Настройка vpn двух роутеров keenetic

Настройка VPN на роутере ZyXEL Keenetic: создание и подключение за 4 шага

Всех горячо приветствую! Такая дичь написана на других сайтах по данному вопросу, что мне пришлось основательно подготовиться и написать свою инструкцию. Даже на официальной странице поддержки Keenetic не описаны некоторые моменты, что может привести к внезапному возгласу: «А почему не работает?!». Сегодня я расскажу вам, как правильно настроить VPN-сервер на роутере ZyXEL Keenetic, а также как к нему подключиться с разных устройств.

Если вам не нужно настраивать VPN-сервер, а нужно подключиться к публичному, то просто смотрите главу «ШАГ 4…» – подглава «Роутер ZyXEL Keenetic». Там же я оставил ссылку на бесплатные публичные VPN.

Если же вы хотите настроить сервер, а также подключиться, то я описал 3 способа подключения: PPTP, L2TP/IPSec и WireGuard. Первые два настраиваются достаточно просто, но подключение там идет прямое, и вы можете приконнектиться к серверу как с Windows, Android, iOS или с отдельного роутера любой модели (TP-Link, ASUS, D-Link и т.д.)

А вот WireGuard (Keenetic VPN) настраивается исключительно на новых маршрутизаторах – то есть у вас должно быть два роутера с последней прошивкой. В общем вы можете выбрать все варианты. На самом деле все делается просто, но в настройках есть много нюансов, о которых я подробно написал в статье. Некоторые сложности могут возникнуть с WireGuard. Именно поэтому я постарался описать все по шагам с картинками и пояснениями. Не торопитесь и читайте очень внимательно. В любом случае вы всегда можете обратиться ко мне в комментариях. Поехали!

ШАГ 1: Вход в настройки роутера

Сначала вам нужно подключиться к локальной сети маршрутизатора – это можно сделать двумя способами:

Далее открываем браузер и вводим в адресную строку один из адресов:

ШАГ 2: Включение DDNS

Наш план достаточно простой. Наш роутер Keenetic будет выступать в качестве VPN сервера. Причем не важно, какой именно сервер мы будет настраивать – будь это PPTP, IPSec или новый WireGuard. Смысл в том, что мы должны иметь доступ к этому роутеру извне – то бишь из интернета. У роутера есть внешний IP адрес. Конечно, мы можем использовать его. Но как правило, современные провайдеры по умолчанию выдают два вида адрес:

Нужно, чтобы ваш провайдер обязательно использовал белый IP адрес, в противном случае доступ к VPN-серверу будет недоступен. Про белые и серые IP, а также про то, как узнать какой адрес у вас – читаем эту инструкцию. На новых прошивках есть возможность подключаться и к серым IP, но при использовании KeenDNS (это облачный DDNS сервис, который работает напрямую, так и через облако, поэтому его можно использовать даже с серыми IP).

В общем на первом шаге мы подключим службу DDNS, если ваш IP не является статичным.

Новая прошивка

1. Для начала нам нужно настроить DDNS, можно использовать стандартный и бесплатный KeenDNS от Keenetic. Переходим в раздел «Доменное имя» и вводим любое наименование, которое мы будем использовать для подключения. Далее нажимаем «Зарегистрировать».

1. Если имя свободное, то роутер сообщит об этом и предложит вам 3 поддоменных имени – выберите любое.

1. Высветится вот такое окошко, подождите пока роутер получит SSL сертификаты. После этого вам нужно выбрать «Режим работы»:
   1. Через облако – если у вас серый IP.
   2. Прямой доступ – если IP белый.

   

   Старая прошивка

   Понятно дело, используя внешний IP адрес, но что, если он динамический или серый. Хочу расстроить пользователей с серыми IP, тут ничего не поделаешь и единственный выход – это искать провайдера с белым IP. Второй вариант – это купить более новый роутер Keenetic, на котором есть облачная служба KeenDNS – она позволит прокинуть подключение даже с серым IP. Для тех, у кого белый IP, нам в любом случае нужно настроить DDNS, так как скорее всего у вас он конечно же белый, но динамический адрес, а поэтому, когда он поменяется – соединение просто отвалится.

   В разделе «Интернет» перейдите в «DDNS» и посмотрите в список «Используемых серверов». По умолчанию у нас есть Dyn, No-Ip и DNS-Master – это все сторонние сервисы. Что вам нужно сделать? – вам нужно зайти на официальные сайты этих сервисов, зарегистрироваться и создать DDNS. Далее переходим сюда и вводим данные DDNS.

   

   ШАГ 3: Настройка сервера

   Выберите один из вариантов подключения. Напомню, что для WireGuard у вас должно быть два роутера Кинетик с последней прошивкой.

   VPN PPTP

   При подключении по PPTP идет шифрование MPPE (Microsoft Point-to-Point Encryption).

   Новая прошивка

   1. Теперь нужно установить компонент VPN-сервера – переходим в «Общие настройки» -«Обновления и компоненты» – кликаем по кнопочке «Изменить набор компонентов» и устанавливаем «PPTP VPN-сервер».

   

   

   1. Откроются настройки. Давайте пройдемся по пунктикам:
      1. Множественный вход – когда один и тот же логин и пароль используют несколько клиентов. Небезопасно, зато удобно.
      2. Только шифрование – не убираем эту галочку, иначе канал связи будет не зашифрован и данные могут перехватить.
      3. NAT для клиентов – использование интернета.
      4. Доступ к сети – ставим «Домашняя сеть», ведь именно к этой сети мы будем иметь доступ.
      5. Начальный IP-адрес – это начальный пул адресов для клиентов. Очень важно, чтобы клиентские адреса и адреса ваших локальных машин не пересекались, поэтому лучше установить другие настройки IP.
      6. Пул IP-адресов – максимальное число 10.
      7. Пользователи – тут вы можете использовать одного или создать несколько учетных записей.

      

      Старая прошивка версии NDMS 2.11 и меньше

      Возможность настроить VPN сервер появилась с выходом версии операционной системы NDMS V2.04.B2. Также по PPTP к одному серверу можно подключить до 10 клиентов.

      1. Для начала нужно убедиться, что установлен компонент VPN-сервер. На главной нажмите по ссылке «Доступно» в разделе «Обновления».

      

      1. Или вы можете перейти в раздел «Система», нажать по вкладке «Обновление» и далее ниже нажать «Показать компоненты».

      

      

      

      1. Теперь переходим в «Приложения» и открываем вкладку «Сервер VPN» (если такой вкладки нет, то вы не установили компонент). Включаем сервер. Ставим галочку «Одно подключение на пользователя». В строке «Доступ к сети» нужно указать наименование вашей локальной сети этого роутера – по умолчанию это «Home network». Ниже нужно указать начальный адрес пула – что это такое? Это пул адресов, который будут выдаваться клиентам подключенным к этому серверу. Нужно обязательно разделить разрешенный пул домашней сети «Home network» и пул адресов VPN сервера. На самом деле можно использовать одну подсеть, но разный пул. Например, для домашней сети пул будет 192.168.1.50-192.168.1.70. А здесь указать начальный пул 192.168.1.200. Или сделайте как я, просто указать другой начальный адрес 172.16.1 33 пула. И ниже указываем размер пула – так как максимальное число клиентов 10, то больше указывать не стоит. Для безопасности, вы можете указать меньшее число клиентов. «Транслировать адреса клиентов (NAT)» – эта галочка нужна для того, чтобы клиенты VPN-сервера могли выходить в интернет через этот роутер. Если вы хотите иметь только доступ к локальной сети, то уберите эту галочку.

      

      

      1. Как видите в строке «Доступ разрешен» стоит значение «Нет» – это значит этот пользователь не может использоваться для VPN подключения. Давайте это исправим – нажимаем по этой учетке и включаем галочку «Разрешить доступ к VPN».

      

      1. Admin пользователя можно использовать для нескольких подключений. Но если вам нужно несколько пользователей (для безопасности), то перейдите в раздел «Система» – «Пользователи» – нажмите по кнопке добавления.

      

      

      VPN-сервер L2TP/IPsec

      1. Устанавливаем компонент: «Общие настройки» – «Обновления и компоненты» – «Изменить набор компонентов». Находим компонент «L2TP/IPsec VPN-сервер, ставим галочку и устанавливаем его, если он не установлен.

      

      

      1. Теперь вводим данные:
         1. Общий ключ IPsec – указываем любой ключ.
         2. Множественный вход – для того, чтобы использовать одну учетную запись на разных компах.
         3. NAT для клиента – чтобы подключенные клиенты имели доступ к интернету в этой сети.
         4. Доступ к сети – указываем «Домашняя сеть».
         5. Начальный IP-адрес – это адреса локальной сети, которые будут выдавать VPN клиентам. Они не должны совпадать с теми адресами, которые уже зарезервированы в вашей локальной сети. Поэтому лучше указать другой пул частных адресов.
         6. Пул IP-адресов – максимальное число поддерживаемых клиентов 10.

         

         1. В поле «Пользователь» можно создать новых пользователей, которые и будут подключаться к VPN. Для теста можете использовать администратора (admin).

         VPN WireGuard

         WireGuard был добавлен в версии KeeneticOS 3.3 и работает только с новой прошивкой. Аналогично данная штуковина работает только между двумя роутерами Keenetic. Наше подключение еще можно назвать «Site-To-Site VPN». Если у вас у одного из роутера есть белый IP, то лучше использовать его в качестве сервера. По сути мы объединим две сети в одну виртуальную локальную сеть.

         

         И еще очень важный момент, мы будем производить настройки одновременно на двух роутерах. То есть Web-интерфейс должен быть открыть сразу. Например, «Сервер» мы будем настраивать с компьютера, а «Клиент» с телефона. Но ничего страшного, если вы будете настраивать туннель между маршрутизаторами, которые находятся в разных точках мира.

         1. «Общие настройки» – «Обновления и компоненты» – кликаем «Изменить набор компонентов» и устанавливаем наш компонент.

         

         1. Переходим: «Другие подключения» – «WireGuard» – нажимаем по кнопке добавления.
         2. В поле название нужно ввести английское наименование. Я в качестве примера введу на одном «WG-S» (Сервер), а на втором «WG-CL1» (Клиент). При этом оба окна должны быть открыты.
         3. Нажимаем «Генерацию пары ключей».

         

         10.0.0.0 – 10.255.255.255 (маска 255.0.0.0 или /8)
         172.16.0.0 – 172.31.255.255 (маска 255.240.0.0 или /12)
         192.168.0.0 – 192.168.255.255 (маска 255.255.0.0 или /16)
         100.64.0.0 – 100.127.255.255 (маска 255.192.0.0 или /10)

         1. Если коротко, то частные адреса – это те, которые используются только в локальной сети, и их нет в интернете. Я в качестве примера указал 172.16.82.1/24. Также указываем порт номер 16632, именно на него и будет идти подключение от клиента к серверу. Роутер сам автоматически его откроет, поэтому его пробрасывать не нужно. Кликаем по кнопке «Добавить».

         

         1. Переходим на вкладку роутера-клиента (WG-CL1). Добавляем подключение, вводим название «WG-CL1», нажимаем «Генерация пары ключей» и тут же нажимаем «Сохранить публичный ключ в буфер обмена».
         2. Теперь нужно вернуться в настройки сервера там откроется окошко «Настройка пира» вводим данные (При этом ни в коем случае не закрывайте настройки клиентского роутера):
            1. Имя пира – указываем точное наименование, какое вы указали в клиенте.
            2. Публичный ключ – вставляем из буфера, тот который мы получили от клиента. Если вы настраиваете роутеры в разных местах, то ключ можно отправить по почте или с помощью мессенджера.
            3. Разрешенные подсети – сюда нужно вписать пул локальных адресов нашего клиента. То есть те адреса, которые смогут иметь доступ к серверу. То есть нам нужно указать адрес туннеля, который будет прописан в клиенте. В сервере мы указали 172.16.82.1. На клиенте мы потом укажем адрес 172.16.82.2, значит здесь же его и указываем. И в качестве настройки маски пишем еще /32. И не забываем указать пул локальных адресов клиента – 192.168.100.0/24.
            4. Проверка активности – ставим 15 секунд.

            

            1. Это еще не все, нужно настроить «Межсетевой экран» – переходим в этот раздел. Открываем вкладку нашего подключения и добавляем правило для того, чтобы доступ к клиенту и серверу был разрешен извне.

            

            

            1. Теперь нужно прописать статический маршрут для нашего туннеля – «Маршрутизация» – «Добавить маршрут»:
               1. Тип маршрута – маршрут до сети.
               2. Адрес сети назначения – указываем пул клиентского роутера.
               3. Маска подсети – 255.255.255.0
               4. Интерфейс – указываем наше созданное подключение WG-S.

               

               1. Вернитесь обратно в то подключение, которое мы создали и нажмите по кнопке, чтобы сохранить ключ – мы его будем вводить в настройки клиентского роутера.

               

               1. Переходим на вкладку настройки клиентского роутера, вводим название. В поле адрес вписываем адрес туннеля. На серверной машине мы указали 172.16.82.1, тут указываем 172.16.82.2. И не забываем указать /24. Добавляем пир.

               

               1. Настраиваем теперь пир:
                  1. Имя пира – указываем то, что на сервере.
                  2. Публичный ключ – вставляем тот, который получили, также от сервера.
                  3. Адрес и порт пира – вот тут указываем внешний IP или тот DDNS, который мы ранее создали. Я использую KeenDNS. После этого ставим двоеточие и указываем порт, которые мы используем на сервере. Например: keenetic.link:16632
                  4. Разрешенные подсети – указываем подсеть туннеля сервера 172.16.82.1/32. Еще не забываем указать пул адресов локальных машин сервера. У меня это 192.168.22.0/24.
                  5. Проверка активности – также ставим 15.

                  

                  

                  

                  1. Теперь добавляем статический маршрут как на сервере. Все настройки такие же кроме:
                     1. Адрес сети назначения – указываем начальный адрес пула локальных устройств сервера.
                     2. Интерфейс – тут указываем интерфейс WG-CL1, через который мы и подключаемся к туннелю.

                     

                     1. Если вы все сделали верно, то на вкладке «Wireguard» на обоих устройствах в колонке «Пир» вы увидите зеленый кружок с название второго роутера.

                     

                     

                     ШАГ 4: Подключение к VPN

                     Роутер ZyXEL Keenetic

                     ПРИМЕЧАНИЕ! Если вы не настраивали VPN-сервер и хотите подключиться к публичному, то можете попробовать бесплатные ВПН от Японского университета – про него подробно написано тут. Там также есть конфигурация с настройками.

                     Проверьте, чтобы были установлены компонент «IPsec VPN», если вы настраивали L2TP/IPSec подключение. Если вы настраивали PPTP, то ничего делать не нужно, так как этот компонент уже установлен по умолчанию.

                     

                     Переходим в раздел «Другие подключения» – «VPN-подключения», кликаем «Добавить подключение». Теперь вводим настройки:

                     

                     • Имя подключения – указываем любое название.
                     • Тип (протокол) – PPTP.
                     • Адрес сервера – наш DDNS или ваш статический IP.
                     • Имя пользователя и пароль – указываем учетную запись, которую мы используем для VPN.
                     • У L2TP/IPsec нужно также указать секретный ключ, который мы создали.

                     Как только настройки будут введены, сохраните все и не забудьте включить само подключение.

                     

                     Windows

                     Есть небольшая проблема в том, что Keenetic использует тип шифрования MPPE с ключом 40 бит – это связано с законодательством в РФ, Белоруссии и Казахстане. А на ОС Windows используется ключ 128 бит. Если вы прямо сейчас приступите к настройке, то подключение не произойдет. Но есть два выхода. Первый – мы изменим некоторые настройки в роутере. Второй – поменяем конфигурацию в Windows.

                     ВНИМАНИЕ! Выберите только один из двух вариантов.

                     1. Нам нужно включить Telnet на Windows – для этого перейдите в «Панель управления». В Windows 10 нажмите на кнопки «Win» и «R» и введите команду:

                     

                     

                     

                     

                     

                     

                     vpn-server mppe 128
                     system configuration save
                     exit

                     HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters

                     1. И вставляем его в верхнюю строку. Или вы можете по нему пройти самостоятельно.
                     2. Находим параметр «AllowPPTPWeakCrypto», открываем и меняем на 1.
                     3. Нажимаем «ОК».
                     4. Перезагружаем комп.

                     

                     Теперь переходим к подключению.

                     

                     

                     

                     1. Заполняем данные:
                        1. Имя подключения – вводим любое наименование, оно будет отображаться только у вас в винде.
                        2. Имя или адрес сервера – указываем наш DDNS или IP.
                        3. Тип VPN – «PPTP» или «L2TP/IPsec с общим ключом».
                        4. Общий ключ (только для L2TP/IPsec) – указываем тот самый ключ.
                        5. Тип данных для входа – «Имя пользователя и пароль».
                        6. Ниже вводим логин и пароль от учетки, которую мы создали в роутере. Можно использовать для проверки пользователя admin.

                        

                        

                        

                        

                        

                        1. «Подключение к рабочему месту» – установите настройку «Нет, создать новое подключение». Идем далее и выбираем «Использовать мое подключение к Интернету (VPN)». Сначала вводим адрес роутера с VPN-сервера – это может быть DDNS или внешний IP. Имя указываем любое.

                        

                        

                        1. Теперь нам нужно установить тип PPTP – это конечно можно и не делать, но тогда подключение будет очень долгим, так как винда будет перебирать все возможные варианты. Для настройки нажимаем на + R и вводим команду:

                        

                        

                        1. На вкладке «Безопасность» установите тип VPN как PPTP или IPSec – смотря, какой тип сервера вы создавали в интернет-центре.

                        

                        1. Там же перейдите в раздел «Сеть» и, выделив протокол TCPv4, перейдите в «Свойства» – «Дополнительно» – уберите галочку сверху.

                        

                        Android

                        

                        

                        1. Добавляем профиль.
                           1. Название – вводим любое.
                           2. Тип – указываем PPTP или L2TP/IPSec PSK.
                           3. Адрес сервера – внешний IP или DDNS.
                           4. Общий ключ IPsec – указываем наш ключик.
                           5. И в самом низу вводим имя пользователя и пароль.

                           

                           

                           iOS

                           

                           1. Вводим:
                              1. Тип – указываем L2TP или PPTP.
                              2. Описание – вводим любое название.
                              3. Сервер – DDNS или IP нашего роутера.
                              4. Учетная запись – это логин.
                              5. Пароль – это пароль.
                              6. Общий ключ – нужен только для IPSec.

                              Источник

                              Читайте также:  Настроить интернет через два роутера