маршрутизация» и добавить статические маршруты для нужных подсетей. В качестве шлюза указать интерфейс VPN-соединения (например, amnezia).
3. Убедиться, что в свойствах VPN-соединения не установлена галочка «Использовать для выхода в интернет», если вы хотите, чтобы только определенные маршруты шли через VPN.

Важно: если вы хотите, чтобы весь трафик определенных устройств шел через VPN, лучше использовать политики доступа. Для этого создайте политику, назначьте в нее устройства и укажите VPN-соединение в качестве основного. В этом случае маршруты не нужны — весь трафик устройств из политики пойдет через VPN.

Однако, как показывает опыт пользователей, на мобильных устройствах (iPadOS, Android) статические маршруты могут работать нестабильно. Например, YouTube в мобильных приложениях может не загружаться, хотя в браузере на том же устройстве работает. Это связано с тем, что мобильные приложения могут использовать другие DNS-серверы или резолвить другие IP-адреса, которые не попали в маршруты.

Использование политик доступа для мобильных устройств

Если статические маршруты не помогают для мобильных приложений, рекомендуется использовать политики доступа. В Keenetic можно создать отдельную политику, например, «mobil», и переместить в нее все мобильные устройства. В этой политике нужно указать основное соединение (обычный интернет) и VPN-соединение AmneziaWG. При этом важно поднять VPN-соединение на первое место в списке, чтобы трафик шел через него.

Однако, как показывает практика, простое поднятие VPN на первое место заставляет весь трафик устройств идти через VPN, что не всегда желательно. Чтобы оставить прямой доступ для большинства сайтов и использовать VPN только для нужных, можно комбинировать политики с маршрутами. Но здесь возникает проблема: маршруты, заданные для VPN-соединения, могут не применяться к устройствам из политики, если политика не настроена правильно.

Один из пользователей форума Keenetic обнаружил, что включение опции «Многопутевая передача» (multipath) в политике решило проблему с мобильными приложениями. При этом трафик одновременно идет по двум каналам: часть через VPN, часть напрямую. Это не является стандартным решением, но в некоторых случаях помогает. Однако следует понимать, что многопутевая передача может увеличивать нагрузку и создавать нестабильность, поэтому использовать ее стоит только как временное решение.

Генерация конфигураций AmneziaWG с маршрутами

Для упрощения настройки существуют онлайн-генераторы конфигураций AmneziaWG, например, генератор для Cloudflare WARP (valokda-amnezia.vercel.app). Этот инструмент позволяет создавать .conf-файлы с различными режимами: полный туннель или выборочная маршрутизация. В настройках генератора можно выбрать пресеты маршрутов для популярных сервисов, а также указать DNS-сервер.

Генератор поддерживает версии AWG 1.5, 2.0, 3.0 и 3.1. AWG 1.5 — это устаревший режим с фиксированными параметрами обфускации, который маскирует только начало соединения. AWG 2.0 использует динамические заголовки и случайный padding во всех пакетах, что делает его более устойчивым к DPI-анализу, но требует клиент Amnezia версии не ниже 4.8.12.9. AWG 3.x использует возможности, совместимые со стандартным WireGuard, что позволяет работать с Cloudflare WARP без специальной поддержки на сервере.

При генерации конфигурации важно учитывать ограничение на количество маршрутов: безопасный лимит — 1000 IPv4 CIDR. Включение IPv6 увеличивает число маршрутов в 2–3 раза и может вызывать сбои на роутерах и мобильных клиентах, поэтому по умолчанию IPv6 отключено. Также есть режим «роутера» с уменьшенными параметрами Jc/Jmin/Jmax для MikroTik, GL.iNet, Keenetic, OpenWrt, и «мобильный профиль» с MTU 1280 и только IPv4.

Проблемы с мобильными приложениями и их решения

Многие пользователи сталкиваются с тем, что при использовании статических маршрутов на роутере YouTube работает в веб-версии и на ТВ, но не работает в мобильных приложениях на iPadOS и Android. Причины могут быть разными:

1. Неполный список IP-адресов: мобильные приложения могут обращаться к другим IP-адресам, чем веб-версия. Решение — использовать более полные списки маршрутов, например, с GitHub или opencck.org.
2. DNS-проблемы: приложения могут использовать собственные DNS-серверы, которые не учитывают маршруты. Попробуйте настроить DNS на роутере или в VPN-клиенте.
3. MTU и фрагментация: на мобильных сетях MTU может быть меньше, что вызывает проблемы с передачей данных. Используйте мобильный профиль с MTU 1280.
4. Несовместимость протокола: некоторые мобильные клиенты могут не поддерживать AWG 2.0 или 3.x. Попробуйте использовать AWG 1.5 или обычный WireGuard.

Один из пользователей форума отметил, что при использовании обычного WireGuard (не AmneziaWG) проблемы с мобильными приложениями исчезли. Это может быть связано с тем, что AmneziaWG использует нестандартные параметры, которые хуже обрабатываются мобильными сетями. Если вам не критична обфускация, можно попробовать стандартный WireGuard.

Диагностика и устранение неполадок

Если VPN-подключение не работает, важно систематически проверить несколько аспектов:

1. Endpoint и порт: убедитесь, что адрес сервера и порт указаны правильно, и что UDP-трафик не блокируется провайдером. Попробуйте использовать другой порт или hostname вместо IP.
2. Режим AWG и версия клиента: проверьте, поддерживает ли ваш клиент выбранную версию AWG. Например, AWG 2.0 требует клиент не ниже 4.8.12.9.
3. DNS и AllowedIPs: если подключение устанавливается, но сайты не открываются, проверьте настройки DNS и AllowedIPs. Убедитесь, что DNS-запросы не уходят в обход туннеля.
4. MTU: слишком большой MTU может вызывать фрагментацию и потерю пакетов. Попробуйте уменьшить MTU до 1280 или 1400.
5. IPv6: если у вас включен IPv6, но маршруты для него не настроены, часть трафика может идти напрямую. Отключите IPv6 в конфигурации или добавьте соответствующие маршруты.

Если проблема возникает только в мобильной сети, но не в Wi-Fi, попробуйте сменить endpoint на hostname вместо IP или использовать другой UDP-порт. Также можно использовать мобильный профиль с уменьшенными параметрами обфускации.

Практические примеры настройки

Рассмотрим пример настройки маршрутов для YouTube на роутере Keenetic с AmneziaWG.

1. Скачайте актуальный список IP-адресов YouTube с GitHub (например, https://github.com/RockBlack-VPN/ip-address/releases).
2. В веб-интерфейсе Keenetic перейдите в раздел «Сеть» → «Маршрутизация» и добавьте каждый IP-адрес или подсеть из списка, указав в качестве шлюза интерфейс AmneziaWG.
3. Убедитесь, что VPN-соединение не используется для выхода в интернет по умолчанию (снимите галочку «Использовать для выхода в интернет»).
4. Проверьте, что маршруты активны, и протестируйте доступ к YouTube с разных устройств.

Если на мобильных устройствах YouTube не работает, создайте политику доступа для мобильных устройств и включите в нее VPN-соединение. При необходимости включите многопутевую передачу, но помните о возможных побочных эффектах.

Для генерации конфигурации с выборочными маршрутами можно использовать онлайн-генератор: выберите пресет «YouTube» или введите нужные подсети вручную, скачайте .conf и импортируйте в клиент AmneziaWG.

Ограничения и важные замечания

При использовании маршрутов для AmneziaWG следует учитывать несколько ограничений:

• Списки IP-адресов нестабильны: сервисы могут менять IP-адреса, поэтому списки нужно регулярно обновлять.
• Не все приложения уважают маршруты: некоторые приложения могут использовать собственные DNS или обходить системные маршруты, что приводит к неработоспособности.
• Количество маршрутов ограничено: на роутерах и в клиентах есть лимиты на число маршрутов (например, 1000 CIDR). Превышение лимита может вызвать сбои.
• IPv6 усложняет настройку: если у вас включен IPv6, необходимо добавлять маршруты и для IPv6-адресов, иначе трафик может идти напрямую.
• Обфускация не гарантирует доступность: даже с AmneziaWG доступ к заблокированным сайтам может быть нестабильным, особенно в мобильных сетях.

Также важно помнить, что использование VPN для обхода блокировок может нарушать законодательство в некоторых странах. Пользователь несет ответственность за соблюдение местных законов.

Заключение

Настройка маршрутов для AmneziaWG позволяет гибко управлять трафиком, направляя через VPN только нужные сервисы. Это улучшает скорость и снижает нагрузку, но требует внимательного подхода к выбору IP-адресов и настройке устройств. На роутерах Keenetic можно использовать статические маршруты и политики доступа, а для мобильных устройств иногда приходится прибегать к нестандартным решениям, таким как многопутевая передача.

Онлайн-генераторы конфигураций упрощают создание профилей с нужными маршрутами, но не гарантируют работу во всех сетях. Всегда проверяйте актуальность списков IP-адресов и тестируйте настройки на разных устройствах. Если возникают проблемы, используйте диагностические советы из этой статьи.

Вопросы и ответы