Как настроить роутер без VPN: обход DPI и блокировок на уровне сети

Почему VPN не всегда удобен и что такое DPI

Когда провайдер блокирует доступ к сайтам или замедляет трафик, многие пользователи привычно включают VPN. Однако постоянное использование VPN-клиента на каждом устройстве имеет недостатки: снижение скорости, необходимость вручную активировать соединение, возможные сбои при переключении сетей. Более элегантное решение — настроить роутер так, чтобы он сам обрабатывал заблокированные запросы, а остальной трафик шёл напрямую.

Ключевая технология, с которой приходится бороться, — DPI (Deep Packet Inspection), или глубокий анализ пакетов. Провайдер с помощью DPI распознаёт домены и типы трафика, например видеопотоки YouTube по доменам googlevideo.com, и может замедлять или блокировать их. Обход DPI на уровне роутера позволяет решить проблему для всех устройств в домашней сети сразу, без установки VPN на каждый гаджет.

Какие роутеры подходят для обхода DPI без VPN

Не каждый роутер способен выполнять сложные задачи по обходу DPI. Наиболее гибкими считаются устройства с открытой прошивкой или поддержкой контейнеров. Например, роутеры Mikrotik с архитектурами ARM, ARM64 и x86 (включая CHR) поддерживают запуск контейнеров — мини-компьютеров внутри роутера, где можно запускать специальные программы для маскировки трафика.

Проверить поддержку контейнеров на Mikrotik можно командой /system/device-mode print. Если в выводе есть container: yes, значит, функция доступна. Если нет, её можно включить командой /system/device-mode/update container=yes, после чего потребуется перезагрузка.

Альтернативный вариант — роутеры на OpenWrt или Zyxel Keenetic, где можно установить сервис TPWS из проекта zapret. Этот сервис модифицирует TCP-пакеты таким образом, чтобы DPI не мог распознать заблокированный домен. Такой подход не требует мощного «железа» и работает на многих моделях.

Контейнеры Mikrotik: установка и настройка

Для работы контейнеров на Mikrotik потребуется внешний USB-накопитель (желательно USB 3.0), отформатированный в ext3/ext4. Внутренней памяти роутера обычно недостаточно. Если USB-накопителя нет, можно использовать RAM-память, но тогда контейнеры исчезнут после перезагрузки.

Сначала нужно установить пакет Container из Extra packages. Например, для RouterOS 7.16 на ARM64 можно выполнить:

/tool fetch https://upgrade.mikrotik.com/routeros/7.16/container-7.16-arm64.npk
/system/reboot

После перезагрузки создаётся мост (bridge) для контейнеров, виртуальный интерфейс и настраивается маршрутизация. Затем загружается образ контейнера, например wiktorbgu/byedpi-hev-socks5-tunnel:mikro, который реализует обход DPI. Команды для запуска контейнера включают параметры вроде --disorder 1 --auto=torst --tlsrec 1+s, которые изменяют порядок TCP-сегментов и TLS-записей, чтобы DPI не мог сопоставить трафик с заблокированным доменом.

Важно правильно настроить DNS: все запросы к доменам YouTube и googlevideo.com должны перенаправляться в контейнер. Для этого создаются статические DNS-записи с forward-to=localhost и списком адресов za_dpi_FWD. Затем трафик с этих доменов маркируется и направляется в контейнер через отдельную таблицу маршрутизации.

Настройка DNS-over-HTTPS (DoH) на роутере

DNS-запросы — это один из способов, которым провайдер может определить, какие сайты вы посещаете. Обычный DNS-запрос отправляется в открытом виде, и DPI может его прочитать. Чтобы защитить DNS и одновременно обойти блокировки, используется DNS-over-HTTPS (DoH), когда запросы шифруются и передаются внутри HTTPS-трафика.

На Mikrotik с прошивкой 7.16 и новее можно настроить DoH с сервером Cloudflare (1.1.1.1) или Quad9 (9.9.9.9). Для Cloudflare достаточно импортировать один сертификат:

/tool fetch https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem
/certificate import file-name=DigiCertGlobalRootG2.crt.pem passphrase=""
/ip dns set use-doh-server=https://1.1.1.1/dns-query verify-doh-cert=yes

Для Quad9 потребуется импортировать полный набор корневых сертификатов, так как цепочка доверия длиннее. После настройки DoH все DNS-запросы от устройств в локальной сети будут перехватываться роутером и отправляться через зашифрованный канал. Это предотвращает подмену DNS и делает невозможным перехват запросов провайдером.

Обход DPI с помощью TPWS на OpenWrt и Keenetic

Если у вас роутер с OpenWrt или Zyxel Keenetic, можно использовать сервис TPWS из проекта zapret. TPWS работает на уровне TCP и «извращает» пакеты таким образом, чтобы DPI не мог распознать домен. Например, он может разбивать TLS-записи или изменять порядок сегментов.

Установка TPWS включает несколько шагов: обновление пакетов, установка iptables, клонирование репозитория zapret и компиляция. Затем создаётся скрипт инициализации, который запускает TPWS с нужными параметрами и добавляет правила iptables для перенаправления портов 80 и 443 на локальный порт TPWS.

Пример параметров запуска:

--daemon --bind-addr 192.168.0.1 --port 999 --disorder --tlsrec=sni --split-pos=2

Эти параметры заставляют TPWS изменять порядок TCP-сегментов и разбивать TLS-записи в позиции SNI, что мешает DPI определить домен. После запуска сервиса весь HTTP и HTTPS трафик с LAN проходит через TPWS, и заблокированные сайты открываются без VPN.

Избирательное проксирование: только нужные сайты через VPN

Если вы не хотите настраивать сложные контейнеры или TPWS, можно использовать более простой подход — избирательное проксирование. Суть в том, что VPN или прокси подключается только для определённых доменов, а остальной трафик идёт напрямую. Это снижает нагрузку и сохраняет скорость для обычных сайтов.

Один из способов — использовать браузерные плагины, такие как FoxyProxy, которые позволяют задать список сайтов, для которых будет использоваться прокси. Например, вы можете настроить SOCKS-прокси на своём VPN-сервере и указать в FoxyProxy, что только youtube.com и googlevideo.com должны идти через прокси.

Другой вариант — настроить на роутере правила маршрутизации, чтобы запросы к определённым IP-адресам или доменам отправлялись через VPN-туннель, а остальные — напрямую. Это можно сделать на роутерах с поддержкой policy-based routing. Такой подход позволяет обойти блокировку без постоянного включения VPN на всех устройствах.

VPN-сервер на роутере: как поднять и зачем это нужно

Иногда требуется обратная задача — не обходить блокировки, а предоставить доступ к своей домашней сети извне. Для этого можно поднять VPN-сервер прямо на роутере. Многие роутеры, например Tenda, имеют встроенную функцию VPN-сервера (обычно PPTP).

Для настройки VPN-сервера на роутере необходимо:

1. Зайти в веб-интерфейс роутера (обычно 192.168.0.1 или 192.168.1.1).
2. Найти раздел VPN/PPTP сервер и включить его.
3. Задать логин и пароль для подключения.
4. Убедиться, что у вас есть статический (белый) IP-адрес, иначе внешние подключения будут невозможны.

После этого можно подключаться к домашней сети из любой точки мира, используя встроенный VPN-клиент Windows или мобильного устройства. Это полезно для фрилансеров, которым нужно работать с одного IP-адреса, или для доступа к домашним файлам и устройствам.

Автоподключение VPN в Windows и блокировка интернета без VPN

Если вы используете VPN-сервер на роутере, может возникнуть необходимость автоматически подключаться к нему при каждом включении компьютера. В Windows это можно сделать с помощью Планировщика заданий.

Создаётся простая задача с триггером «При входе в Windows» и действием «Запустить программу». В качестве программы указывается C:\Windows\system32\rasdial.exe, а в аргументах — имя VPN-подключения, логин и пароль. Например:

rasdial.exe vpn-lab TestUser TestPassword

Также можно настроить брандмауэр Windows таким образом, чтобы доступ в интернет был возможен только через VPN-соединение. Для этого нужно:

1. Определить VPN-подключение как «Домашняя сеть», а обычное сетевое — как «Общественная сеть».
2. В свойствах брандмауэра для «Общего профиля» заблокировать все входящие и исходящие соединения.
3. Создать правила для входящих и исходящих соединений, разрешающие трафик только к IP-адресу VPN-сервера.

После такой настройки при отключённом VPN компьютер не сможет выйти в интернет, что гарантирует, что весь трафик идёт через защищённое соединение.

Сравнение методов обхода DPI на роутере

Разные методы обхода DPI имеют свои плюсы и минусы. Вот краткое сравнение:

• Контейнеры Mikrotik (BYEDPI): подходят для роутеров Mikrotik с ARM/ARM64/x86. Дают полный контроль и работают на уровне роутера, но требуют USB-накопителя и прошивки не ниже 7.16.
• TPWS на OpenWrt/Keenetic: легко устанавливается, работает с iptables, но требует знаний Linux и настройки.
• VPN на роутере: прост в использовании, но замедляет скорость и может быть платным (если использовать коммерческие VPN-сервисы).
• Избирательное проксирование: позволяет обходить блокировки только для нужных сайтов, сохраняя скорость, но требует настройки на каждом устройстве или роутере.

Выбор метода зависит от вашего оборудования и технических навыков. Если у вас Mikrotik — контейнеры дадут наилучший результат. Если OpenWrt или Keenetic — TPWS будет хорошим вариантом. Для новичков проще начать с избирательного проксирования через браузерные плагины.

Практические советы и проверка работоспособности

Перед внесением изменений в конфигурацию роутера всегда делайте резервную копию настроек. Это позволит быстро восстановить работоспособность в случае ошибки.

После настройки обхода DPI рекомендуется:

• Перезагрузить роутер и все устройства.
• Отключить DoH в браузерах (например, в Firefox), чтобы DNS-запросы шли через роутер и не конфликтовали с настройками.
• Проверить скорость загрузки видео на YouTube — она должна быть стабильной.
• Использовать плагин FoxyProxy для быстрого переключения между прокси и обычным режимом, если вы применяете избирательное проксирование.
• Следить за обновлениями прошивки роутера — новые версии могут улучшить поддержку DoH и контейнеров.

Для проверки влияния DPI можно использовать команду curl с указанием домена и сравнить скорость с и без обхода. Если видео грузится без пауз, значит, настройка работает.

Вопросы и ответы

/tool fetch https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem
/certificate import file-name=DigiCertGlobalRootG2.crt.pem passphrase=""
/ip dns set use-doh-server=https://1.1.1.1/dns-query verify-doh-cert=yes