VPN на роутер Keenetic

Прошивка KeeneticOS собрана из модулей. В базовом наборе лежит то, без чего роутер не раздаёт интернет, всё остальное — включая клиентские подключения — доустанавливается по требованию. Сделано это ради памяти: у домашних моделей её немного, и держать в ней неиспользуемый код незачем. Практическое следствие ровно одно, и на нём спотыкается большинство: человек открывает панель, не находит раздел там, где его показывает инструкция, и делает вывод, что модель не подходит. Модель подходит — просто модуль ещё не поставлен.

Набор компонентов живёт в общих настройках, в разделе обновлений: там список установленного и кнопка изменения набора. Отмечаете нужный модуль клиентского подключения, применяете — устройство само забирает файлы с сервера производителя и перезагружается. Интернет на это время пропадает на минуту-две, поэтому момент лучше выбрать не тот, когда дома кто-то работает.

Второе следствие важнее первого: полный сброс к заводским настройкам возвращает базовый набор компонентов. Не «настройки сбросились, а модули остались» — модулей тоже не остаётся. То же самое бывает при смене канала обновлений с основного на предварительный и обратно. Поэтому у Keenetic файл резервной копии ценнее, чем у роутера с монолитной прошивкой: восстановление из него возвращает и набор компонентов, и само подключение, а восстановление руками — это заново пройти установку модуля, перезагрузку и перенос данных из кабинета.

Ещё одна деталь, из-за которой список компонентов у двух человек выглядит по-разному: он зависит от модели и от объёма её памяти. На младших устройствах часть модулей недоступна физически — их в списке просто нет. Если нужного в наборе не оказалось, дело не в версии прошивки, и обновление ничего не изменит.

Обычный домашний роутер с клиентским подключением работает по принципу «всё или ничего»: соединение либо поднято для всей сети, либо не поднято. У Keenetic иначе — здесь есть профили доступа, и подключение назначается профилю, а не устройству целиком. Дальше каждый гаджет домашней сети приписывается к одному из профилей: телевизор — к тому, где выход через сервис, рабочий ноутбук — к тому, где выход прямой.

Для этого устройства сначала регистрируются: в разделе домашней сети есть список всего, что когда-либо подключалось, и каждой строке можно дать понятное имя и профиль. Незарегистрированные попадают в профиль по умолчанию, и это важнее, чем кажется. Гость, подключившийся к домашнему Wi-Fi по паролю с наклейки, не окажется в туннеле случайно — и наоборот, новый телефон окажется в нём сразу, если туннельный профиль выбран профилем по умолчанию. Решение принимается один раз и осознанно.

Зачем это на практике. Рабочий ноутбук с корпоративным доступом, банковское приложение на планшете и умная колонка, привязанная к своему серверу, ведут себя ровно так, как привыкли, потому что их маршрут не изменился. А телевизор, приставка и стационарный компьютер идут через сервис. Это снимает главную причину, по которой люди отключают настройку на роутере через неделю: что-то одно перестало работать так, как раньше, и проще оказалось выключить всё.

Обратная сторона честная: профиль назначается устройству, а не программе на нём. Увести через сервис одно приложение ноутбука, оставив остальные напрямую, роутер не умеет и не должен — он видит устройство, а не то, что внутри него происходит. Если нужна именно такая точность, задача решается на самом устройстве, и роутер тут не помощник.

Скорость домашней сети упирается в радио, скорость защищённого соединения — в процессор. Это разные ограничения, и цифра «до 1200 Мбит/с» на коробке относится к первому, а не ко второму. Роутеру приходится шифровать и расшифровывать каждый пакет, и на младших моделях именно это становится потолком: канал оператора свободен, Wi-Fi свободен, а выше определённой отметки скорость не поднимается.

Смотреть надо системный монитор на стартовой странице панели — там загрузка процессора и памяти в реальном времени. Порядок проверки простой: измерьте скорость при поднятом соединении и одновременно посмотрите на монитор. Если процессор в этот момент держится у ста процентов, вы упёрлись в него, и ни смена локации, ни настройки Wi-Fi результата не изменят.

Тот же ресурс тратят другие функции устройства: приоритизация трафика, разбор трафика по приложениям, ночная статистика и родительские ограничения. Каждая по отдельности стоит немного, но вместе с шифрованием они складываются. Если скорость важнее их, часть разумно выключить — и посмотреть на монитор ещё раз.

Третий путь — тот же, что в предыдущем разделе: увести профилем мимо туннеля то, чему он не нужен. Ноутбук, который тянет по работе большие файлы, отдельной строкой в профиле без туннеля разгружает процессор сильнее, чем любая тонкая настройка.

Если дома не один Keenetic, а связка из главного устройства и ретрансляторов, настройка делается ровно в одном месте — на главном узле. Ретранслятор, принятый в систему, перестаёт быть самостоятельным: своей панели у него больше нет, все настройки приезжают с главного. Попытка настроить подключение на ретрансляторе — самая частая потеря вечера в этом сценарии.

Главный узел — тот, в который приходит кабель оператора. Профили доступа при этом общие: устройство, приписанное к туннельному профилю, останется в нём независимо от того, к какому узлу оно сейчас подключено физически. Телефон, который переходит из комнаты в комнату и меняет узел, маршрут не меняет — с точки зрения профилей это одно и то же устройство.

Отсюда следует нагрузочная арифметика: весь трафик связки проходит через процессор главного узла, ретрансляторы его не разгружают — они расширяют покрытие. Поэтому главным разумно ставить то устройство, которое мощнее, даже если по расположению удобнее обратное.