VPN-сервер
На вкладке VPN-сервер роутер становится сервером для ваших устройств вне дома. Телефон в поездке подключается к домашнему роутеру, выходит в интернет по правилам ваших секций и видит домашние устройства.
Белый IP
Для Tailscale белый IP не нужен
Сервер Tailscale работает без белого IP и открытого порта. Роутер сам подключается к сети Tailscale, и ваши устройства находят его через неё.
Остальные серверы работают, только если до роутера можно достучаться из интернета. Для этого нужен белый IP, то есть публичный адрес, который принадлежит только вашему роутеру. У многих провайдеров адрес серый: его делят много абонентов, и подключиться к роутеру снаружи нельзя.
Как проверить:
- Посмотрите адрес WAN на главной странице LuCI.
- Откройте с домашнего компьютера сайт, который показывает ваш IP, например 2ip.ru.
- Если адреса совпадают, IP белый. Если не совпадают или адрес WAN входит в
10.0.0.0/8,172.16.0.0/12,192.168.0.0/16или100.64.0.0/10, IP серый.
Белый IP провайдеры обычно дают отдельной платной услугой, её называют «статический IP» или «белый IP». Бывает и бесплатный белый адрес, который время от времени меняется. С ним в Публичный адрес впишите имя DDNS, а не сам адрес.
Ещё один путь без белого IPv4 даёт публичный IPv6. Если провайдер выдаёт его роутеру, к роутеру можно подключиться из сетей с IPv6, мобильные операторы его обычно дают.
Проверяйте сервер снаружи, например с телефона с выключенным Wi-Fi.
Клиенты
У каждого клиента свои учётные данные и своя ссылка или профиль. Их выдаёт кнопка Детали сервера после применения настроек: ссылку можно скопировать или показать QR-кодом, а профили WireGuard, AmneziaWG и OpenVPN ещё и скачать.
| Сервер | Приложения |
|---|---|
| VLESS, Trojan, Shadowsocks, Hysteria2, TUIC, VMess, AnyTLS | v2rayNG, v2rayN, Hiddify, Happ, Streisand, NekoBox, sing-box |
| WireGuard | приложение WireGuard |
| AmneziaWG | AmneziaVPN или AmneziaWG |
| OpenVPN | OpenVPN Connect и другие клиенты OpenVPN |
| TrustTunnel | официальный клиент TrustTunnel |
| Mixed | любая программа с настройкой SOCKS5 или HTTP-прокси |
Удалённый клиент перестаёт подключаться, а ссылки остальных не меняются. Соединения клиентов видны на вкладке Мониторинг с именами сервера и клиента.
Куда идёт трафик клиентов
| Режим маршрутизации | Трафик клиентов |
|---|---|
| Правила, по умолчанию | идёт по секциям, как у устройств дома |
| Напрямую | идёт через домашнего провайдера мимо секций |
| Секция | целиком идёт через выбранную секцию |
У отдельного клиента режим меняет Переопределить маршрутизацию. Например, у друга можно поставить Напрямую, чтобы он не тратил ваши подписки.
Порт и адрес
Без Открыть порт сервер доступен только из домашней сети, флажок добавляет правило файервола для подключений из интернета. Адрес прослушивания по умолчанию ::, то есть все адреса IPv4 и IPv6, а с адресом роутера в домашней сети, например 192.168.1.1, сервер виден только дома. Публичный адрес попадает в ссылки и профили клиентов.
Протоколы
| Протокол | Защита | Что получает клиент | Чем хорош | Сборка ядра |
|---|---|---|---|---|
| VLESS | Reality, TLS или нет | ссылку vless:// | Reality прикидывается чужим сайтом, свой домен и сертификат не нужны | все |
| Trojan | TLS | ссылку trojan:// | похож на обычный HTTPS | все |
| Shadowsocks | своё шифрование | ссылку ss:// | простой и быстрый, есть Shadowsocks 2022 | все |
| Hysteria2 | TLS поверх QUIC | ссылку hysteria2:// | быстрый на плохих каналах, работает по UDP | все |
| TUIC | TLS поверх QUIC | ссылку tuic:// | QUIC, хорош в мобильных сетях | все |
| Mixed | нет | ссылки socks5:// и http:// | SOCKS5 и HTTP-прокси на одном порту, для домашней сети | все |
| VMess | TLS или нет | ссылку vmess:// | для старых клиентов | base, full |
| AnyTLS | TLS | ссылку anytls:// | прячет размеры пакетов TLS | base, full |
| TrustTunnel | TLS | ссылку tt:// | для официального клиента TrustTunnel | base, full |
| WireGuard | нет | профиль .conf и QR-код | официальные приложения WireGuard на любой системе | base, full |
| AmneziaWG | нет | профиль .conf и QR-код | WireGuard с обфускацией | base, full |
| OpenVPN | TLS | профиль .ovpn | любые клиенты OpenVPN, включая телевизоры и роутеры | base, full |
| NaiveProxy | TLS | ссылку naive+https:// | выглядит как браузер Chrome | full |
| Mieru | своё шифрование | ссылку mierus:// | для клиентов mieru | full |
| Tailscale | нет | вход в вашу сеть Tailscale | не нужны открытый порт и белый адрес | full |
| JSON inbound | любой inbound sing-box, написанный руками | все |
TLS и Reality
Reality у VLESS обходится без своего домена: сервер берёт TLS-рукопожатие у настоящего популярного сайта. В SNI впишите домен этого сайта или нажмите Выбрать домен, чтобы подставить проверенный. Сайт должен поддерживать TLS 1.3 и HTTP/2 и открываться с роутера.
TLS нужен Trojan, Hysteria2, TUIC, AnyTLS, NaiveProxy и TrustTunnel. Самоподписанный сертификат роутер выпускает сам, а клиенты сверяют его по отпечатку из ссылки. Свой сертификат — текст PEM или путь к файлу на роутере, например от acme.sh для вашего домена. Обновлённый файл сервер подхватывает без перезапуска. NaiveProxy работает только со своим сертификатом.
Транспорт и Multiplex
VLESS, VMess и Trojan работают поверх Транспорта: TCP по умолчанию, WebSocket, gRPC, HTTP, HTTPUpgrade или XHTTP. Другой транспорт нужен, если сервер стоит за CDN или обратным прокси. Multiplex собирает соединения клиента в одно, а Padding добавляет к ним случайные байты.
Особенности протоколов
Shadowsocks. У методов Shadowsocks 2022 есть Ключ сервера, а у каждого клиента свой ключ.
Hysteria2. Обфускация salamander скрывает, что это QUIC. Маскировка задаёт сайт, который сервер покажет на обычный HTTPS-запрос, например https://example.com или папку file:///www.
Mixed. Без Аутентификации прокси пользуется любой, кто до него дотянется, поэтому без неё не открывайте порт в интернет.
WireGuard, AmneziaWG и OpenVPN
Клиенты этих протоколов получают адрес в Подсети туннеля, по умолчанию 10.8.0.1/24, и можно добавить одну подсеть IPv6. Подсети разных серверов не должны пересекаться друг с другом и с домашней сетью.
С Весь трафик через сервер, он включён по умолчанию, клиенты отправляют в туннель всё. Без него в профиль попадут только Маршруты, например домашняя сеть 192.168.1.0/24.
Ключи и сертификаты сервера и клиентов роутер создаёт сам, и профиль OpenVPN работает без отдельных файлов. У AmneziaWG кнопка Сгенерировать параметры создаёт параметры обфускации, и они попадают в профили клиентов.
Tailscale
Сервер Tailscale вводит роутер в вашу сеть Tailscale как узел, который всегда предлагает себя выходным узлом. Через него устройства сети выходят в интернет с домашнего адреса, когда вы одобрите это в консоли. Белый адрес и открытый порт ему не нужны.
Детали сервера показывают, вошёл ли роутер в сеть, одобрены ли выходной узел и маршруты, и все устройства сети. Чтобы, наоборот, роутер ходил в интернет через устройство сети Tailscale, настройте туннель Tailscale.
JSON inbound
Сервер, описанный целиком как inbound sing-box по документации sing-box. Ссылки и QR-коды для него страница не строит.