Amnezia VPN на OpenWrt постоянно переподключается: как проверить время, DNS и маршруты

Почему VPN на роутере уходит в переподключение

У OpenWrt и VPN на уровне роутера есть одна особенность: даже мелкая ошибка в базовой сетевой логике бьет сразу по всем устройствам за роутером. Из-за этого переподключение выглядит как проблема AmneziaWG или клиента Amnezia, хотя корень может быть в другом.

Для OpenWrt сама команда Amnezia рекомендует отдельные шаги по времени, маршрутам и параметру Route Allowed IPs при настройке AmneziaWG на роутере. В инструкции также указано, что для этой схемы нужен OpenWrt 23.05.0 или новее. Документация Amnezia по OpenWrt это прямо подтверждает.

Типичный сценарий выглядит так: туннель поднимается, затем роутер теряет возможность корректно резолвить адреса, сбивается путь до сервера времени, default route уходит не туда, или firewall не пропускает нужный трафик. После этого VPN пытается восстановиться, но получает новый цикл ошибок.

Что проверить в первую очередь

До глубокого разбора логов лучше пройтись по трем базовым узлам:

1. Убедиться, что на роутере корректные дата, время и часовой пояс.
2. Понять, какой DNS используется до поднятия VPN и после него.
3. Проверить, куда смотрит маршрут по умолчанию и есть ли отдельный маршрут до NTP-сервера.

Это не случайный набор. В актуальной инструкции Amnezia для OpenWrt отдельно показаны шаги с Time Synchronization, добавлением IP NTP-сервера и ручной настройкой двух маршрутов: один через WAN к серверу времени, второй через VPN для 0.0.0.0/0. Там же рекомендуется включить Route Allowed IPs для peer. Официальная инструкция Amnezia

Проверяем время и NTP

На OpenWrt ошибка времени — одна из самых недооцененных причин нестабильного VPN. Многие устройства с OpenWrt не имеют полноценного аппаратного RTC, поэтому после перезагрузки могут стартовать с неверной датой и ждать синхронизации по сети. Это отдельно отмечено в документации OpenWrt по NTP. Документация OpenWrt по NTP

Если после старта роутер не может достучаться до сервера времени, цепочка может ломаться так: система живет с неправильной датой, часть сетевых операций проходит некорректно, туннель поднимается нестабильно, а затем начинается цикл переподключений.

Что именно проверить

• Правильны ли дата, время и timezone в System → System.
• Включен ли NTP-клиент.
• Разрешается ли адрес сервера времени, если он указан доменным именем.
• Есть ли отдельный маршрут до NTP-сервера через WAN, а не через сам VPN.

Практический порядок

1. Откройте веб-интерфейс роутера и проверьте текущее время.
2. Если дата явно неверная, временно отключите автоподключение VPN и добейтесь нормальной синхронизации часов через WAN.
3. В разделе Time Synchronization задайте рабочий сервер времени. В инструкции Amnezia для OpenWrt показан пример с IP-адресом NTP-сервера, а не с доменным именем, что помогает обойти лишнюю зависимость от DNS на старте.
4. Проверьте, что маршрут до NTP-сервера идет через WAN.
5. После этого перезагрузите роутер и посмотрите, сохранилась ли стабильность соединения после холодного старта.

Если после ребута роутер сначала долго «думает», а потом VPN начинает дергаться, это очень похоже именно на проблему времени или стартовой доступности NTP.

Проверяем DNS на роутере и в туннеле

Вторая частая причина — DNS. Причем проблема может быть в трех местах сразу: в DNSMasq на самом OpenWrt, в DNS сервера VPN и в том, какой резолвер получает интерфейс туннеля после импорта конфига.

Amnezia в документации по OpenWrt отдельно упоминает настройку нестандартного DNS-сервера при импорте конфигурации. А в материалах по настройке протоколов есть опция блокировки DNS-запросов вне VPN, что полезно для приватности, но при неудачной схеме может осложнить диагностику. Точный набор параметров зависит от версии и выбранного протокола.

Признаки, что виноват DNS

• По IP сайты или сервисы открываются, а по домену — нет.
• Роутер показывает активный VPN, но приложения за ним периодически теряют доступ.
• После переподключения часть сайтов открывается, часть — зависает.
• В логике AI-сервисов это может выглядеть как бесконечная загрузка ответа, обрыв длинного диалога или ошибка получения данных, хотя корень не в самом сервисе.

Что сделать на практике

1. Проверьте, резолвит ли сам роутер домены без VPN и с включенным туннелем.
2. Если у вас импортирован конфиг AmneziaWG с отдельным DNS, убедитесь, что этот адрес доступен через текущую схему маршрутов.
3. Временно упростите схему: оставьте один предсказуемый DNS и проверьте, исчезают ли переподключения.
4. Если проблема проявляется только на публичном Wi‑Fi, мобильном резервном канале или у конкретного провайдера, не исключено, что ручная конфигурация слишком чувствительна к среде. В такой ситуации кнопка в начале страницы с официальным вариантом подключения может оказаться более предсказуемым сценарием для повседневной работы на разных устройствах.

Проверяем маршруты и метрики

Третья крупная группа причин — маршрутизация. Формально интерфейс VPN может быть поднят, но трафик может идти не туда: например, маршрут по умолчанию остается на WAN, а отдельные подсети уходят в туннель, либо наоборот — через VPN уходит даже служебный трафик, которому нужен прямой выход.

В инструкции Amnezia для OpenWrt есть конкретная схема: для NTP-сервера создается маршрут через wan с метрикой 1, а для 0.0.0.0/0 — маршрут через VPN-интерфейс с метрикой 20. Это как раз попытка развести служебный и основной трафик так, чтобы время не ломалось из-за самого туннеля. Также в peer нужно включить Route Allowed IPs. Эти детали важны именно для стабильности, а не только для первоначального запуска.

Что ломает маршруты чаще всего

• Несколько default route с непонятным приоритетом.
• Отсутствие отдельного маршрута до NTP-сервера.
• Неправильная метрика у WAN и VPN.
• Импорт нового конфига без повторной проверки Route Allowed IPs.
• Старые policy rules после экспериментов с другими VPN-клиентами.

Короткий чек-лист

Не забываем про firewall и forwarding

Даже корректные время, DNS и маршруты не спасут, если firewall собран неполно. В инструкции Amnezia для OpenWrt отдельно указаны создание firewall zone для VPN, включение masquerading и MSS clamping, а также разрешение forwarding из LAN в эту зону. Если один из этих элементов пропущен, вы можете получить странный набор симптомов: интерфейс активен, handshake есть, но трафик проходит нестабильно.

Особенно коварен случай, когда туннель визуально выглядит рабочим, но часть длинных соединений рвется. Пользователь замечает это как зависшие загрузки, обрывы звонков или потерю ответа в веб-сервисе, хотя корень на самом деле в сетевой обвязке роутера.

Порядок диагностики по шагам

Чтобы не метаться между десятком гипотез, удобнее идти сверху вниз.

1. Проверьте версию OpenWrt. Для текущей инструкции Amnezia нужен OpenWrt 23.05.0 или новее.
2. Проверьте точность времени сразу после перезагрузки роутера.
3. Отключите автоподъем VPN и добейтесь нормального выхода в интернет по WAN.
4. Убедитесь, что NTP-сервер доступен и маршрут к нему идет через WAN.
5. Проверьте DNS без туннеля и с туннелем.
6. Сверьте, что в peer включен Route Allowed IPs.
7. Проверьте default route, отдельные статические маршруты и метрики.
8. Проверьте firewall zone, forwarding, masquerading и MSS clamping.
9. Если недавно меняли конфиг, импортируйте его заново и удалите старый peer, чтобы не осталось конфликтующих записей.
10. После каждого изменения перезапускайте только один узел логики и смотрите, исчез ли цикл переподключения.

Такой порядок помогает понять, где именно рвется цепочка: на времени, на DNS, на маршруте или уже на firewall. Это быстрее, чем бесконечно менять сервер, протокол или ключи наугад.

Частые вопросы