VPN для роутера — как настроить на весь дом

Коротко: VPN на роутере нужен не всем. Он полезен для телевизора, приставки, отдельной Wi‑Fi-сети или дома с несколькими устройствами. Но начинать надо не с команды в терминале, а с бэкапа, теста подписки и понятного правила: что идёт через VPN, а что остаётся напрямую.

Когда VPN на роутере действительно нужен

Роутерный VPN выглядит удобно: включил один раз — и домашние устройства не надо настраивать по отдельности. В реальности это хорошая идея только тогда, когда вы понимаете последствия. Ошибка в телефоне ломает один телефон. Ошибка в роутере может задеть телевизор, ноутбук, банк, рабочий созвон, умный дом и принтер.

Поэтому правильный вопрос не «как пустить весь дом через VPN», а «каким устройствам реально нужен VPN-маршрут». Чаще всего это телевизор, приставка, медиасервер, отдельный ноутбук или гостевая Wi‑Fi-сеть. Банки, Госуслуги, локальная админка роутера, принтеры и домашние устройства обычно спокойнее оставить напрямую.

Что подготовить до настройки

• Проверить Foli на обычном устройстве. Получите подписку в Telegram-боте, импортируйте её в клиент на телефоне или ноутбуке и убедитесь, что Wi‑Fi/LTE работают стабильно.
• Сделать бэкап роутера. В OpenWrt это обычно раздел System → Backup / Flash Firmware. На других прошивках ищите экспорт конфигурации.
• Записать текущую сеть. IP роутера, подсеть LAN, адреса телевизора/приставки, способ входа в админку.
• Понять, где будет откат. Лучше иметь кабельный доступ к роутеру или вторую сеть, которая не зависит от VPN-правил.
• Решить, что не должно идти через VPN. Локальные адреса, админка роутера, принтеры, банки и часть российских сервисов часто лучше держать direct.

Безопасный порядок внедрения

1. Сначала проверьте подписку Foli на телефоне или ноутбуке. Не переносите на роутер профиль, который ещё не доказал, что работает.
2. Назначьте тестовому устройству постоянный IP через DHCP reservation. Например, телевизор всегда получает 192.168.1.50.
3. Настройте VPN-интерфейс на роутере, но не переводите весь дом в туннель.
4. Добавьте одно правило: только тестовое устройство идёт через VPN-интерфейс.
5. Проверьте YouTube/Telegram/нужный сервис, затем проверьте, что телефон, банк, принтер и админка роутера работают как раньше.
6. Если всё стабильно, расширяйте схему: отдельный SSID, отдельная группа устройств или ещё одно правило.

Карта домашней сети до первого правила

Перед настройкой запишите не модель роутера, а роли устройств. Телевизор и приставка обычно могут жить за VPN. Телефон с банковскими приложениями, рабочий ноутбук, камеры, принтеры и умный дом чаще должны идти напрямую. Такая карта сразу показывает, нужен ли вам полный туннель или отдельный сегмент.

Когда не надо гнать весь дом через VPN

Полный туннель кажется простым, но именно он чаще всего создаёт «интернет пропал у всех». Для большинства домов безопаснее сделать отдельную Wi‑Fi-сеть вроде Foli-TV и подключать к ней только те устройства, которым нужен другой маршрут. Если туннель упал, основная сеть остаётся живой, а откат занимает секунды.

OpenWrt и PBR: нормальная домашняя схема

На OpenWrt для домашнего сценария чаще удобнее policy-based routing: не весь дом в туннель, а выбранные устройства или сети через нужный интерфейс. В документации OpenWrt PBR описывается как способ маршрутизировать трафик по параметрам вроде source/destination address, интерфейса и mark. Пакет pbr в OpenWrt предназначен для WAN-интерфейсов и VPN-туннелей, включая современные fw4/nft-сценарии.

opkg update
opkg install pbr luci-app-pbr

После установки не делайте «всё через VPN» первым действием. Начните с одной политики в LuCI:

Name: TV via Foli
Source address: 192.168.1.50
Destination address: оставьте пустым для всего трафика устройства
Interface: ваш VPN-интерфейс
Enabled: true

Смысл политики простой: телевизор идёт через VPN, остальные устройства дома продолжают жить напрямую. Если телевизор отвалился — вы чините одно устройство, а не весь интернет.

Отдельная Wi‑Fi-сеть часто лучше, чем правила для каждого

Если VPN нужен нескольким устройствам, сделайте отдельный SSID: например, обычный Home и отдельный Foli-TV. Тогда сценарий становится понятным даже не-технарям: подключился к обычному Wi‑Fi — всё напрямую; подключился к Foli-TV — трафик идёт через VPN.

• Создайте отдельную сеть/подсеть, например 192.168.50.0/24.
• Добавьте PBR policy: source 192.168.50.0/24 → VPN-интерфейс.
• Проверьте DNS для этой сети: устройства не должны застревать на старом провайдерском DNS.
• Не режьте себе доступ к админке роутера: локальные адреса должны оставаться доступными или иметь отдельный понятный путь.

Strict enforcement: полезно, но опасно без понимания

Strict enforcement нужен, когда трафик политики не должен падать обратно в обычный WAN при проблеме VPN. Это хорошо для сценариев, где важнее не допустить утечку маршрута. Но дома это может выглядеть как «телевизор внезапно потерял интернет»: VPN-интерфейс упал, fallback запрещён, устройство молчит.

Если вы не понимаете, как будете это диагностировать, не включайте strict enforcement на первом этапе. Сначала добейтесь стабильного маршрута, а потом решайте, нужен ли запрет fallback именно для этого устройства.

Когда смотреть в сторону sing-box на роутере

sing-box на роутере — уже не бытовой старт, а техническая настройка. TUN-подход может быть полезен, когда нужен управляемый интерфейс и аккуратные правила маршрутизации. В документации sing-box для TUN есть параметры auto_route и auto_redirect; для OpenWrt fw4 отдельно указана совместимость auto_redirect. Это не делает конфиг универсальным — DNS, outbound, исключения и формат подписки всё равно надо собирать под конкретную сеть.

{
  "inbounds": [
    {
      "type": "tun",
      "interface_name": "tun0",
      "auto_route": true,
      "auto_redirect": true
    }
  ],
  "route": {
    "rules": [
      { "ip_cidr": ["192.168.0.0/16"], "outbound": "direct" },
      { "domain_suffix": ["local"], "outbound": "direct" }
    ]
  }
}

Важно: фрагмент выше — не готовый конфиг для копирования на ваш роутер. Это каркас идеи: локальные адреса и домены остаются direct, а VPN-маршрут настраивается отдельно.

План отката, который должен быть до эксперимента

• Отключить конкретную PBR policy, а не сносить всё подряд.
• Отключить VPN-интерфейс на роутере.
• Вернуть телевизор/приставку в обычный Wi‑Fi.
• Проверить доступ к админке роутера, DNS и обычным сайтам.
• Если настройки запутались — восстановить backup config.

Частые проблемы после настройки

FAQ

VPN на роутере ускорит интернет?

Нет. VPN на роутере может упростить доступ для домашних устройств, но плохой Wi‑Fi, слабый процессор роутера или перегруженный канал он не ускорит.

Можно поставить VPN на любой роутер?

Нет. Нужна прошивка или клиент, который умеет нужный VPN-сценарий. Старые и слабые роутеры часто не тянут нормальную скорость или не дают удобных правил маршрутизации.

Почему сначала надо проверить телефон?

Так вы отделяете проблему подписки от проблемы роутера. Если профиль не работает на простом клиенте, на роутере он не станет стабильнее.

Нужно ли гнать весь дом через VPN?

Обычно нет. Лучше начать с конкретного устройства или отдельной Wi‑Fi-сети, а банки, локальные сервисы и умный дом оставить напрямую.

Что делать, если после настройки всё «поплыло»?

Отключите PBR policy или VPN-интерфейс, верните устройство в обычную сеть и восстановите backup, если правила уже трудно разобрать.

Foli помогает с роутерной схемой?

Foli даёт актуальную подписку и маршрут, но конкретная роутерная настройка зависит от модели, прошивки и клиента. В поддержку лучше сразу писать модель роутера, прошивку, клиент и что именно вы хотите пустить через VPN.

Источники для углубления

• OpenWrt Wiki: PBR / policy-based routing
• OpenWrt package: pbr
• sing-box documentation: TUN inbound