Совместимость роутеров с Wireguard
На любую ОС Linux можно поставить VPN сервер и клиент Wireguard, и ОС ряда роутеров, основанные на Linux ядре — не исключение. В этой статье я опишу роутеры, на которые можно поставить программное обеспечение Wireguard.
OpenWrt
Все роутеры, которые можно прошить с помочью OpenWRT, поддерживают Wireguard. Проверить, поддерживается ли ваш роутер можно по ссылке.
Для работы этого протокола необходимо доустановить пакет wireguard -tools на роутер. Вместе с этим могут потребоваться и другие полезные пакеты (убедитесь, что у вас хватает памяти в устройстве):
# Install packages opkg update # 21.02 or above opkg install wireguard-tools # 19.07 or lower opkg install wireguard
# Для настройки через web интерфейс luci opkg install luci-proto-wireguard luci-app-wireguard kmod-wireguard
# Для настройки через web интерфейс luci opkg install luci-proto-wireguard luci-app-wireguard kmod-wireguard
После установки пакетов потребуется:
- создать пару приватных и публичных ключей
- настроить файрволл, открыв UDP порт (любой, который вы потом укажете в конфиге сервера)
- Создать зону vpn, включить для нее маскарадинг и форвард трафика из vpn в другие зоны и обратно.
- настроить интерфейс wg0 (название сетевого интерфейс Wireguard по умолчанию)
- добавить один или несколько пиров по числу клиентов
- настроить клиенты
Примеры настройки можно изучить здесь, тут и там. Официальный гайд по конфигурации находится на сайте OpenWrt.
Все роутеры на RoutrOS, начиная с версии 7 поддерживают Wireguard. Все максимально просто: в Winbox в меню появился новый пункт Wireguard. Там можно добавить новый интерфейс как для VPN сервера, так и клиента. Пара ключей при этом сгенерируется автоматически. В конфигурации пиров необходимо указать Public Key, который сгенерировался при создании интерфейса сервера.
Примеры настройки через CLI:
1 2 3 4 5 6 7 8 9 10 11 12 13
/interface wireguard add listen-port=13231 mtu=1420 name=wireguard-MikroTik-Config.ukr-Server /interface wireguard peers add allowed-address=174.16.0.2/32,192.168.5.0/24 interface=\ wireguard-MikroTik-Config.ukr-Server persistent-keepalive=10s public-key=\ "SO4l7YTMMqssgHcWbcIjtuGHO+dz2wENnpoK6hXWEyE=" /ip address add address=174.16.0.1/24 interface=wireguard-MikroTik-Config.ukr-Server \ network=174.16.0.0 /ip route add disabled=no distance=1 dst-address=192.168.5.0/24 gateway=174.16.0.2 \ pref-src="" routing-table=main scope=30 suppress-hw-offload=no \ target-scope=10
/interface wireguard add listen-port=13231 mtu=1420 name=wireguard-MikroTik-Config.ukr-Server /interface wireguard peers add allowed-address=174.16.0.2/32,192.168.5.0/24 interface=\ wireguard-MikroTik-Config.ukr-Server persistent-keepalive=10s public-key=\ «SO4l7YTMMqssgHcWbcIjtuGHO+dz2wENnpoK6hXWEyE=» /ip address add address=174.16.0.1/24 interface=wireguard-MikroTik-Config.ukr-Server \ network=174.16.0.0 /ip route add disabled=no distance=1 dst-address=192.168.5.0/24 gateway=174.16.0.2 \ pref-src=»» routing-table=main scope=30 suppress-hw-offload=no \ target-scope=10
1 2 3 4 5 6 7 8 9 10 11 12 13 14
/interface wireguard add listen-port=13231 mtu=1420 name=wireguard-MikroTik-Config.ukr-Client /interface wireguard peers add allowed-address=174.16.0.1/32,192.168.1.0/24 endpoint-address=\ 11.11.11.10 endpoint-port=13231 interface=\ wireguard-MikroTik-Config.ukr-Client persistent-keepalive=10s public-key=\ "UOOBJ9j5BjUPmP6qccSFT8hLBl+tYL3FoDdPXPa5Imw=" /ip address add address=174.16.0.2/24 interface=wireguard-MikroTik-Config.ukr-Client \ network=174.16.0.0 /ip route add disabled=no distance=1 dst-address=192.168.1.0/24 gateway=174.16.0.1 \ pref-src="" routing-table=main scope=30 suppress-hw-offload=no \ target-scope=10
/interface wireguard add listen-port=13231 mtu=1420 name=wireguard-MikroTik-Config.ukr-Client /interface wireguard peers add allowed-address=174.16.0.1/32,192.168.1.0/24 endpoint-address=\ 11.11.11.10 endpoint-port=13231 interface=\ wireguard-MikroTik-Config.ukr-Client persistent-keepalive=10s public-key=\ «UOOBJ9j5BjUPmP6qccSFT8hLBl+tYL3FoDdPXPa5Imw=» /ip address add address=174.16.0.2/24 interface=wireguard-MikroTik-Config.ukr-Client \ network=174.16.0.0 /ip route add disabled=no distance=1 dst-address=192.168.1.0/24 gateway=174.16.0.1 \ pref-src=»» routing-table=main scope=30 suppress-hw-offload=no \ target-scope=10
Не забываем, что IP адрес интерфейсу необходимо настроить вручную в IP -> Addresses, после чего добавить маршрут чрез IP -> Routes.
Кстати, девайс Mikrotik можно прошить и OpenWrt прошивкой.
Zyxel
Начиная с версии KeeneticOS 3.3 для актуальных моделей интернет-центров Keenetic была добавлена поддержка WireGuard VPN.
Настройка подробно расписана на официальном сайте поддержки.
ASUS
Современные роутеры ASUS, основанные на Asuswrt, теперь поддерживают и WireGuard нативно. К таким роутерам относятся ASUS с процессором ARMv8 64-bit типа RT-AC86U, RT-AX88U или ASUS ZenWiFi XT8 router . С помощью ряда ухищрений можно заставить работать и роутеры с более старыми процессорами Broadcom ARMv7 32-bit, которые работают на прошивке ASUSWRT-Merlin firmware или порте такие как ASUS RT-68U, Netgear R7000, Linksys EA6900 и др.
Интересная инструкция со скриптами конфигурирования доступна на GitHub. Однако, в связи с наличием нативной поддержки в роутерах серии AX, я рекомендую пользоваться GUI. Для более старых моделей можете воспользоваться этой статьей.
Прочие роутеры
Ряд роутеров, популярных заграницей, также поддерживает Wireguard, например: GL.iNet Slate (GL-AR750S-Ext), FRITZ!Box 7590 AX, FRITZ!Box 7590, а также FRITZ!Box 7530
[Посещений: 4 780, из них сегодня: 1]
Ищется мини роутер с поддержкой wireguard
Поставил на неё опнсенс и доволен. Под твои требования такая связка вполне подходит.
( есть Creta (GL-AR750) ) — но у него wireguard макс 30мбит.
очевидные более новые и мощные роутеры от той же Gl.iNet, у них теперь есть двухядерные гигагерцовые
Начиная с версии KeeneticOS 3.3 для актуальных моделей интернет-центров Keenetic была добавлена поддержка WireGuard VPN.
Поди любой zyxel что сейчас продается.
Говорят микротыки рулят с beta прошивкой ?
В 7-й версии ОС поддержка заявлена, в анонсе утверждали, что она огонь. 😉
Но я бы развернул где-нибудь CHR с 7.1 и триальным ключом для тестирования.
keenetic бери. НЕ zyxel, именно keentic с keenOS. Там есть все, включая wireguard, установку пакетов из debian и entware (не во всех моделях), авто-обновления и оч. длительная потдержка (даже после окончания оф. срока потдеожки выпускают обновления с фиксами уязвимостей).
Почему бетой? Релиз стабильной ветки 7.х была две недели назад.
Если денег нет: lite стоит от 1600р. Если деньги есть: смотри на оф. сайте по потребностям. В целом да, дороже tplink/xiaomi и т.п. но на мой взгляд это оправданно.
Вообще, кроме mikrotik и keenetic в SOHO больше ничего вменяемого нет. При этом mikrotik имхо, лучше для провайдерских целей, больших и сложных сетей (в общем то изначально их для провайдера и пилят).
Нет. Эта ветка зовется «testing». И по факту это бета, т.к. многие вещи, типа socks-прокси, или даже управления диодами на некоторых устройствах, в ней не работают.
А еще там заявлено, что wifiwave2 поддерживается на arm устройствах с более чем 256мб памяти, но когда пользователи стали разбираться, оказалось, что у микротика целое 1 такое устройство, у остальных либо устаревший/полностью отсутствующий wifi-модуль, либо другим требованиям не удовлетворяют.
Khnazile ★★★★★ ( 15.12.21 07:33:25 MSK )
Последнее исправление: Khnazile 15.12.21 07:36:26 MSK (всего исправлений: 1)
У любого Keenetic есть WG. На моделях типа Viva у меня упирается в 100 Мбит канала. У MikroTik работает тоже неплохо, но есть, например, баг, когда пиры не поднимаются при нештатной перезагрузке. На RB2011 производительность днище, около 40 Мбит/с с загрузкой 100%. На ARM-моделях нормально, на 7621 (hEX) наверняка не хуже.
7.1 официально «стабильная» уже некоторое время.
оказалось, что у микротика целое 1 такое устройство
hAP AC³ и две версии Audience, то есть уже три. На RB4011 не работает 2.4 ГГц, но формально это уже четвёртое. Не знаю, зачем тут пользователи, если это всё написано в документации. Могу подтвердить, что на AC³ работает без видимых проблем, кроме отвалившегося светодиода, но это же микротик, через пару лет починят.
Блокировки обходишь, внучок? 👵
Да ну что вы такое говорите, он лишь для того, чтобы безопасно к яндексу подключаться!
ssh2 ★★★★ ( 15.12.21 09:45:45 MSK )
Последнее исправление: ssh2 15.12.21 09:45:56 MSK (всего исправлений: 1)
А по поводу wifiwave2. В ченджлоге черном по белом 256 Мб РАМЫ. Таких устройств у микротик хватает. Это RB* серия, hex и более серьезные маршрутизаторы. У меня 3011, там вообще 1 Гб рамы. Я правда еще не накатил 7.1 ибо надо разбираться в новом api и командах, да и лень пока это делать.
Если не тупорыл, коим хочешь себя показывать на этом форуме, то микротик бери.
У RB 3011 нет wifi. Тут суть в том, чтобы все звезды совпали: достаточное количество памяти, arm, свежий wifi-чипсет. Да есть устройства с mini-pcie, есть x86, но это все не совсем то.
Когда обновляешься с 6.x он тебе показывает 7.1 как testing, по крайней мере на моем игрушечном 951 так. Когда обновляешь, то да, возможность откатится из winbox исчезает и на всех ветках версия 7.1. Говорят, если хорошо попросить, то тебе выдадут 7.2beta.
Не админ микротиков, даже не пользуюсь им, просто иногда включаю поиграться.
Khnazile ★★★★★ ( 15.12.21 11:13:44 MSK )
Последнее исправление: Khnazile 15.12.21 11:19:48 MSK (всего исправлений: 1)
Тут процессор нужен нормальный, по этому параметру и выбирай.