Управление туннелями

Главная страница разбита на вкладки AWG / Sing-box туннели / Sing-box подписки; здесь описана первая. Каждый туннель представлен карточкой с полной информацией и быстрыми действиями; вид списка переключается (карточки / компактный / таблица), есть поиск и экспорт всех конфигураций одной кнопкой. Для тонкой настройки существует отдельная страница редактирования.

Эта страница описывает AmneziaWG-туннели. Для туннелей sing-box (VLESS / Trojan / Shadowsocks / Hysteria2 / NaiveProxy / Mieru) — отдельный раздел Sing-box.

Карточка туннеля

Карточка показывает:

• Имя и статус — цветная рамка подсказывает текущее состояние (зелёная — работает, красная — остановлен, жёлтая — переходное состояние, серая — выключен)
• Тумблер вкл/выкл — быстрый старт и остановка
• Сервер и порт — с кнопкой “показать” (по умолчанию скрыты для приватности)
• IPv4 / IPv6 — адрес интерфейса туннеля
• Подключение (ISP) — через какой WAN роутера работает туннель
• Uptime и handshake — при запущенном туннеле
• Задержка — результат проверки связности рядом с индикатором состояния; кнопка рядом запускает проверку сразу, шестерёнка — её настройки

Статусы (LED индикатор)

Цветной индикатор на карточке показывает текущее состояние туннеля одним взглядом:

Цвет	Состояние	Подпись в UI
Зелёный	Работает штатно, связность есть	—
Оранжевый	Работает, но есть проблемы со связностью (мониторинг восстанавливает) или сломан	Восстановление (попытка N) / Сломан
Жёлтый (пульсирует)	Переходное состояние — запускается или останавливается	Запуск... / Ожидает запуска / Остановка...
Серый	Выключен пользователем, отключён в настройках, или ещё не создан	—

Для жёлтых и оранжевых состояний awg-manager выводит короткую подпись под индикатором. Для зелёного и серого — индикатор говорит сам за себя.

Действия на карточке

Внизу карточки три кнопки:

• Изменить → страница редактирования (см. ниже)
• Тест → окно тестирования туннеля (см. Инструменты на карточке)
• Удалить → подтверждение → туннель удаляется вместе с интерфейсом и конфигом (что ещё происходит и что может помешать — см. Удаление)

Инструменты на карточке

Тест

Кнопка Тест открывает окно AWG тестирование: <имя туннеля> (у sing-box-туннелей и подписок — аналогичное).

Тест скорости — замер через туннель с помощью iperf3: пинг, затем загрузка и отдача по 10 секунд; итог — скорость загрузки и отдачи и число ретрансмитов. Сервер iperf3 выбирается из списка или задаётся вручную (тумблер Свой, хост:порт, порт по умолчанию 5201); по ссылке «Публично доступные серверы iperf3» — список открытых серверов. Тест скорости доступен только на Keenetic OS 5.x; для sing-box-туннеля нужен включённый NDMS Proxy для sing-box туннелей в Настройках.

Блок Дополнительные проверки (раскрывается кликом):

• Проверка соединения — есть ли доступ в интернет через туннель, и с какой задержкой;
• Проверка IP — сравнивает внешний IP напрямую и через туннель с помощью выбранного сервиса (или своего). «IP изменился — туннель работает!» значит, что трафик действительно идёт через VPN.

Проверка связности

Шестерёнка рядом с задержкой на карточке открывает Проверку связности — как awg-manager определяет, что туннель доносит трафик, и что показывать в поле задержки:

• HTTP 204 (интернет) — запрос к connectivitycheck.gstatic.com через туннель (по умолчанию). Требует выхода в интернет через туннель;
• Ping IP — ICMP до указанного адреса; по умолчанию — адрес .1 из подсети туннеля (обычно шлюз на стороне сервера). Удобно для туннелей без выхода в интернет;
• Выключено — проверка не выполняется, индикатор задержки скрыт.

Это не то же самое, что мониторинг с автоперезапуском: проверка связности только показывает состояние, а перезапуском туннеля управляет мониторинг.

График трафика

Под действиями запущенного туннеля — мини-график скорости приёма и передачи. Клик по нему открывает окно с подробным графиком: периоды 5 мин, 10 мин, 30 мин, 1 ч, 3 ч, 6 ч, 12 ч, 24 ч, итоги за период (Трафик, Пик, Средняя) и текущие скорости приёма и передачи. График есть у AWG-, системных и sing-box-туннелей и у подписок.

Редактирование туннеля

Кнопка Изменить открывает страницу редактирования с четырьмя вкладками. Вверху страницы — кнопки:

• Заменить — заменить конфигурацию (см. ниже)
• Скачать — экспортировать текущий .conf (например, чтобы импортировать на другом клиенте)
• Сохранить — сохранить изменения без перезапуска
• Сохранить и запустить (для работающего туннеля — и перезапустить) — сохранить и сразу применить

Вкладка “Основное”

• Название — произвольная метка для вашего удобства
• Интерфейс [Interface]:
  • IPv4 / IPv6 адрес (с маской) — адрес туннеля на стороне клиента. С 2.16.0 указанная маска (например /24) доезжает до NDMS как connected-маршрут на туннельную подсеть (раньше молча заменялась на /32); адрес без маски по-прежнему получает /32. Маска задаёт только маршрут — что реально пропустит WireGuard, определяет AllowedIPs пира.
  • MTU — размер пакета (по умолчанию 1420 для WireGuard)
  • DNS — DNS-серверы через запятую, применяются на роутере при старте
• Сервер [Peer]:
  • Публичный ключ сервера (read-only)
  • Endpoint — host:port сервера. IPv6-адрес указывается в квадратных скобках: [2001:db8::1]:51820 — с 2.16.0 такой endpoint работает и у NativeWG-туннелей на прошивках без нативного ASC (обфускация через awg_proxy); голая запись 2001:db8::1:51820 отклоняется с ошибкой
  • AllowedIPs — какие подсети маршрутизируются в туннель
  • Keepalive — интервал в секундах для поддержания соединения за NAT

Для туннеля в статусе running в режиме kernel адрес интерфейса нельзя изменить — остановите туннель, внесите правку, запустите заново.

Вкладка “Обфускация”

Расширенные параметры AmneziaWG, сгруппированы по функции:

• Junk пакеты (Jc, Jmin, Jmax) — фейковые пакеты перед handshake, сбивают анализ трафика. Jc — количество пакетов, Jmin/Jmax — диапазон размера.
• Padding (S1–S4) — дополнительные байты в handshake-пакетах. Меняют размер WireGuard-пакетов, чтобы они не совпадали со стандартными сигнатурами.
• Заголовки (H1–H4) — подмена типов пакетов WireGuard на произвольные числовые значения.
• Signature пакеты (I1–I5) — пять initiation-пакетов, маскирующих соединение под QUIC / DTLS / STUN / DNS (AmneziaWG 1.5).

С настройками сервера обязательно должны совпадать только:

• Padding (S1–S4) — меняют размер handshake-пакетов, обе стороны должны генерировать пакеты одинаковой длины
• Заголовки (H1–H4) — стороны должны одинаково интерпретировать типы пакетов

Junk пакеты (Jc/Jmin/Jmax) и Signature пакеты (I1–I5) на стороне клиента независимы от сервера — меняйте их свободно под свои нужды (маскировка под разные протоколы, количество noise-пакетов).

AmneziaWG 3.0

С 2.16.4 на этой же вкладке появляется секция AmneziaWG 3.0 — семь параметров ядра, которых нет в предыдущих версиях протокола:

• HeaderProtectionKey — base64-ключ шифрования заголовка WireGuard (ChaCha20 в обе стороны). Самая сильная из доступных мер против DPI: заголовок перестаёт быть узнаваемым в принципе, а не маскируется под другой протокол.
• ContentPaddingAddition — добавка к длине полезной нагрузки, чтобы размеры пакетов не складывались в узнаваемый профиль.
• RekeyAfterTime, RekeyTimeout, RejectAfterTime, KeepaliveTimeout, MaxHandshakeAttempts — базовые тайминги протокола. В обычном WireGuard они фиксированы и сами по себе выдают соединение ритмом обмена.

Тайминги и паддинг задаются числом или диапазоном min-max (в секундах) — из диапазона устройство берёт случайное значение на каждый взвод таймера. Пустое поле означает значение по умолчанию. Диапазон принимает и Keepalive на вкладке «Основное»: запись вида 22-30 допустима для kernel-туннелей.

Где работает AWG 3.x

Режим	Что доступно	Что учесть
Kernel	все параметры 3.0 / 3.1	нужен загруженный модуль ядра 3.x
NativeWG, KeeneticOS 5.02.A.11+	все параметры 3.0 / 3.1	прошивка поддерживает их сама; параметры передаются роутеру при импорте и при каждом запуске туннеля
NativeWG, прошивки старше	только HeaderProtectionKey и случайные хвосты 3.1	работает через модуль awg_proxy; тайминги и ContentPaddingAddition — только в kernel. Для AWG 3.x рекомендуется kernel

Проверяется именно загруженный модуль, а не тот, что лежит в поставке: модуль 1.x не отвергает новые параметры, а молча их игнорирует — настройки выглядели бы применёнными, хотя работал бы AWG 2.0.

Параметры AWG 3.x попадают в экспортируемый .conf, распознаются при импорте и учитываются анализатором конфига (бейдж awg3). Готовый .conf от провайдера с этими полями импортируется как обычно — отдельных действий не требуется.

Вкладка “Маршрутизация”

• Подключение (ISP) — к серверу VPN роутер будет подключаться:
  • Автоматически (по умолчанию) — через основной интернет-канал
  • Через конкретный WAN-интерфейс из списка (полезно при нескольких провайдерах / LTE-резерве)
  • Через другой туннель — каскад: соединение с сервером этого туннеля само пойдёт внутри другого туннеля
  • Переключатель Показать все интерфейсы показывает также внутренние интерфейсы роутера — обычно не нужно
• Маршрут по умолчанию (NDMS Default Route) — регистрирует туннель среди интернет-выходов NDMS (ip route default с метрикой): только с этой записью туннель участвует в политиках доступа и может претендовать на роль основного выхода. В большинстве случаев тумблер должен быть включён.

Вкладка “Анализ конфига”

Встроенный анализатор конфигурации: показывает текущий .conf туннеля (или любой вставленный текст), определяет версию протокола (WireGuard / AWG 1.0 / 1.5 / 2.0 / 3.0 / 3.1 — у AWG 3.x header protection оценивается как самая сильная защита от DPI), выставляет балл защиты и подсказывает, как усилить обфускацию (например, добавить I1 для мимикрии под живой протокол). Анализ выполняется на самом роутере — конфиг никуда за его пределы не отправляется. Тот же инструмент доступен в Инструментах.

Замена конфигурации

Если провайдер прислал обновлённый .conf (сменились ключи, endpoint, обфускация), не обязательно удалять туннель и создавать заново. Кнопка Заменить на странице редактирования открывает модалку, куда можно подать новый конфиг тремя способами (те же, что при создании): Файл / Вставить текст / Ссылка.

Туннель будет остановлен, переконфигурирован и запущен автоматически. Все правила маршрутизации (DNS-правила, политики доступа) сохраняются — меняется только конфигурация WireGuard.

Удаление

Кнопка Удалить на карточке → подтверждение. Удаление необратимо.

Сначала уберите туннель из sing-box. Если туннель используется в конфигурации sing-box, удаление не выполнится: появится окно Удаление невозможно со списком мест, где он указан. Уберите туннель оттуда и повторите удаление. Мешают:

• правила Sing-box Router (включая FakeIP);
• составные outbound’ы — туннель в числе участников или выбран по умолчанию;
• маршрут по умолчанию роутера (route.final);
• DNS-серверы, наборы правил и HTTP-клиенты, которые ходят через этот туннель (detour);
• селектор прокси для устройств.

Что awg-manager делает сам при удалении:

• останавливает мониторинг (у NativeWG — удаляет профиль ping-check);
• убирает туннель из целей DNS-маршрутизации — сами списки доменов остаются;
• снимает IP-маршруты туннеля с роутера — списки остаются, но без привязки к туннелю;
• удаляет правила VPN для устройств этого туннеля;
• останавливает туннель, удаляет интерфейс с роутера и конфиг.

Правила HydraRoute Neo, где указан этот туннель, автоматически не меняются — проверьте их после удаления.

Если туннель нужно временно отключить — используйте тумблер на карточке, а не удаление.

Системные туннели

Туннели, созданные через веб-интерфейс Keenetic (NativeWG), тоже видны в списке — с бейджем Системный. awg-manager ими не управляет: запуск, адреса и ключи остаются за веб-интерфейсом роутера. Единственное, что можно редактировать на странице системного туннеля, — параметры обфускации ASC (AmneziaWG поверх NativeWG): Junk, Padding, заголовки, на прошивках 5.1+ — расширенный набор. Это позволяет включить обфускацию у штатного туннеля Keenetic, не пересоздавая его в awg-manager.

Если системный интерфейс на самом деле работает как сервер (к нему подключаются другие устройства), кнопка В серверы на карточке переносит его в раздел Серверы.

Что дальше?

• DNS-маршрутизация — маршруты для конкретных сайтов через этот туннель
• Мониторинг — автоматический перезапуск при падении связности
• Политики доступа — привязать устройства к туннелю