OpenWrt, Keenetic и MikroTik: от файла до проверки трафика.
Инструкции сверены с документацией производителей. Работа на вашем роутере ещё требует проверки. Импорт файла и рукопожатие сами по себе не подтверждают защищённый доступ в интернет.
Перед началом
Подключитесь к роутеру локально, желательно кабелем. Сохраните резервную копию настроек в безопасном месте и убедитесь, что можете вернуть обычный интернет.
Проверьте дату и время роутера и действующий доступ в Fixik. Роутер занимает одно место в списке устройств.
В разделе экспорта создайте устройство, дождитесь подтверждения конфигурации узлом и скачайте файл для своей платформы. Приватный ключ хранится в файле: не отправляйте его в поддержку.
Конфигурация действует до даты, указанной в файле. Продление подписки не продлевает статический файл. Резервный адрес узла автоматически не переключается.
OpenWrt 24.10.x
Нужны WireGuard и LuCI: установите kmod-wireguard, wireguard-tools, luci-proto-wireguard через «Система → Программное обеспечение».
Скопируйте fixik-openwrt.sh в /tmp по защищённому соединению. Выполните локально на роутере sh /tmp/fixik-openwrt.sh, затем удалите файл из /tmp. Скрипт сохранит отключённый интерфейс fixik. Существующий интерфейс с таким именем и несохранённые изменения сети блокируют импорт.
Откройте «Сеть → Интерфейсы → fixik → Изменить». Проверьте адрес с маской, MTU, публичный ключ узла и IP endpoint. В настройках peer включите «Маршрутизировать разрешённые IP» только для выбранного VPN-сценария.
В «Сеть → Межсетевой экран» создайте отдельную зону для fixik: вход REJECT, выход ACCEPT, пересылка REJECT, IPv4 masquerading и MSS clamping включены; разрешите пересылку LAN → эта зона. NAT нужен, чтобы трафик LAN выходил с адреса, выданного роутеру в аренду.
Перед полным маршрутом сохраните маршрут к IP endpoint через WAN. Проверьте маршрут DNS Fixik через туннель. В «DHCP и DNS» используйте DNS из конфигурации; исключите DNS провайдера из выбранной политики. После смены адреса при обновлении файла перепроверьте эти настройки.
Сохраните и примените настройки, затем запустите интерфейс. Проверьте трафик по списку ниже. Не включайте автозапуск до этой проверки.
Для автоматического получения и перевыпуска аренды есть пакет fixik-client. Установщик и .ipk передаются на роутер вместе с доверенным SHA-256; одна команда установки: sh /tmp/fixik-install.sh /tmp/fixik-client.ipk SHA256. Замените SHA256 контрольной суммой пакета. Пакет не включает VPN или автозапуск. Затем задайте API и адрес кабинета, выполните fixik-client login и подтвердите код в кабинете. Настройка маршрутов и firewall остаётся отдельным шагом. Публичный выпуск пакета пока не подтверждён; не скачивайте его из случайных источников.
При использовании клиента настройка route_allowed_ips=1 задаётся в /etc/config/fixik. После проверки запустите сервис продления; отключение вручную требует сначала остановить и отключить сервис, иначе он снова поднимет интерфейс.
Откат: остановите сервис клиента, если он используется; выключите fixik, верните прежний DNS и LAN → WAN, удалите только созданные вами правила и интерфейс. Удалите устройство в Fixik, если доступ больше не нужен.
В «Управление → Общие настройки → Изменить набор компонентов» установите компонент WireGuard VPN. Доступность зависит от модели и прошивки.
В «Интернет → Другие подключения → WireGuard» выберите «Загрузить из файла» и fixik-keenetic.conf. Проверьте импортированные адрес, MTU, DNS, peer, IP endpoint и период keepalive.
Включите использование подключения для выхода в интернет. В «Приоритеты подключений» создайте отдельную политику с этим WireGuard-подключением и назначьте её сначала одному тестовому устройству.
Для защиты при обрыве у этой политики не должно быть резервного прямого WAN-подключения. Проверьте DNS этой политики отдельно: наличие поля DNS в файле не доказывает, что запросы выбранного устройства идут в туннель.
Включите подключение и проверьте рукопожатие, трафик, DNS и IPv6. Только после проверки добавляйте другие устройства в политику.
Откат: верните тестовое устройство в прежнюю политику, отключите WireGuard и удалите импортированный профиль. После истечения аренды скачайте новую конфигурацию, предварительно освободив место прежнего устройства; общего автоматического обновления здесь нет.
В WinBox включите Safe Mode и сохраните локальную резервную копию. Загрузите fixik-mikrotik.rsc в Files. Имя fixik должно быть свободным.
В терминале выполните /import file-name=fixik-mikrotik.rsc verbose=no. Файл содержит приватный ключ — не включайте verbose. Он создаёт отключённый интерфейс, peer и адрес; после импорта удалите файл из Files. Ошибка импорта может оставить часть объектов: проверьте их перед повтором.
В WireGuard проверьте MTU, peer, endpoint-address, endpoint-port, allowed-address и persistent-keepalive. Поле allowed-address само по себе не создаёт маршрут.
В IP → Routes сохраните host route к IP endpoint через шлюз WAN. Для тестового LAN-устройства создайте отдельную таблицу с VPN-маршрутом и Routing Rule с действием lookup-only-in-table. Исключите локальное управление из этого правила; проверьте правила FastTrack для выбранного трафика.
В IP → Firewall разрешите выбранный LAN → fixik и добавьте srcnat masquerade для выбранного LAN с out-interface=fixik. Не открывайте вход с туннеля. Настройте DNS с маршрутом через VPN; DNS-запросы самого роутера могут следовать другой таблице.
Включите интерфейс, проверьте Last Handshake, RX/TX и трафик LAN по списку ниже. Сохраните результат Safe Mode после проверки, иначе верните настройки.
Откат: выключите fixik, удалите только свои routing rules, VPN routes и NAT/filter rules, верните прежний DNS, удалите peer, адрес и интерфейс. Не удаляйте общие WAN-правила. Импорт стандартного .conf через wg-import зависит от версии RouterOS; предлагаемый файл .rsc использует отдельные команды RouterOS.
С тестового устройства в LAN проверьте свежесть рукопожатия и рост RX/TX, затем доступ к сайту по HTTPS. Сравните выходной адрес до и после включения; адреса и журналы с ключами не отправляйте в поддержку.
Проверьте DNS и отдельно IPv4/IPv6. IPv6 endpoint — только адрес внешнего соединения с узлом. Если внутри туннеля выдан только IPv4, нельзя считать IPv6 защищённым: заблокируйте прямой IPv6 для тестового сегмента до проверки двух семейств.
Для строгой политики отключите туннель и убедитесь, что защищаемое устройство теряет интернет, но локальное управление роутером доступно. Обычный WAN fallback допускает прямой трафик при обрыве.
Проверьте перезагрузку, истечение аренды и отзыв устройства. Сервер отзывает доступ; статический файл сам не удаляется. Автопродление есть только у установленного и работающего клиента OpenWrt, в пределах действующей подписки.
«Домашние сервисы напрямую», FXP и автоматическое переключение транспорта этим экспортом не предоставляются.
Если рукопожатия нет — проверьте время, срок аренды, endpoint, доступность UDP и маршрут через WAN. Есть рукопожатие, но нет LAN-трафика — проверьте маршруты, NAT и firewall. Адрес открывается, имя нет — проверьте DNS. Маленькие запросы работают, большие зависают — проверьте MTU/MSS.
