Amnezia VPN на Keenetic подключается, но интернета нет: что проверить по шагам

Почему VPN подключен, а интернета нет

Такое поведение означает, что туннель поднялся хотя бы формально, но полезный трафик не проходит дальше. На практике это обычно выглядит так: в веб-интерфейсе Keenetic соединение активно, устройство получает Wi-Fi, мессенджеры или сайты не открываются, а иногда часть ресурсов работает, а часть — нет.

Для настройки Amnezia на Keenetic официальный сценарий у самой Amnezia завязан на поддержку роутером протокола AmneziaWG и на определенные требования к прошивке. В документации указано, что для подключения на роутере нужна поддержка AmneziaWG, а для Keenetic рекомендована прошивка 4.2 или новее; при этом для KeeneticOS 5.0.8 и ниже отдельно оговариваются сторонние решения для конфигов AmneziaWG 1.5/2.0. Это важно, потому что часть проблем возникает именно на стыке версии KeeneticOS, типа конфига и способа маршрутизации. официальная инструкция Amnezia для Keenetic

Если говорить проще, типовые причины такие:

• роутер использует неподходящий DNS или продолжает брать DNS провайдера;
• на клиентских устройствах или на самом роутере остается активным IPv6, а VPN ведет только IPv4-трафик;
• устройства попали не в ту политику доступа;
• в политике VPN включено не то подключение или неверный приоритет;
• маршруты по доменам или IP заданы с ошибками;
• на телефоне, ПК или в браузере прописан собственный DNS, который ломает схему;
• используется конфиг, не подходящий текущей версии KeeneticOS или конкретной реализации AmneziaWG.

Что проверить в первую очередь

Перед тонкой настройкой не стоит сразу переустанавливать всё с нуля. Сначала проверьте базовые вещи:

1. Откройте интерфейс Keenetic и убедитесь, что VPN-подключение действительно активно, а не просто сохранено в конфигурации.
2. Проверьте, есть ли интернет у самого роутера без VPN. Если без туннеля сеть тоже нестабильна, причина не в Amnezia.
3. Посмотрите, проблема на одном устройстве или на всех. Если только на одном, часто виноват локальный DNS, Private DNS на Android, безопасный DNS в браузере или старый сетевой профиль.
4. Выясните, не работает вообще всё или только часть сайтов. Частичная недоступность чаще указывает на маршруты, DNS или смешение IPv4/IPv6.
5. Сравните текущую схему с официальной инструкцией и проверьте, не использован ли старый конфиг на новой логике маршрутизации.

Таблица быстрой диагностики

DNS и IPv6: самая частая причина

У Amnezia в инструкции для Keenetic первым шагом отдельно вынесена настройка DNS. Там рекомендуют добавить публичные DNS-серверы, а также в параметрах интернет-подключения включить игнорирование DNSv4 провайдера и отключить IPv6. Это не случайность: именно смешение провайдерского DNS, пользовательского DNS на устройствах и активного IPv6 чаще всего дает ситуацию, когда соединение поднято, но сайты не открываются или открываются выборочно. документации Amnezia

Что проверить по DNS

• В Keenetic добавлены рабочие DNS-серверы.
• Для основного интернет-подключения включено игнорирование DNS провайдера, если эта опция доступна.
• На устройствах не включен свой DNS поверх роутера.
• В браузере не активирован отдельный защищенный DNS, который уводит запросы мимо схемы роутера.
• В приложениях типа блокировщиков рекламы нет собственного DNS-профиля.

Что проверить по IPv6

Если туннель и правила настроены под IPv4, а устройство параллельно пытается ходить по IPv6, получается ощущение “интернет есть, но не работает как надо”. В официальной инструкции Amnezia для Keenetic отдельно предлагается выставить для IPv6 режим “Не используется”. Если после отключения IPv6 доступ восстановился, значит проблема была именно в разъезде маршрутов между двумя стековыми схемами. Это особенно заметно на некоторых смартфонах и ноутбуках, где часть приложений охотно уходит в IPv6 при первой возможности.

Политики доступа и порядок подключений

На Keenetic важна не только сама VPN-конфигурация, но и то, как она встроена в политики доступа. В старой пошаговой инструкции Amnezia для Keenetic отдельно указано, что в политике по умолчанию VPN-подключение должно идти ниже основного интернет-подключения, а для устройств, которые должны идти только через туннель, создается отдельная политика. При этом в такую политику можно включить только VPN-подключение, чтобы снизить риск утечки трафика. пояснения в инструкции AmneziaWG 1.0 для Keenetic

Отсюда вытекают две частые ошибки:

• устройства физически не переведены в нужную политику, хотя VPN уже создан;
• в политике задан такой порядок подключений, при котором трафик уходит не туда, куда вы рассчитывали.

Если вы строили схему давно и потом обновляли прошивку, особенно полезно проверить всё заново: имя подключения могло остаться прежним, а логика маршрутизации уже отличается.

Маршруты и выборочная отправка трафика

Если вы настроили не полный туннель, а выборочную схему для отдельных доменов, сервисов или подсетей, вероятность ошибки заметно выше. В инструкции Amnezia для Keenetic есть ограничения по объему таких списков: для доменов и маршрутов нужно укладываться в определенные пределы, иначе часть правил не применится как ожидается. Там же отдельно отмечено, что на устройствах надо отключить пользовательский DNS, включая Private DNS на Android, безопасный DNS в браузерах и собственные DNS-профили в приложениях.

Практический вывод простой: если после тонкой маршрутизации интернет пропал, сначала временно упростите схему. То есть проверьте работу при полном выводе нужных устройств через VPN без доменных исключений и дополнительных списков. Если в таком режиме всё заработало, значит туннель живой, а проблема именно в маршрутах.

Ручная маршрутизация хороша, когда нужно контролировать детали. Но если задача — получить стабильное подключение на разных устройствах без возни с файлами маршрутов, логичнее рассматривать кнопку в начале страницы как более предсказуемый официальный сценарий.

Пошаговый порядок исправления

Ниже — безопасный порядок, который обычно помогает быстрее, чем бессистемные эксперименты.

1. Сделайте резервную копию конфигурации Keenetic.
2. Проверьте, что интернет без VPN работает стабильно на самом роутере и на устройствах.
3. Убедитесь, что версия KeeneticOS соответствует выбранной инструкции и вашему типу конфига.
4. Проверьте настройки DNS на роутере: добавьте рекомендованные DNS, отключите использование DNS провайдера, если это предусмотрено вашей схемой.
5. Отключите IPv6 в интернет-подключении роутера, если текущий сценарий рассчитан на IPv4-маршрутизацию через туннель.
6. На проблемном устройстве отключите Private DNS, безопасный DNS в браузере и сторонние DNS-профили.
7. Временно уберите сложные маршруты по доменам и IP. Оставьте только базовый рабочий туннель.
8. Проверьте политику доступа: действительно ли устройство или сегмент переведены в нужную политику.
9. Проверьте порядок подключений в политике. Если нужен только туннель — не оставляйте случайно вторым активным путем обычный интернет, если это ломает вашу задачу.
10. Если соединение выглядит активным, но трафик не идет, пересоздайте конфигурацию по актуальной инструкции и импортируйте ее заново.
11. Если проблема появилась после старой настройки self-hosted-сервера, проверьте, не используете ли вы неподходящую версию AmneziaWG для текущего сценария Keenetic.

Когда лучше пересоздать конфиг, а не чинить старый

• после обновления прошивки Keenetic;
• после смены типа протокола или сервера;
• если конфиг собирался по старой инструкции;
• если часть параметров менялась вручную и уже неясно, что именно редактировали;
• если VPN то работает, то перестает пропускать трафик без понятной закономерности.

По документации Amnezia, в некоторых сценариях для self-hosted на Keenetic нужен именно вариант AmneziaWG Legacy, а наличие или отсутствие параметров вроде I1, S3 и S4 влияет на то, какой файл конфигурации вообще подходит. Это как раз тот случай, где не стоит полагаться на старые заметки из чатов: точный состав параметров зависит от вашей схемы и версии. актуальная инструкция по настройке Keenetic

Частые вопросы