Установка на свой роутер

Если у вас уже есть роутер с OpenWrt, коробку покупать не обязательно — KeyHole OS ставится на него одной командой.

Подойдёт ли ваш роутер

Проверять руками не нужно: установщик сам посмотрит и откажется ставить, если чего-то не хватает. Лучше честный отказ, чем роутер, который потом не загрузится.

Шаг 0. Проверьте, что у роутера есть интернет

Самая частая заминка, и не очевидная: интернет нужен самому роутеру, а не вашему компьютеру. Установщик скачивает движок VPN и базы доменов из репозитория OpenWrt, поэтому без выхода в сеть он не сработает.

ping -c 2 1.1.1.1

Идут ответы — можно ставить. Если пишет Network unreachable или ничего не приходит, интернета у роутера нет.

Как дать: воткните провод от домашнего роутера или от провайдера в разъём WAN — на большинстве моделей он отдельный и часто другого цвета. Свежая OpenWrt получит адрес сама.

Если провод протянуть некуда, роутер придётся подключить к домашней сети по Wi-Fi через LuCI: Network → Wireless → Scan → Join Network. Это несколько экранов и не самая приятная часть OpenWrt — в нашей прошивке ровно для этого сделан мастер, но чтобы её поставить, интернет уже нужен.

Шаг 1. Подключитесь к роутеру

С компьютера, который в одной сети с роутером:

ssh root@192.168.1.1

Адрес может отличаться — это тот же адрес, по которому вы заходите в настройки роутера. Пароль — от админки OpenWrt.

Шаг 2. Запустите установку

cd /tmp && wget https://keybox.it-phenix.ru/install.sh && sh install.sh

Команда намеренно без сокращённых ключей: в шрифте консоли латинская O и ноль похожи, и набранная от руки строка часто не срабатывает. Скрипт останется в /tmp — если понадобится, запустите его ещё раз командой sh /tmp/install.sh.

Установщик по шагам покажет, что делает:

1. проверит прошивку, память и свободное место;
2. поставит движок VPN и базы доменов из репозитория OpenWrt;
3. скачает агент KeyHole под вашу архитектуру и проверит контрольную сумму;
4. включит автозапуск и покажет код активации.

Шаг 3. Привяжите к подписке

После установки откройте в браузере http://keyhole.box — там будет код активации. Введите его в нашем Telegram-боте, и роутер получит доступ к VPN.

Адрес без номера порта

Коробка открывается по имени http://keyhole.box — цифры запоминать не нужно, и имя продолжает работать, даже если адрес роутера поменяется.

Одно условие: имени нужен порт 80, а на роутере с LuCI он занят веб-интерфейсом. Установщик это увидит и спросит, перенести ли LuCI на 8080. Согласитесь — KeyHole откроется по имени, а прежний интерфейс останется доступен по адресу http://адрес-роутера:8080. Откажетесь — всё будет работать, но заходить придётся по адресу с портом.

Если перенести не удалось, установщик вернёт всё как было сам: остаться без своего веб-интерфейса вы не подписывались.

Что дальше

Интерфейс KeyHole открывается по адресу роутера. Оттуда управляется всё: страна выхода, устройства, правила для сайтов, расход трафика.

• Устройства — кому идти через VPN, кому напрямую, кого отключить от интернета;
• Сайты — банки и госуслуги удобно держать напрямую, они не любят иностранные адреса;
• Обслуживание — обновления ставятся сами, перезагрузка на месте.

Если что-то пошло не так

Установщик отказался ставить

Он пишет причину прямым текстом: не хватает места, мало памяти, старая прошивка или неподдерживаемая архитектура. Первые два случая лечатся только другим роутером.

Интерфейс не открывается

Проверьте, что агент запущен:

/etc/init.d/keyhole-agent status
logread | grep keyhole-agent | tail -20

Роутер перестал открываться по прежнему адресу

KeyHole следит, чтобы его сеть не совпадала с сетью роутера, который стоит выше. Если совпадение нашлось, он переезжает на свободную подсеть — иначе трафик пошёл бы не туда и интернет бы пропал. Возможные новые адреса по порядку: 192.168.77.1, 192.168.88.1, 192.168.50.1.

Компьютер при этом остаётся со старым адресом и роутера не видит. Нужно получить новый:

ipconfig /release
ipconfig /renew

На macOS и Linux — переподключить кабель или Wi-Fi. Надёжнее всего адрес не угадывать, а открыть http://keyhole.local: это имя работает независимо от подсети.

ssh ругается: REMOTE HOST IDENTIFICATION HAS CHANGED

Роутер после сброса или перепрошивки создаёт себе новый SSH-ключ, а компьютер помнит прежний и показывает большое предупреждение про подмену. В этом случае это не взлом, а ожидаемое следствие — уберите старую запись:

ssh-keygen -R 192.168.1.1

Адрес подставьте тот, на который ругается. Дальше ssh спросит про новый ключ — отвечайте yes.

Нужно удалить KeyHole OS

/etc/init.d/keyhole-agent stop && /etc/init.d/keyhole-agent disable
/etc/init.d/keyhole-vpn stop && /etc/init.d/keyhole-vpn disable
rm -f /usr/sbin/keyhole-* /etc/init.d/keyhole-*
rm -rf /etc/keyhole
opkg remove xray-core v2ray-geosite

Домашняя сеть и настройки роутера при этом остаются нетронутыми.

Чем это отличается от коробки