Настройка VLESS Reality на роутере: прозрачное туннелирование на Keenetic и OpenWrt

Централизация протокола VLESS Reality на сетевом маршрутизаторе позволяет защитить всю инфраструктуру локальной сети без установки клиентских приложений на каждое клиентское устройство. В данном руководстве разобран регламент развертывания ядра sing-box в режиме прозрачного прокси (TPROXY/REDIRECT) с селективной маршрутизацией списков доменов.

Преимущества шлюзового туннелирования

В отличие от установки клиентов на отдельные ПК и смартфоны, конфигурация на роутере решает фундаментальные сетевые задачи:

Поддержка закрытых систем: Телевизоры на Samsung Tizen, LG webOS, игровые консоли (PlayStation, Xbox), умные колонки и IoT-устройства получают прозрачный доступ без модификации прошивок.
Изоляция локального трафика (Split Tunneling): Трафик к российским банкам (Сбер, Т-Банк), порталу Госуслуг и локальным CDN идет напрямую через гигабитный интерфейс провайдера без задержек. Туннелируются только целевые диапазоны IP и домены (YouTube CDN, Discord Voice, заблокированные ресурсы).
Аппаратное ускорение: Современные роутеры на процессорах MediaTek (Filogic 820/830) и Qualcomm обрабатывают шифрование TLS 1.3 на скоростях 300–700 Мбит/с без просадки общей производительности сети.

Развертывание на Keenetic (модели с USB и OPKG Entware)

Для маршрутизаторов семейства Keenetic (Giga, Titan, Hero, Hopper, Viva) с USB-портом доступна установка пакетного менеджера Entware.

Шаг 1: Подготовка среды Entware

Подключите USB-накопитель (USB 3.0 флешку или внешний SSD), отформатированный в файловую систему ext4.
В веб-интерфейсе Keenetic перейдите в «Управление» ➔ «Общие настройки» ➔ «Среда OPKG», выберите подключенный накопитель и запустите установку среды Entware.
Подключитесь к роутеру по SSH (порт 222 или стандартный порт Entware) и обновите репозиторий пакетов:
```
opkg update
opkg install sing-box
```

Шаг 2: Конфигурация ядра sing-box (/opt/etc/sing-box/config.json)

Базовый шаблон конфигурации включает входящий слушающий сокет в режиме TPROXY и исходящий узел VLESS Reality:

{
  "log": {
    "level": "warn",
    "timestamp": true
  },
  "inbounds": [
    {
      "type": "tproxy",
      "tag": "tproxy-in",
      "listen": "::",
      "listen_port": 12345,
      "sniff": true,
      "sniff_override_destination": true
    }
  ],
  "outbounds": [
    {
      "type": "vless",
      "tag": "vless-out",
      "server": "server.obs-research.net",
      "server_port": 443,
      "uuid": "YOUR-UUID-KEY",
      "flow": "xtls-rprx-vision",
      "tls": {
        "enabled": true,
        "server_name": "dl.google.com",
        "utls": {
          "enabled": true,
          "fingerprint": "chrome"
        },
        "reality": {
          "enabled": true,
          "public_key": "YOUR_PUBLIC_KEY",
          "short_id": "YOUR_SHORT_ID"
        }
      }
    },
    {
      "type": "direct",
      "tag": "direct"
    }
  ],
  "route": {
    "rules": [
      {
        "geosite": ["youtube", "discord"],
        "outbound": "vless-out"
      },
      {
        "geoip": ["ru"],
        "outbound": "direct"
      }
    ],
    "auto_detect_interface": true
  }
}

Шаг 3: Автозагрузка и правила iptables

Запуск службы выполняется через стандартный init-скрипт Entware: /opt/etc/init.d/S22sing-box start. Маршрутизация пакетов из локального сегмента br0 в порт 12345 TPROXY конфигурируется через скрипт в каталоге /opt/etc/ndm/netfilter.d/.

Развертывание на OpenWrt (любые совместимые роутеры)

На устройствах под управлением OpenWrt 23.05+ процедура упрощается наличием официальных веб-интерфейсов:

Установите пакет luci-app-sing-box или плагин PassWall через менеджер пакетов LuCI (Система ➔ Программное обеспечение).
В разделе узлов добавьте соединение VLESS: протокол vless, транспорт tcp, шифрование reality, фингерпринт chrome.
В настройках DNS активируйте DNS-over-HTTPS (DoH) на порт 443, чтобы исключить спуфинг DNS-ответов на уровне провайдерского оборудования.
Установите значение MTU равным 1420 на виртуальном туннельном адаптере для предотвращения фрагментации TCP-пакетов.

Верификация маршрутизации и диагностика

После активации службы выполните проверку разделения потоков с любого компьютера в локальной сети:

Прямой путь к российским серверам: traceroute sberbank.ru должен показывать выход сразу на первый шлюз вашего интернет-провайдера.
Путь к YouTube: трафик к диапазонам CDN уходит в туннель, а статус плеера в браузере (Статистика для сисадминов) демонстрирует скорость соединения Connection Speed свыше 80 000 Кбит/с.