Как настроить и использовать Windscribe с DD-WRT

В этом руководстве описана настройка OpenVPN-клиента Windscribe на маршрутизаторе с прошивкой DD-WRT. Пока туннель OpenVPN подключен, трафик каждого устройства, использующего этот маршрутизатор для доступа в интернет, будет направляться через VPN-туннель при условии, что обходы на основе маршрутизации по политикам не настроены, а IPv6 обрабатывается правильно.

Примечание о возможностях приложений: при ручной настройке маршрутизатора доступны не все функции официальных приложений Windscribe. В этой конфигурации недоступны управление файрволом на уровне приложения, автоматическое переключение протоколов при сбое и управляемая приложением защита от утечек. Предотвращение утечек необходимо настроить вручную, как описано в части 4.

Расчетное время: 15–30 минут.

Во время настройки используйте проводное подключение к маршрутизатору. Изменение параметров VPN может временно прервать работу Wi-Fi.

Примечание о прошивке: всегда используйте сборку DD-WRT, скомпилированную специально для точной модели вашего маршрутизатора. Установка неподходящей сборки может сделать маршрутизатор неработоспособным. Прежде чем начать, убедитесь, что знаете, как выполнить сброс устройства к заводским настройкам на случай потери соединения во время настройки.

Требования & предварительные условия

• Сборка DD-WRT с OpenVPN: убедитесь, что на маршрутизаторе в разделе Services > VPN присутствует подраздел OpenVPN Client. Если его нет, текущая сборка не включает OpenVPN. Прежде чем устанавливать совместимую сборку, проверьте официальную базу маршрутизаторов DD-WRT, страницы вики и темы форума для вашей модели, а также примечания к сборке для точной аппаратной ревизии.
• Платный тариф Windscribe: Для ручной настройки OpenVPN требуется подписка Pro или Build-A-Plan. Build-A-Plan позволяет создавать профили только для локаций, включенных в тариф; в тариф Free генератор конфигураций OpenVPN не входит.
• Учетные данные администратора DD-WRT: имя пользователя и пароль для панели администратора вашего маршрутизатора, а не для учетной записи Windscribe.
• IP-адрес панели управления маршрутизатором: стандартный адрес панели управления DD-WRT — 192.168.1.1. Если вы изменили его, используйте свой адрес.

Об OpenVPN

OpenVPN — зрелый VPN-протокол с открытым исходным кодом, который шифрует трафик между клиентским устройством и VPN-сервером с помощью TLS. На платных тарифах Windscribe поддерживает ручные профили OpenVPN через OpenVPN Config Generator. Текущая версия генератора загружает один профиль .ovpn и отдельно получает учетные данные OpenVPN. Для ручной настройки DD-WRT необходимо перенести этот профиль в панель управления маршрутизатора.

Часть 1. Создание профиля Windscribe OpenVPN

Шаг 1. Откройте OpenVPN Config Generator

1. Откройте windscribe.com/getconfig/openvpn в браузере.
2. Если появится запрос, войдите с учетными данными своей учетной записи Windscribe.

Шаг 2. Загрузите профиль OpenVPN

1. На Step 1 генератора выберите Location / IP, Protocol, Port, и OpenVPN Version.
2. Выберите ближайшую к вам локацию или локацию, обеспечивающую нужный регион выхода.
3. Выберите протокол и порт. Используйте порт, предлагаемый генератором для этого протокола:
4. UDP обычно обеспечивает меньшую задержку и работает в большинстве сред.
   • TCP 443 можно использовать как альтернативу, если UDP заблокирован, например в некоторых гостиничных или корпоративных сетях.
   • Если впоследствии вы измените протокол, создайте новый профиль. Не меняйте в DD-WRT только порт.
   • Выберите версию OpenVPN, соответствующую сборке DD-WRT вашего маршрутизатора. Если вы не уверены, следуйте примечанию генератора о версиях и выберите совместимый более старый вариант, а не рассчитывайте, что самый новый профиль будет работать.
5. Нажмите Download Config. Будет сохранен один файл с именем вида Windscribe-Location.ovpn.

Шаг 3. Откройте и проверьте профиль OpenVPN

Откройте загруженный файл .ovpn в текстовом редакторе. Его значения и встроенные блоки потребуются в DD-WRT:

• Строка remote содержит имя хоста и порт сервера: remote [hostname] [port].
  • Строка proto содержит протокол туннеля.
  • Обратите внимание на присутствующие директивы dev, cipher или data-ciphers, auth, сжатия, проверки сертификата, MTU и MSS. Настройте поля DD-WRT в соответствии с этим созданным профилем, а не используйте примеры значений из другого руководства.
• Найдите встроенный блок <ca>. Скопируйте содержимое сертификата между <ca> и </ca> в поле DD-WRT CA Cert.
• Найдите встроенный блок <tls-auth>. Скопируйте его содержимое в поле TLS Auth Key и сохраните направление ключа из профиля, если ваша сборка DD-WRT предоставляет такую настройку.

Шаг 4. Получите учетные данные OpenVPN

Windscribe создает отдельный набор учетных данных OpenVPN, отличный от данных для входа в основную учетную запись.

1. На той же странице OpenVPN Config Generator перейдите к Step 2 и нажмите Get Credentials.
2. Скопируйте OpenVPN Username и OpenVPN Password. Это автоматически созданные строки, а не адрес электронной почты и пароль вашей учетной записи Windscribe. При вставке в DD-WRT не копируйте лишние пробелы до или после значений.

Рисунок 1. Текущий генератор OpenVPN создает один профиль, а учетные данные получают отдельно. На схеме показано, какие значения и блоки профиля нужны DD-WRT.

Часть 2. Настройка OpenVPN Client в DD-WRT

Шаг 1. Войдите в панель управления DD-WRT

1. Откройте браузер на устройстве, подключенном к маршрутизатору.
2. Перейдите по адресу http://192.168.1.1 (или по своему IP-адресу панели управления).
3. Введите имя пользователя и пароль администратора DD-WRT.

Шаг 2. Перейдите к настройкам OpenVPN Client

1. Нажмите Services на верхней панели навигации.
2. Откройте вкладку VPN.
3. Прокрутите страницу до раздела OpenVPN Client.

Шаг 3. Включите OpenVPN Client

Перед включением: перейдите в Administration > Backup и сохраните копию текущей конфигурации DD-WRT. Если настройка VPN нарушит подключение, вы сможете восстановить эту резервную копию после сброса маршрутизатора или восстановления доступа к нему.

Установите Start OpenVPN Client в значение Enable. Ниже появятся дополнительные поля конфигурации.

Шаг 4. Введите основные параметры

Используйте значения из файла .ovpn, скопированные в части 1 на шаге 3, и учетные данные OpenVPN, полученные в части 1 на шаге 4.

Названия полей DD-WRT зависят от сборки. Сопоставляйте условные поля с созданным профилем и точной сборкой маршрутизатора. Если поля нет, не придумывайте аналог и не копируйте пример значения из другого профиля.

• Server IP/Name: точное имя хоста из строки remote в файле .ovpn
• Port: точный порт из строки remote в файле .ovpn
• Tunnel Device: Сопоставьте с директивой dev профиля. В текущих профилях Windscribe для маршрутизаторов используется маршрутизируемое устройство TUN.
• Tunnel Protocol: протокол из строки proto в файле .ovpn или протокол, выбранный в генераторе конфигураций Windscribe (UDP или TCP)
• Encryption Cipher / Data Ciphers: Сопоставьте с директивами cipher, data-ciphers и резервной директивой, если она присутствует в профиле. Не предполагайте, что один алгоритм подходит для всех версий OpenVPN.
• Hash Algorithm: Сопоставьте с директивой auth профиля.
• User Pass Authentication: Enable
• Username: ваше имя пользователя Windscribe OpenVPN (см. часть 1, шаг 4)
• Password: ваш пароль Windscribe OpenVPN (см. часть 1, шаг 4)

Старые сборки: если после включения User Pass Authentication в вашей сборке DD-WRT не отображаются поля Username и Password, установите предназначенную для точной модели и ревизии вашего маршрутизатора сборку DD-WRT, которая содержит поля имени пользователя и пароля OpenVPN. Если оставить поля аутентификации пустыми, подключение не пройдет проверку подлинности.

Шаг 5. Настройте расширенные параметры

Установите Advanced Options в значение Enable. После этого появится полный набор полей конфигурации.

• TLS Cipher: Сопоставьте с директивой tls-cipher или tls-ciphersuites в своем профиле. Если ее нет, сохраните стандартное значение вашей сборки DD-WRT.
• Compression: Сопоставьте с compress или comp-lzo только при наличии в созданном профиле. В противном случае оставьте сжатие отключенным.
• NAT: Enabled
• Firewall Protection: Enabled
• IP Address: оставьте пустым
• Subnet Mask: оставьте пустым
• Tunnel MTU Setting: Сопоставьте с tun-mtu, если эта директива указана в профиле. В противном случае сохраните стандартное значение сборки и меняйте его только при подтвержденной проблеме с MTU на пути.
• Tunnel UDP Fragment: Сопоставьте с fragment только при наличии этой директивы; в противном случае оставьте поле пустым.
• Tunnel UDP MSS-Fix: Сопоставьте с mssfix при наличии этой директивы. Меняйте значение только при подтвержденной проблеме с MTU или фрагментацией.
• Проверка сертификата: Сохраните требование remote-cert-tls, verify-x509-name или устаревшее требование ns-cert-type с помощью соответствующего элемента управления либо поля Additional Config, доступного в вашей сборке.

Шаг 6. Заполните Additional Config

Используйте Additional Config только для директив из созданного файла .ovpn, которым не соответствует отдельное поле DD-WRT:

• Копируйте только обязательные директивы профиля, которые еще не представлены полями выше.
• Не добавляйте reneg-sec 432000: текущий генератор Windscribe намеренно удаляет эту директиву из загружаемых профилей.

Не вставляйте целиком примеры блоков со снимков экрана или из старых руководств. Если вы не можете безопасно сопоставить директиву, не меняйте поле и сверьтесь с созданным профилем и точной сборкой DD-WRT.

Шаг 7. Вставьте сертификат центра сертификации

1. В файле .ovpn найдите блок <ca>.
2. Скопируйте только содержимое сертификата между <ca> и </ca>, включая полные строки -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----.
3. Вставьте скопированный сертификат в поле CA Cert в DD-WRT.

Шаг 8. Вставьте ключ TLS Auth

1. В файле .ovpn найдите блок <tls-auth>.
2. Скопируйте полное содержимое статического ключа между <tls-auth> и </tls-auth>, включая фактические строки заголовка и окончания из вашего файла.
3. Вставьте скопированный ключ в поле TLS Auth Key. Сохраните key-direction или значение направления из тега <tls-auth>, если ваша сборка DD-WRT предоставляет такой элемент управления.

Шаг 9. Оставьте поля сертификата клиента пустыми

Оставьте поля Public Client Cert и Private Client Key пустыми, если созданный файл .ovpn не содержит блоков <cert> или <key>. В текущих профилях Windscribe с аутентификацией по имени пользователя и паролю поля сертификата отдельного клиента не требуются.

Рисунок 2. Поля OpenVPN Client, используемые в этом руководстве. Зеленые значения берутся из профиля или учетных данных; условные поля должны соответствовать созданному файлу и точной сборке DD-WRT.

Шаг 10. Примените параметры

Нажмите Save внизу страницы, затем Apply Settings. Обычно маршрутизатору требуется около 30–60 секунд, чтобы применить изменения и попытаться подключиться.

Часть 3. Проверка подключения

Шаг 1. Проверьте состояние VPN в DD-WRT

1. В панели управления DD-WRT перейдите в Status > OpenVPN.
2. Проверьте поле State:
   • При успешном подключении обычно отображается CONNECTED SUCCESS (точная формулировка может зависеть от сборки DD-WRT).
   • Если через две минуты по-прежнему отображается CONNECTING или состояние циклически меняется на RECONNECTING, см. раздел «Устранение неполадок».
3. В поле Local IP отображается IP-адрес туннеля, назначенный сервером Windscribe.

Шаг 2. Убедитесь, что ваш публичный IP-адрес изменился

1. На устройстве, подключенном к этому маршрутизатору, откройте средство проверки IP-адреса Windscribe или ipleak.net.
2. Убедитесь, что публичный IP-адрес не совпадает с адресом вашего интернет-провайдера и в целом соответствует выбранному региону VPN. Базы геолокации IP-адресов могут показывать ближайший город или устаревшую локацию, поэтому ориентируйтесь прежде всего на провайдера и регион.
3. В разделе DNS того же теста проверьте наличие неожиданных резолверов. Проверка DNS завершается в части 4, на шаге 1.

Часть 4. Проверка защиты от утечек DNS & IPv6

Ручные конфигурации VPN не блокируют автоматически все пути утечки. Выполните оба следующих шага, прежде чем полагаться на эту конфигурацию для обеспечения конфиденциальности.

Нет аварийного отключения: Это руководство не добавляет аварийное отключение на уровне маршрутизатора. Без отдельно протестированных правил файрвола и маршрутизации, блокирующих трафик при сбое, типичная конфигурация DD-WRT с маршрутом по умолчанию может вернуть трафик в обычную WAN-сеть при разрыве туннеля OpenVPN. Одних настроек DNS недостаточно, чтобы предотвратить такой переход.

Рисунок 3. Сценарий сбоя при разрыве туннеля в этой конфигурации. Без отдельно протестированных правил блокировки при сбое трафик может вернуться в обычную WAN-сеть и раскрыть внешний IP-адрес интернет-провайдера.

Шаг 1. Проверьте утечки DNS

1. На подключенном устройстве перейдите на ipleak.net или dnsleaktest.com.
2. Проверьте наличие неожиданных DNS-резолверов интернет-провайдера. Подписи резолверов могут быть неполными, защищенный DNS в браузере может обходить DNS маршрутизатора, а резолвер, не принадлежащий вашему интернет-провайдеру, не обязательно использует предполагаемый маршрут Windscribe. Оценивайте результат вместе с настройками маршрутизатора и повторными тестами.

Если появились неожиданные резолверы, не полагайтесь на эту конфигурацию, пока маршрут DNS не будет исправлен и повторно проверен.

Текущий генератор OpenVPN предупреждает, что некоторые потребительские маршрутизаторы не принимают DNS, переданный сервером. Если это относится к вашей сборке DD-WRT, настройте DNS Windscribe вручную следующим образом. Это снижает риск утечек DNS, но не является аварийным отключением трафика:

1. В DD-WRT перейдите в Setup > Basic Setup.
2. В разделе Network Setup найдите поля Static DNS.
3. Установите для первого сервера Static DNS значение 10.255.255.1. Это внутренний адрес Windscribe, который работает только при подключении к Windscribe.
4. Установите Use DNSMasq for DNS в значение Enable.
5. Установите DHCP-Authoritative в значение Enable, только если этот маршрутизатор DD-WRT является основным DHCP-сервером в вашей сети.
6. Нажмите Save, затем Apply Settings.
7. При необходимости переподключите клиенты, затем повторите тест на ipleak.net. Также проверьте, не использует ли браузер или устройство собственную настройку защищенного DNS.

Шаг 2. Отключите IPv6 или убедитесь в отсутствии утечки IPv6

Считайте эту конфигурацию OpenVPN на маршрутизаторе предназначенной только для IPv4, если вы явно не проверили, что созданный профиль и сборка DD-WRT направляют IPv6 через туннель. Автоматическая обработка IPv6 в официальных приложениях Windscribe не настраивает DD-WRT за вас.

1. В DD-WRT перейдите в Setup > IPv6. Название меню может зависеть от сборки.
2. Установите для IPv6 значение Disable, если этот профиль предназначен только для IPv4.
3. Нажмите Save, затем Apply Settings. Переподключите клиентские устройства, чтобы сбросить устаревшую конфигурацию IPv6.
4. Перейдите на ipleak.net и убедитесь, что у проверяемого клиента нет глобально маршрутизируемого IPv6-адреса интернет-провайдера. Локальный адрес канала, например fe80::/10, не маршрутизируется в интернете.

Если вам нужен IPv6, не полагайтесь на эту конфигурацию, пока не проверите созданный маршрут IPv6, путь DNS и поведение при разрыве туннеля на точной сборке DD-WRT.

Рисунок 4. Четыре независимые проверки состояния туннеля, публичного IP-адреса, DNS и IPv6. Успешное прохождение одной проверки не доказывает безопасность остальных.

Контрольный список завершения настройки

• Состояние OpenVPN отображается как CONNECTED SUCCESS или эквивалентное состояние успешного подключения в вашей сборке.
• Публичный IP-адрес проверяемого клиента не совпадает с адресом его интернет-провайдера и в целом соответствует выбранному региону VPN.
• Тест DNS не показывает неожиданных резолверов интернет-провайдера, а предполагаемый путь DNS подтвержден.
• У проверяемого клиента нет глобально маршрутизируемого IPv6-адреса интернет-провайдера в этой конфигурации только для IPv4.
• Устройства в сетях Wi-Fi, Ethernet, гостевых сетях, VLAN и сегментах с маршрутизацией по политикам, которые вы хотите защитить, используют ожидаемые маршруты.

Если проверки подключения и утечек пройдены, намеренно остановите туннель и подтвердите ожидаемую блокировку при сбое или переход в WAN-сеть, прежде чем полагаться на эту конфигурацию.

Переключение локаций серверов

1. Вернитесь в OpenVPN Config Generator и создайте новый профиль .ovpn для целевой локации.
2. Откройте новый профиль и запишите его значения remote, proto, cipher/auth, проверки сертификата, <ca> и <tls-auth>.
3. В DD-WRT перейдите в Services > VPN > OpenVPN Client.
4. Обновите в DD-WRT каждое изменившееся поле и блок. Если новый профиль отличается в других местах, не ограничивайтесь изменением Server IP/Name, Port и Tunnel Protocol.
5. Нажмите Save, затем Apply Settings.

Устранение неполадок

Состояние VPN — "CONNECTING" или "RECONNECTING"

• Убедитесь, что имя хоста сервера и порт в DD-WRT точно соответствуют строке remote в файле .ovpn, а Tunnel Protocol — строке proto.
• Убедитесь, что полное содержимое блоков <ca> и <tls-auth> скопировано без пропущенных строк. Сохраните направление ключа TLS.
• Если UDP заблокирован, создайте новый профиль TCP в OpenVPN Config Generator и заново сопоставьте все изменившиеся значения.
• Убедитесь, что дата и время маршрутизатора верны в Setup > Basic Setup или Status > Router. Неверное время приводит к сбою проверки сертификата OpenVPN.

VPN подключается, но трафик не идет через туннель

• Убедитесь, что NAT имеет значение Enabled в Advanced Options (часть 2, шаг 5).
• Убедитесь, что Firewall Protection имеет значение Enabled.
• Убедитесь, что Tunnel Device имеет значение TUN, а не TAP.
• Если в вашей сборке DD-WRT есть раздел маршрутизации по политикам, убедитесь, что никакие правила не исключают тестовое устройство и не направляют его в обход VPN-туннеля.

Учетные данные отклонены

• Учетные данные Windscribe OpenVPN отличаются от данных для входа в учетную запись. Вернитесь в OpenVPN Config Generator, используйте Step 2 и скопируйте их точно в указанном виде.

Тест утечки DNS по-прежнему показывает резолверы интернет-провайдера

• Перейдите в Services > Services в DD-WRT и убедитесь, что DNSMasq имеет значение Enable.
• Установите Use DNSMasq for DNS в значение Enable.
• Если этот маршрутизатор не принимает DNS, переданный сервером, задайте в качестве предполагаемого DNS маршрутизатора 10.255.255.1. Не считайте эту настройку DNS аварийным отключением.
• Нажмите Save, затем Apply Settings, при необходимости переподключите клиенты и повторите тест на ipleak.net.

WireGuard: более производительная альтернатива

Если ваша сборка DD-WRT поддерживает WireGuard, на маломощных маршрутизаторах он может работать быстрее OpenVPN. Найдите Setup > Tunnels. Если этого раздела нет, ваша сборка не включает WireGuard. Инструкции по настройке приведены в рекомендуемом руководстве Windscribe по WireGuard для DD-WRT.

Часто задаваемые вопросы

Нужен ли платный тариф для использования Windscribe на маршрутизаторе?

Да. Для ручных профилей маршрутизатора требуется подписка Pro или Build-A-Plan. Build-A-Plan позволяет создавать профили только для локаций, включенных в тариф; в тариф Free генератор конфигураций OpenVPN не входит.

Защищает ли эта конфигурация все устройства в моей сети?

Она охватывает устройства, которые используют этот маршрутизатор как шлюз в интернет, пока активен туннель OpenVPN, если другой маршрутизатор, VPN-приложение, гостевая сеть, VLAN или правило маршрутизации по политикам не направляет их иным путем. Без протестированных правил блокировки при сбое трафик может вернуться в обычную WAN-сеть при разрыве туннеля.

Официальные приложения Windscribe работают так же?

Нет. Официальные приложения включают Windscribe Firewall, автоматическое переключение протоколов при сбое и автоматическую обработку IPv6. Ручной профиль маршрутизатора не настраивает эти функции приложений. Фильтрация R.O.B.E.R.T. зависит от учетной записи и фактического использования DNS Windscribe маршрутизатором; проверьте путь DNS, а не предполагайте, что он настроен правильно.

Что произойдет, если VPN-туннель разорвется?

Без отдельно протестированных правил файрвола и маршрутизации, блокирующих трафик при сбое, типичная конфигурация DD-WRT с маршрутом по умолчанию может вернуть трафик в обычную WAN-сеть. Трафик приложений может по-прежнему использовать HTTPS или другое шифрование, но он больше не защищен VPN-туннелем, а внешний IP-адрес интернет-провайдера может быть раскрыт.

Поддерживает ли эта конфигурация DD-WRT OpenVPN передачу IPv6 через VPN?

Считайте ее предназначенной только для IPv4, если созданный профиль и ваша точная сборка DD-WRT явно не направляют IPv6 через туннель и не проходят тесты IPv6, DNS и разрыва туннеля. В противном случае отключите IPv6, как описано в части 4, на шаге 2.

Можно ли использовать статический IP-адрес с этой конфигурацией?

Да. В OpenVPN Config Generator выберите свой статический IP-адрес в поле Location / IP. Если появится запрос, выберите правильное устройство статического IP-адреса перед получением учетных данных.

Скорость с включенным VPN заметно ниже. Это нормально?

Да, на маршрутизаторах со старыми или маломощными процессорами. Шифрование OpenVPN интенсивно использует процессор. Если ваша сборка DD-WRT поддерживает WireGuard, этот протокол создает значительно меньшую нагрузку на оборудование.

Можно ли сменить локацию сервера, не повторяя всю настройку?

Да, но создайте новый профиль .ovpn и сравните каждое важное значение и встроенный блок. Не предполагайте, что достаточно изменить только имя хоста, порт и протокол.

Получите Windscribe

Для ручных профилей маршрутизатора требуется подписка Pro или Build-A-Plan. Build-A-Plan позволяет создавать профили только для локаций, включенных в тариф.

Все уже настроено, но что-то по-прежнему не работает? Сообщество Windscribe в Reddit и Discord сталкивалось практически со всеми возможными проблемами конфигурации маршрутизаторов.