VPN на роутере: весь дом через один сервер, а банки напрямую

Картина знакомая. Купили ключ, зашли в веб-интерфейс роутера, подняли туннель. Полчаса счастья: телевизор открывает что угодно, ноутбук работает, приставка не ругается. А вечером жена платит за квартиру, и приложение банка выкидывает её на экран входа. Заказ на маркетплейсе не оформляется. MAX не подключается. Госуслуги просят подтверждение способом, которого у неё нет.

Ничего не сломалось. Роутер делает ровно то, что ему сказали: гонит наружу всю квартиру целиком. Чинится это не сменой сервера, а маршрутизацией.

Что ломается, когда весь дом идёт в туннель

Российские сервисы смотрят, откуда пришёл запрос. Банк, портал госуслуг, маркетплейс, оператор связи, каршеринг: все видят адрес откуда-нибудь из Германии или Турции и реагируют одинаково скверно. Кто-то показывает пустой экран, кто-то крутит вечную загрузку, кто-то включает дополнительную проверку, пройти которую нечем. Иногда доходит до временной блокировки карты.

С апреля 2026 года это перестало быть частным случаем. Минцифры поручило крупным российским площадкам ограничить доступ тем, кто заходит через VPN, и раздало методички, как такой трафик распознавать. Ведомство объясняет это защитой данных пользователей. Итог для нас с вами один: сервис, который год назад спокойно пускал, теперь молчит.

Отдельная головная боль: техника, у которой настроек нет вообще. Телевизор, колонка, робот-пылесос, домофон, камера на балконе. Они стучатся в российские облака, и через зарубежный сервер эти облака часто не отвечают. Умный дом начинает жить своей жизнью, а вы сидите и гадаете, кто виноват, роутер или производитель.

Точечная маршрутизация: как она устроена

Идея простая. У роутера два выхода наружу: обычный провайдерский и туннель. Дальше для каждого запроса роутер решает, каким выходом его отправить.

Рабочее правило для квартиры: всё российское идёт напрямую, остальное в туннель. Бывает и наоборот, когда наружу нужно выпустить пару конкретных сервисов. Тогда в туннель уходит короткий список, а прочее живёт как жило.

Решение принимается по одному из трёх признаков:

• По домену. Понятнее всего человеку: один сайт наружу, другой напрямую.
• По диапазону адресов. Российский сегмент сети целиком мимо туннеля.
• По устройству. Ноутбук наружу, телевизор и телефон жены напрямую.

С доменами есть тонкость. Роутер не видит имя сайта в самом трафике, он видит адрес. Поэтому имя перехватывают на уровне DNS: роутер замечает, какое имя спросили, узнаёт ответ и сразу помечает полученный адрес нужным маршрутом. Так устроены и Keenetic с Entware, и OpenWrt с dnsmasq.

Keenetic: две минуты на туннель, вечер на исключения

Самый частый роутер в российской квартире. Клиенты WireGuard, OpenVPN, IPsec/IKEv2 и SSTP поднимаются прямо в веб-интерфейсе, без командной строки. С прошивки 4.2 туда же заводится AmneziaWG: конфиг загружается как обычный WireGuard, а параметры маскировки дописываются в командной строке роутера.

1. Раздел «Интернет», подраздел с другими подключениями. Добавляете клиент нужного типа и вставляете конфиг.
2. Проверяете, что подключение поднялось и получило адрес.
3. Не делаете его основным. Вот здесь спотыкаются почти все: галочка «использовать для выхода в интернет» отправляет наружу весь дом, и дальше начинается история с банком.
4. Идёте в маршрутизацию и заводите маршруты в туннель только для тех адресов, которым он нужен.
5. При желании привязываете конкретные устройства к профилю подключения в приоритетах.

Ограничение честное: в интерфейсе исключения задаются адресами и подсетями, а не доменами. Сайты давно переехали в облака с плавающими адресами, и руками вы за ними не угонитесь. Один сайт сегодня отвечает с десятка адресов, а завтра с других.

Кому нужен VLESS или маршрут по именам сайтов, ставят Entware, а поверх него XKeen. Это уже не «нажми две кнопки»: доступ по SSH, установка пакетов, правка конфигов руками, обновления тоже руками. И модель роутера должна такое тянуть.

OpenWrt: гибче, но это уже работа

Порог входа выше, зато правила пишутся какие угодно. Понадобится:

• xray-core или sing-box для самого туннеля;
• пакет pbr, чтобы маршрут выбирался по правилам, а не по одной общей таблице;
• связка dnsmasq с nft set, иначе правила по доменам работать не будут;
• железо с запасом: 256–512 МБ памяти, иначе роутер захлебнётся на первом же вечернем сериале.

Дальше в конфиге xray описываются правила: что уходит в туннель, что напрямую. Готовые списки geosite и geoip закрывают крупные куски сразу, но обновлять их придётся, и про ваш региональный банк или местную доставку они не знают.

Про скорость. Шифрование считает процессор роутера, и он становится узким местом: домашние модели среднего класса вытягивают примерно 100–200 Мбит/с. Гигабитный тариф провайдера через такую железку целиком не пройдёт, и дело тут не в сервере на той стороне.

Три способа рядом

Таблица прокручивается вбок, если экран узкий.

Список исключений, который не заканчивается

Допустим, всё настроено и банк открывается. Проходит месяц, банк переезжает на новые адреса, и вы снова смотрите в пустой экран. Появляется сервис доставки, который вы не внесли. Ребёнок ставит игру, она стучится на российский сервер, её выкидывает.

Руками это делается так:

1. Открываете сервис при выключенном туннеле и смотрите, куда он ходит.
2. Вносите домены и адреса в исключения.
3. Проверяете, что теперь работает.
4. Повторяете каждый раз, когда что-то отвалилось.

Обычно на четвёртом пункте энтузиазм и заканчивается. Дальше человек либо терпит, либо просто выключает туннель руками перед каждой оплатой, а это ровно то, от чего он уходил.

Как это сделано в TRUE VPN

Разделение уже внутри сервиса. Российские сайты, приложения банков и мессенджер MAX идут напрямую, мимо туннеля, всё остальное через сервер. Списки вести не нужно, обновлять geosite не нужно, тумблер перед оплатой дёргать тоже не нужно.

Соединение стабильное, скорость не режется, блокировки обходятся. Приложение ставится на телефон и на компьютер, а актуальные условия подключения смотрите на happ-truevpn.com: там всегда свежее, поэтому цифры мы здесь не пишем.

Роутер при этом никуда не девается. Если дома есть телевизор или приставка, куда приложение не поставить, связка «роутер плюс туннель плюс исключения» остаётся рабочей. Просто телефон и ноутбук проще увести на обычный клиент, а роутером заниматься ради тех устройств, у которых выбора нет. Список исключений тогда получается короткий, и переписывать его каждый месяц не придётся.

Вопросы и ответы