Как настроить обход белых списков на роутере Keenetic в 2026 году

Обход белых списков обычно настраивают на телефоне, но иногда удобнее сделать это один раз на роутере — особенно если дом или дача получают интернет через мобильную сеть. Keenetic популярен в России как раз потому, что умеет работать с LTE-модемами и имеет встроенные VPN-клиенты. Но ни один встроенный клиент сам по себе белые списки не обходит. Ниже сравниваются способы обхода на Keenetic, а затем пошагово разобран тот, который в сравнении оказался самым гибким.

Когда белые списки касаются роутера: мобильный модем и 4G-интернет

Белые списки — режим ограничений на мобильном интернете. Пока роутер получает интернет по кабелю от домашнего провайдера, они его не затрагивают: режим действует только в мобильных сетях, а введение белых списков на проводном интернете Минцифры и Ростелеком в марте 2026 года опровергли. Ситуация меняется, если Keenetic подключён к сети оператора:

• модель со встроенным LTE-модемом;
• USB-модем 4G, подключённый к роутеру;
• раздача с телефона, которую роутер использует как основной канал;
• резервный мобильный канал на случай, если пропал проводной.

Отдельный случай — дача или загородный дом, где кроме мобильного интернета ничего нет. Там белые списки бьют по всей семье сразу, и настройка на роутере экономит время: не нужно разбираться с VPN на каждом телефоне, планшете и телевизоре.

В этих случаях на роутер действуют те же правила, что и на телефон: при включённых белых списках доступны только разрешённые ресурсы, а соединения с зарубежными серверами не проходят. Если не открываются даже разрешённые сайты, это полное отключение мобильного интернета, и никакая настройка роутера не поможет.

Что умеет Keenetic из коробки

KeeneticOS включает набор VPN-клиентов, которые устанавливаются как компоненты прошивки: WireGuard, OpenVPN, L2TP/IPsec, IKEv2/IPsec, SSTP и PPTP. Настраиваются они через веб-интерфейс без командной строки. Поддержки VLESS, Trojan, Shadowsocks и других протоколов на ядре Xray во встроенных средствах нет. Учтите и то, что L2TP, IPsec, SSTP и PPTP легко распознаются и на мобильных сетях часто не работают.

Отдельно стоит упомянуть AmneziaWG. В актуальных версиях KeeneticOS WireGuard-подключение умеет работать с параметрами AmneziaWG — модификации WireGuard, изменённой против распознавания через DPI. На это опираются инструкции некоторых сервисов: Red Shield VPN, например, предлагает ручную настройку AmneziaWG именно для Keenetic, а Amnezia Premium заявляет поддержку роутеров Keenetic и считает такой роутер одним подключением.

Для всего остального есть Entware — пакетный менеджер, который ставится на роутер и позволяет устанавливать сторонние программы, в том числе Xray и sing-box.

Варианты обхода на Keenetic: обзор

Вариантов четыре, и они различаются не только сложностью, но и тем, как решают главную задачу — выход через адрес, доступный при белых списках.

Встроенный WireGuard или OpenVPN. Просто, но оба протокола легко распознаются DPI, а при белых списках зарубежный сервер недоступен.

Встроенный WireGuard с параметрами AmneziaWG. Лучше справляется с DPI. Для белых списков нужен сервер с адресом, который оператор пропускает, то есть промежуточный узел в России.

Xray или sing-box через Entware. Поддерживает VLESS + Reality и подписки сервисов, в которых есть маршрут через российские промежуточные серверы. Самый гибкий вариант, но и самый трудоёмкий.

Отдельное устройство. VPN-клиент работает на мини-компьютере, приставке или втором роутере с OpenWrt, а Keenetic направляет через него трафик нужных устройств.

Последний вариант недооценивают. Это может быть мини-компьютер на Linux, старый ноутбук или второй роутер с OpenWrt: его поддерживает, например, Amnezia Premium, а на саму OpenWrt можно установить и sing-box. Keenetic отправляет через него трафик выбранных устройств маршрутом или политикой, а VPN-клиент использует ту же подписку, что и телефон. Роутер при этом не нагружается и не требует Entware, но появляется ещё одно устройство, которое должно работать круглосуточно.

Встроенные WireGuard и OpenVPN: плюсы и ограничения

Встроенные клиенты — самый простой путь. Конфигурация WireGuard импортируется файлом, OpenVPN — файлом конфигурации, после чего подключение появляется в списке интерфейсов, и через него можно направить трафик всех или отдельных устройств.

Ограничения серьёзные. Документация WireGuard прямо говорит, что протокол не занимается маскировкой, и в России его вместе с OpenVPN массово блокируют с 2023 года, прежде всего у мобильных операторов; в 2024–2026 годах блокировки усилились. На проводном интернете такие подключения иногда работают, на мобильной сети — редко. А при белых списках адрес зарубежного сервера недоступен вне зависимости от протокола.

Вариант с AmneziaWG снимает часть проблем с DPI и остаётся настраиваемым через веб-интерфейс. Но для белых списков он работает, только если сервис выдаёт конфигурацию с сервером, адрес которого входит в разрешённые диапазоны. Такие конфигурации встречаются реже, чем подписки VLESS с аналогичными маршрутами.

Xray и sing-box через Entware: что даёт и чего стоит

Entware превращает Keenetic в небольшой Linux-сервер. На него можно поставить Xray-core или sing-box и подключаться по VLESS + Reality, Trojan, Shadowsocks и другим протоколам — так же, как это делают клиенты на телефоне.

Что это даёт:

• те же протоколы и подписки, что на телефоне, включая серверы для белых списков, если они есть у вашего сервиса;
• гибкую маршрутизацию по доменам и адресам: через обход идут только нужные сайты, остальное — напрямую;
• независимость от того, какие VPN-протоколы поддерживает прошивка.

Чего это стоит:

• нужна модель с USB-портом для накопителя, на который ставится Entware, и запасом процессора и памяти;
• настройка идёт через командную строку и файлы конфигурации, хотя в сообществе есть готовые скрипты;
• после обновления прошивки или смены подписки конфигурацию иногда приходится править вручную;
• ошибка в настройке может оставить весь дом без интернета до её исправления.

Сравнительная таблица способов для Keenetic

По итогам сравнения для белых списков подходят два варианта: Xray или sing-box через Entware и отдельное устройство. Первый удобнее в повседневной работе, потому что всё живёт в одном роутере, поэтому пошаговая часть ниже посвящена ему.

Какие модели Keenetic подходят

Для встроенных клиентов годится почти любой Keenetic с актуальной прошивкой. Для Entware и Xray требований больше:

• USB-порт. Классическая установка Entware идёт на USB-накопитель. Модели без USB для этого варианта не подходят.
• Процессор и память. Xray и sing-box шифруют трафик всех устройств сети, и на слабых моделях это упирается в процессор. Старшие и средние модели последних поколений справляются заметно лучше бюджетных.
• Поддержка прошивки. Модель должна получать обновления KeeneticOS: от этого зависят и безопасность, и поддержка AmneziaWG.
• Мобильный канал. Если интернет нужен с сим-карты, подойдут модели со встроенным LTE-модемом или с поддержкой USB-модемов.

Если ваша модель не тянет Xray, это не тупик: вариант с отдельным устройством работает с любым Keenetic.

Пошаговая настройка выбранного способа

1. Обновите KeeneticOS до последней версии для вашей модели и сохраните резервную копию текущей конфигурации.
2. В разделе компонентов прошивки установите поддержку USB-накопителей, файловой системы и OPKG — без них Entware не запустится.
3. Подготовьте USB-накопитель, отформатируйте его в файловую систему, которую рекомендует документация Keenetic для Entware, и установите Entware по официальной инструкции.
4. Подключитесь к Entware по SSH и обновите список пакетов.
5. Установите Xray-core или sing-box из репозитория Entware либо готовым скриптом сообщества, если он поддерживает вашу модель.
6. Перенесите настройки из подписки сервиса в конфигурацию: адрес, порт, UUID, параметры Reality. Для белых списков нужен сервер или маршрут через российский промежуточный узел, если сервис его предоставляет.
7. Настройте перенаправление трафика в Xray или sing-box: прозрачный прокси или отдельный туннельный интерфейс.
8. Задайте правила маршрутизации: какие устройства, домены или адреса идут через обход, а какие напрямую.
9. Перезагрузите роутер и убедитесь, что Xray или sing-box запускаются автоматически.
10. Проверьте работу с одного устройства, прежде чем пускать через обход всю сеть.

Маршрутизация: весь трафик или только нужные сайты

Пустить через обход всю сеть — самый простой, но не лучший вариант. Банки, госуслуги и российские сервисы при белых списках и так доступны, а через промежуточный сервер они только медленнее работают. К тому же обходные маршруты у многих сервисов ограничены по трафику или стоят дороже обычных.

Разумнее выбрать одну из схем:

• По устройствам. В Keenetic есть политики доступа в интернет: телевизор и ноутбук можно направить через обход, а остальные устройства — напрямую.
• По доменам и адресам. В Xray и sing-box правила маршрутизации позволяют отправлять через обход только зарубежные сервисы, а российские адреса — напрямую.
• Комбинированно. Отдельные устройства целиком через обход, остальные — только для выбранных сайтов.

При разделении трафика важно, чтобы DNS-запросы для сайтов, идущих через обход, тоже уходили через него. Иначе часть сайтов может получить неверный или недоступный адрес, а оператор будет видеть, к каким доменам вы обращаетесь. В Xray и sing-box для этого есть собственный DNS-модуль с отдельными правилами.

Для белых списков полезно предусмотреть и переключение: когда ограничения сняты, трафик можно пускать через обычные зарубежные серверы, которые обычно быстрее и не расходуют квоту обхода.

Как проверить, что обход работает

Проверять нужно именно в момент ограничений, иначе результат ничего не скажет. Подключите устройство к Wi-Fi роутера и убедитесь, что без VPN зарубежные сайты не открываются, а разрешённые российские — открываются. Затем включите маршрут через обход и откройте сервис определения IP-адреса: должен показываться адрес VPN-сервера, а не оператора.

Дальше проверьте устройства, ради которых всё затевалось, — телевизор, приставку, консоль. Посмотрите журнал Xray или sing-box на роутере: ошибки подключения к серверу видны там сразу. И наконец, оставьте всё работать на несколько часов: роутер под нагрузкой иногда ведёт себя иначе, чем в первые минуты.

Частые ошибки и как их избежать

• Ожидать, что встроенный WireGuard обойдёт белые списки. Без сервера с разрешённым адресом не обойдёт, как и любой другой протокол.
• Пускать через обход весь трафик. Это замедляет сеть и быстрее расходует трафик обходного маршрута.
• Ставить Xray на слабую модель. Роутер начинает тормозить, перегреваться и перезагружаться; в такой ситуации лучше вынести VPN на отдельное устройство.
• Не делать резервную копию. Одна ошибка в маршрутах — и в веб-интерфейс по привычному адресу уже не попасть.
• Забыть про DNS. Если DNS-запросы уходят на недоступный при белых списках сервер, сайты не откроются даже при работающем туннеле.
• Считать роутер одним устройством везде. Amnezia Premium считает Keenetic одним подключением, а Red Shield VPN рекомендует подключать к роутеру не больше 3 устройств — условия у сервисов разные, и их стоит уточнить заранее.