VPN на OpenWRT через PassWall2: пошаговая настройка VLESS Reality

На форуме нас часто просят именно про PassWall2 — не у всех прижился homeproxy, кому-то ближе xray-core и подробные правила в LuCI. Разбираем весь путь: добавление репозитория PassWall, установку пакета, добавление ноды по VLESS-ключу и настройку маршрутизации, где Россия идёт напрямую, а зарубежные сервисы — через ноду. И честно — про риски перепрошивки.

PassWall2, homeproxy или OpenClash — что выбрать

Все три — это надстройки над OpenWRT, которые добавляют в роутер прокси-клиент и веб-интерфейс. Для VLESS Reality подходит любая, разница в ядре и привычках:

• PassWall2 — работает через xray-core (то же ядро, что и в десктопных клиентах), даёт подробный контроль над нодами и правилами. Удобно, если вы привыкли к Xray и хотите максимально «прозрачную» настройку VLESS.
• homeproxy — ядро sing-box, предустановлен в сборке ImmortalWrt. Самый быстрый старт, если у вас уже стоит ImmortalWrt. Разбор — в гайде по OpenWRT через homeproxy.
• OpenClash — ядро Clash/Mihomo, силён в YAML-конфигах и больших наборах правил. Логичен, если вы уже живёте в экосистеме Clash.

Если коротко: на чистом OpenWRT, где хочется именно xray и поштучный контроль над нодами, PassWall2 — отличный выбор. Дальше — по шагам.

Кому подходит этот путь

• У вас уже роутер на OpenWRT (или GL.iNet) — перепрошивка не нужна, сразу добавляем репозиторий и ставим PassWall2.
• Есть Xiaomi/TP-Link с достаточным объёмом флеш-памяти, который не жалко, и вы готовы аккуратно прошить — бюджетный путь к быстрому VLESS на весь дом.
• Любите контроль — связка OpenWRT + PassWall2 + xray даёт самую гибкую маршрутизацию.

Шаг 0. Получите ссылку для роутера

Это первый и самый важный шаг — без него потом будете час ловить «пустой конфиг». Как и на любом роутерном клиенте, обычная ссылка подписки из мобильного приложения здесь не сработает: ключи привязаны к устройству (защита от копирования), а роутерный клиент идентификатор устройства не передаёт. Поэтому он получает пустой конфиг и ноды не подтягиваются.

Шаг 1. Проверьте совместимость и прошейте (если нужно)

Если у вас уже OpenWRT или GL.iNet — пропустите этот шаг и переходите к репозиторию. Если роутер пока стоковый:

1. Найдите вашу модель в firmware selector OpenWRT или в таблице поддерживаемых устройств. Сверьте точную аппаратную ревизию платы — это критично.
2. Убедитесь, что у роутера хватает флеш-памяти и RAM: PassWall2 вместе с xray-core занимает заметно больше места, чем стоковая прошивка. На устройствах с 8–16 МБ флеш может банально не хватить места под пакеты.
3. Скачайте сборку именно под вашу модель и ревизию. Помните: factory-образ — для первой прошивки со стоковой системы, sysupgrade — для обновления уже прошитого OpenWRT.
4. Прошейте по инструкции для вашей модели (через стоковый веб-интерфейс, TFTP или recovery — зависит от устройства).

Шаг 2. Добавьте репозиторий PassWall

PassWall2 не входит в стандартные репозитории OpenWRT — пакеты лежат в отдельном фиде, который нужно подключить и подписать ключом. Зайдите в роутер по SSH (или используйте терминал в LuCI) и выполните команды из официальной инструкции PassWall: импорт публичного ключа репозитория и добавление строки фида под архитектуру вашего роутера.

После добавления репозитория обновите списки пакетов:

opkg update

Если opkg update ругается на подпись — значит, ключ репозитория не импортирован или импортирован не тот. Вернитесь к шагу с ключом.

Шаг 3. Установите PassWall2 и xray-core

Теперь ставим сам пакет с веб-интерфейсом. Вместе с ним подтянутся зависимости, включая ядро xray-core, которое и отвечает за VLESS Reality:

opkg install luci-app-passwall2

1. Если менеджер пакетов не подтянул ядро автоматически, поставьте его явно: opkg install xray-core.
2. Дождитесь окончания установки. Если видите ошибку про нехватку места — у роутера слишком маленькая флеш-память, см. Шаг 1.
3. Перезагрузите страницу LuCI. В меню Services появится пункт PassWall2.

Тем, кто предпочитает не трогать SSH, после добавления репозитория можно установить пакет через System → Software в веб-интерфейсе: обновить списки и найти luci-app-passwall2 в поиске.

Шаг 4. Добавьте ноду (вставьте VLESS-ключ)

Это место, где пригодится ссылка/ключ из Шага 0.

1. Откройте Services → PassWall2 в LuCI.
2. Перейдите в раздел со списком нод (Node List / «Узлы»).
3. Вариант А — вставить ключ: добавьте новую ноду и вставьте полученный от поддержки vless://… — PassWall2 разберёт адрес сервера, порт и параметры Reality автоматически.
4. Вариант Б — импортировать подписку: на вкладке подписок вставьте ссылку подписки для роутера и нажмите обновить — ноды (Frankfurt, Amsterdam, Helsinki и т.д.) подтянутся списком.
5. Проверьте, что у ноды указан протокол VLESS, поток (flow) и тип безопасности Reality — обычно при импорте всё подставляется само.

Шаг 5. Включите проксирование и выберите сервер

1. В основном разделе PassWall2 выберите добавленную ноду как основной узел (Main node).
2. Включите PassWall2 (Enable) и сохраните-примените (Save & Apply).
3. Подождите 10–20 секунд, пока поднимется соединение, и проверьте с устройства за роутером: сайт проверки IP должен показать страну ноды.
4. В PassWall2 есть встроенная проверка нод (ping/тест соединения) — удобно выбрать самую быструю.

Шаг 6. Настройте правила: РФ напрямую

Главное преимущество роутера на OpenWRT — гибкая маршрутизация. Незачем гнать через ноду весь трафик: российские сервисы, банки и Госуслуги работают быстрее и без претензий, когда идут с домашнего IP. PassWall2 это умеет «из коробки».

1. Откройте раздел правил маршрутизации (Rule List / «Правила»).
2. Подключите готовые гео-списки (geosite/geoip): категорию ru/cn и приватные сети заверните в прямой маршрут (Direct).
3. Остальной трафик отправьте через выбранную ноду (Proxy).
4. Сохраните и примените.

Принцип такого разделения подробно — в разборе раздельного туннелирования.

Если не работает

• Ноды не подтянулись / «пустая» подписка. Вы использовали обычную ссылку вместо ссылки для роутера. Вернитесь к Шагу 0 и запросите ключ для роутера.
• opkg ругается на подпись или не находит пакет. Не добавлен (или добавлен неверно) репозиторий/ключ PassWall, либо фид не соответствует архитектуре. Перепроверьте Шаг 2.
• Нет интернета после включения. Выключите PassWall2 и примените — связь вернётся. Скорее всего, в правила не попали исключения для локальной сети, либо нода недоступна.
• Низкая скорость. Упирается в CPU роутера. На слабом железе VLESS даёт 30–50 Мбит — шифрование считает процессор. См. какой роутер тянет VPN.
• После перепрошивки роутер не включается. Используйте recovery-режим вашей модели (часто — зажать reset при включении и залить образ через TFTP).

Сколько это стоит у «впринципе»

Роутер для подписки — это одно устройство, которое покрывает весь дом: все телефоны, ноутбуки и ТВ за ним выходят через ноду без отдельной настройки. Тарифы:

• 269 ₽ / 649 ₽ / 999 ₽ / 1799 ₽ / 3899 ₽ — в зависимости от срока.
• 3 устройства включено, до 5 — за 100 ₽/мес. Роутер считается как одно устройство.
• 6 серверов, протокол VLESS Reality.
• Возврат в течение 24 часов, если что-то не подошло.

Короткое резюме

• PassWall2 — пакет для OpenWRT с веб-интерфейсом LuCI, через ядро xray-core поддерживает VLESS Reality
• Установка: репозиторий PassWall → opkg update → luci-app-passwall2 + xray-core
• Нода добавляется вставкой vless://-ключа или импортом подписки
• Для роутера нужна отдельная ссылка/ключ — запросите в поддержке, обычная подписка отдаёт пустой конфиг
• Гео-маршрутизация (РФ напрямую) решает проблему банков и Госуслуг
• Перепрошивка несёт риск «окирпичивания» — не уверены, берите GL.iNet или Keenetic с XKeen