NAT и доступ

Уровень: Расширенный Где в UI: Серверы → Настройки доступа

Панель Настройки доступа на карточке сервера определяет, куда клиенты сервера могут попасть: в интернет, в локальную сеть, через sing-box. Набор настроек зависит от типа сервера.

Настройка	Управляемый	Встроенный / Системный
NAT	три режима	тумблер вкл/выкл
Доступ в LAN	есть	нет
Маршрутизация через sing-box	есть	есть
Политика доступа	есть	есть
Endpoint клиентов	в окне Настройки	поле на панели

NAT

У управляемого сервера — переключатель из трёх режимов:

Полный — клиент выходит в интернет с внешним IP роутера, а в локальной сети виден не как отдельное устройство, а как сам роутер. Самый совместимый режим, включается при создании сервера.
Интернет — в интернет клиент выходит с внешним IP, но в LAN виден со своим VPN-адресом: к нему можно обращаться напрямую, как к обычному устройству сети.
Без NAT — подмены адреса нет: клиент виден в LAN со своим VPN-адресом, выхода в интернет у него нет (если трафик не заворачивается через sing-box).

У встроенного и системного сервера вместо режимов — тумблер NAT: включён — клиенты выходят в интернет через NAT роутера, выключен — напрямую в интернет не выходят.

Доступ в LAN

Только у управляемого сервера. Выбор сегментов локальной сети (Home, Guest и другие), которые доступны клиентам этого сервера. «Не выбрано» — клиенты сервера в локальную сеть не попадают.

Под капотом awg-manager создаёт на интерфейсе сервера список доступа AWGM_<интерфейс>, который разрешает трафик из VPN-подсети (и из сетей за клиентами) к выбранным сегментам.

Если к интерфейсу уже привязан чужой список доступа (например, созданный в веб-интерфейсе Keenetic), на панели появится предупреждение «К интерфейсу привязан посторонний список доступа». awg-manager его не трогает, но такой список срабатывает раньше выбора сегментов и может открыть клиентам больше, чем выбрано — проверьте его в настройках роутера.

Маршрутизация через sing-box

Тумблер заворачивает весь трафик клиентов сервера в Sing-box Router — дальше он маршрутизируется правилами sing-box (например, через внешний прокси).

Последствия, о которых предупреждает сам интерфейс: в режиме FakeIP DNS-запросы клиентов перехватываются резолвером туннеля, растёт нагрузка на процессор, у клиентов не работает ping (ICMP), а при остановленном sing-box клиенты остаются без сети.

При включённом тумблере режим NAT для интернета перестаёт действовать и влияет только на видимость клиентов в LAN — интерфейс покажет это предупреждением.

Тумблер виден с уровня Расширенный, но сам Sing-box Router настраивается на уровне Продвинутый — без настроенного маршрутизатора включать его бессмысленно.

Политика доступа

Выпадающий список: Политика по умолчанию или одна из политик роутера (Policy0, Policy1, … с описанием). Политика регулирует выход клиентов в интернет и применяется ко всем клиентам сервера сразу. Если выбранную политику удалили на роутере, она отображается как «(отсутствует)». Подробнее о политиках — Политики доступа.

Endpoint клиентов

Адрес, который попадёт в строку Endpoint конфигов клиентов.

Управляемый сервер — поле Endpoint в окне Настройки; пусто — используется внешний IP роутера.
Встроенный и системный — поле Endpoint клиентов прямо на панели (хост без порта; сохраняется по Enter или при уходе с поля, Esc отменяет). Если поле пустое, подставляется имя KeenDNS — но только когда для него настроен прямой доступ; иначе используется внешний IP роутера.

Порт в конфиг всегда берётся из настроек сервера.

Создание сервера Клиенты