Keenetic / Netcraze / AmneziaWG

AmneziaWG 3.1 на Keenetic и Netcraze: почему новый конфиг не работает и что поддерживается

После появления AmneziaWG 3.1 пользователи столкнулись с неожиданной ситуацией: конфигурация работает в актуальном приложении AmneziaVPN, но не импортируется в Keenetic или создаёт неработающее подключение. Причина чаще всего не в ключах и не в самом роутере. Версии AmneziaWG 1.5/2.0 и 3.1 используют разный набор параметров, а нативная поддержка 3.1 в KeeneticOS пока отсутствует.

Amnezia Premium Сейчас выдаёт конфигурации AmneziaWG 3.1

KeeneticOS 5.1+ Нативно поддерживает AmneziaWG 1.5/2.0, но не 3.1

Конвертация 3.1 → 2.0 Не является рабочим решением: параметры протокола несовместимы

Короткий ответ

Почему конфиг AmneziaWG 3.1 не работает на Keenetic

На текущем этапе KeeneticOS не имеет нативной поддержки AmneziaWG 3.1. При этом Amnezia Premium выдаёт конфигурационные файлы именно этой версии.

Поэтому схема «скачал .conf из Amnezia Premium → импортировал в Keenetic → всё заработало» сейчас не работает как штатный нативный сценарий.

Premium 3.1 Не подходит для нативного импорта в KeeneticOS

Self-hosted 1.5/2.0 Поддерживается в KeeneticOS 5.1 и новее

Self-hosted 3.1 Тоже пока не поддерживается роутерами нативно

Не редактируйте конфиг 3.1 наугад.

Удаление «непонятных строк» из конфигурации не превращает AmneziaWG 3.1 в AmneziaWG 2.0. По документации Amnezia такой файл после «конвертации» работать не будет.

Разбираемся в версиях

Чем отличаются AmneziaWG 1.0, 1.5, 2.0 и 3.1

Все версии основаны на криптографической модели WireGuard, но отличаются механизмами транспортной маскировки и набором параметров конфигурации.

Версия	Что изменилось	KeeneticOS	Комментарий
1.0	Базовая обфускация WireGuard	Работает на более старых версиях	Устаревший вариант, устойчивость к современным блокировкам ниже
1.5	Расширенная маскировка, параметр I1	Нативно с KeeneticOS 5.1	Подходит для Self-hosted
2.0	Дополнительные параметры, включая S3/S4 и I1	Нативно с KeeneticOS 5.1	Подходит для Self-hosted
3.1	Новые механизмы маскировки, header protection, padding и другие параметры	Нативной поддержки пока нет	Используется Amnezia Premium и актуальным Self-hosted

В версии 3.1 появились дополнительные механизмы, которые меняют не только отдельные заголовки, но и поведение потока: размеры пакетов, интервалы, служебные данные и повторяемость сессий. Поэтому совместимость нельзя свести к простому удалению нескольких строк из файла.

Amnezia Premium

Почему Premium сейчас нельзя просто импортировать в Keenetic

В актуальной документации Amnezia прямо указано, что Premium‑конфигурации выдаются только для AmneziaWG 3.1. Роутерные операционные системы эту версию пока нативно не поддерживают.

Из этого следуют три важных вывода:

.conf не означает совместимость

То, что файл имеет привычное расширение WireGuard/AmneziaWG, не означает, что его понимает текущая реализация на роутере.

Старое приложение не поможет

AmneziaWG 3.1 требует актуального совместимого клиента. Старые версии приложений новые конфиги также не поддерживают.

3.1 нельзя «понизить» до 2.0

Это разные наборы протокольных параметров. Механическое редактирование файла не создаёт рабочий 2.0‑туннель.

Self-hosted

Если у вас свой сервер Amnezia

Для владельца собственного VPS ситуация гибче. Актуальная Amnezia рекомендует переход на AmneziaWG 3.1, но для подключения именно роутера можно сохранить отдельный серверный контейнер AmneziaWG 1.5/2.0.

Телефон / ПК AmneziaWG 3.1

Keenetic AmneziaWG 1.5/2.0

→

Один VPS Разные контейнеры / разные порты

Документация Amnezia допускает одновременное наличие нескольких версий AmneziaWG на одном сервере при использовании разных портов.

Это важное разделение.

Если нужен именно роутерный туннель, не обязательно переводить все клиентские устройства назад на старую версию. 3.1 можно оставить для поддерживаемых приложений, а совместимую с Keenetic версию использовать отдельно.

KeeneticOS

Что именно поддерживает KeeneticOS 5.1

Согласно актуальной инструкции Amnezia, AmneziaWG 1.5 и 2.0 нативно поддерживаются начиная с KeeneticOS 5.1 Alpha 3. Для импорта используется штатный компонент WireGuard VPN.

Для конфигураций 1.5/2.0 последовательность выглядит так:

проверить, поддерживает ли конкретная модель KeeneticOS 5.1;
сделать резервную копию startup-config и прошивки перед крупным изменением;
установить компонент WireGuard VPN;
импортировать совместимый файл AmneziaWG 1.5/2.0;
проверить созданное VPN‑подключение;
настроить политику маршрутизации для нужных клиентов или сегментов;
проверить DNS и фактический внешний IP на клиенте.

KeeneticOS 5.0.8 и ниже

При импорте AmneziaWG 1.5/2.0 возможна ошибка вида "Wireguard": invalid H1 value. Официальная инструкция Amnezia рекомендует для нативной поддержки обновление до KeeneticOS 5.1 или новее.

Если для вашей модели ветка 5.1 доступна только через канал разработчика, учитывайте, что dev‑сборка может быть менее стабильной, чем основной релиз.

Диагностика

Как понять, что у вас именно проблема совместимости версии

Конфиг работает в AmneziaVPN, но не в роутере

Первым делом определите версию AmneziaWG. Для Premium это сейчас особенно важно, потому что новые файлы относятся к 3.1.

Импорт не проходит

Не спешите менять ключи. Сначала проверьте версию KeeneticOS и версию самого AmneziaWG.

Импорт прошёл после ручного удаления строк, но туннель не работает

Это типичный признак того, что конфигурацию попытались сделать «похожей» на старую версию, но сервер и клиент всё равно используют разные параметры.

Handshake отсутствует

Причина может быть не только в версии: проверяют endpoint, порт, доступность UDP, ключи, время на роутере и настройки сервера.

Handshake есть, интернета нет

Тогда проблема уже ближе к маршрутам, AllowedIPs, политике Keenetic, DNS или серверному NAT.

VPN работает только на телефоне

Это не доказывает неисправность роутера: мобильное приложение может поддерживать 3.1, которого нативно нет в KeeneticOS.

Определяем версию

Как отличить конфиг 1.5/2.0 от старых вариантов

Для совместимых с Keenetic вариантов Amnezia указывает характерные параметры блока [Interface]:

AmneziaWG 1.0 нет I1, S3 и S4

AmneziaWG 1.5 есть I1, нет S3/S4

AmneziaWG 2.0 есть I1, S3 и S4

AmneziaWG 3.1 содержит дополнительные параметры и механизмы, поэтому его нельзя определять только по наличию одной строки. Надёжнее смотреть источник конфигурации и версию протокола в AmneziaVPN.

Не публикуйте конфигурационный файл целиком.

В нём находятся приватные ключи и другие данные подключения. Для дистанционной диагностики достаточно обезличенного списка названий параметров, версии приложения и скриншотов без ключей.

Практические варианты

Что можно сделать сейчас

Premium использовать на поддерживаемом устройстве

Если нужен именно Amnezia Premium 3.1, используйте актуальное совместимое приложение на телефоне, ПК или другой поддерживаемой платформе.

Для Keenetic использовать Self-hosted AmneziaWG 1.5/2.0

Если есть собственный VPS, отдельный совместимый контейнер позволяет использовать нативный WireGuard‑компонент KeeneticOS 5.1.

Оставить 3.1 для других устройств, 2.0 — для роутера

При Self-hosted можно разделить клиентов по версиям и портам, не откатывая всю систему целиком.

Дождаться нативной поддержки 3.1

Это самый простой вариант для Premium, если VPN нужен именно на уровне роутера и сторонние решения использовать не хочется.

Сторонние реализации могут появляться раньше официальной поддержки, но их совместимость, стабильность и процедура обновления зависят от конкретного решения. Для домашнего роутера, через который работает вся сеть, это важно учитывать отдельно.

После подключения

Почему рабочий туннель ещё не означает, что весь интернет пошёл через VPN

В Keenetic VPN‑интерфейс можно использовать как отдельное интернет‑подключение внутри политики. После импорта нужно решить, какие устройства должны пользоваться туннелем.

Весь дом Все клиенты направляются в VPN‑политику

Только выбранные устройства Например, телевизор, телефон или отдельная Wi‑Fi‑сеть

Отдельный сегмент Можно создать SSID/сегмент, который всегда использует VPN

В политике можно оставить только VPN‑интерфейс. Тогда при падении туннеля выбранные устройства потеряют интернет вместо автоматического перехода в обычное подключение. Либо можно добавить обычный WAN как резервный маршрут.

Проверяйте не только handshake.

После настройки убедитесь, что нужный клиент действительно находится в нужной политике, получил рабочий DNS и использует ожидаемый маршрут.

Что прислать для диагностики

Какие данные нужны, если AmneziaWG на Keenetic не работает

✓

Точная модель Keenetic или Netcraze.

✓

Версия KeeneticOS.

✓

Amnezia Premium или Self-hosted.

✓

Версия AmneziaWG: 1.5, 2.0 или 3.1.

✓

Версия AmneziaVPN.

✓

Есть ли ошибка при импорте и её точный текст.

✓

Есть ли handshake после создания туннеля.

✓

Какие устройства должны идти через VPN.

Приватные ключи, полный .conf, пароли VPS и токены присылать в открытом виде не нужно.

Связанные материалы

Что посмотреть дальше

Настройка VPN и удалённого доступа Маршрутизация, WireGuard и удалённая настройка Гайды по домашней сети и Wi‑Fi Keenetic, маршрутизация, DNS, Mesh и сегменты VLAN для дома и малого офиса Как разделить устройства и сетевые сегменты Настройка роутера и Wi‑Fi Диагностика сложных домашних сетей

Дистанционная настройка

AmneziaWG не импортируется или туннель есть, а интернета нет?

Пришлите модель роутера, версию KeeneticOS, тип Amnezia — Premium или Self-hosted — и точный текст ошибки. Не отправляйте приватные ключи и полный конфигурационный файл. По этим данным обычно уже можно понять, проблема в несовместимой версии протокола, импорте, политике маршрутизации или DNS.

Написать в MAX Telegram Настройка VPN

FAQ

Частые вопросы про AmneziaWG и Keenetic

Поддерживает ли Keenetic AmneziaWG 3.1?

Нативной поддержки AmneziaWG 3.1 в KeeneticOS сейчас нет. KeeneticOS 5.1 поддерживает AmneziaWG 1.5/2.0 через штатный компонент WireGuard VPN.

Можно ли импортировать Amnezia Premium в Keenetic?

Актуальные Premium‑конфигурации выдаются для AmneziaWG 3.1, поэтому штатный нативный импорт в KeeneticOS сейчас не является поддерживаемым сценарием.

Можно ли удалить параметры 3.1 из файла и получить 2.0?

Нет. Amnezia прямо предупреждает, что преобразование конфигурации 3.1 в 2.0 не создаёт рабочее подключение.

Что означает ошибка invalid H1 value?

Такую ошибку можно встретить при импорте AmneziaWG 1.5/2.0 в KeeneticOS 5.0.8 и ниже. Для нативной поддержки нужна KeeneticOS 5.1 или новее.

Можно ли держать AmneziaWG 3.1 и 2.0 на одном VPS?

Для Self-hosted документация Amnezia допускает несколько версий протокола на одном сервере при использовании разных портов.

Если handshake есть, почему нет интернета?

Тогда проверяют маршруты, AllowedIPs, серверный NAT, DNS и политику подключения Keenetic. Сам handshake подтверждает только установление туннеля.

Можно ли отправить через VPN только телевизор или один телефон?

Да. В Keenetic нужные клиенты и сегменты можно назначать в отдельную политику подключения с VPN‑интерфейсом.

Стоит ли ставить dev‑версию KeeneticOS ради AmneziaWG?

Это зависит от модели и задачи. Dev‑ветка может содержать нужные возможности раньше стабильной, но сама Keenetic предупреждает, что тестовые сборки могут быть менее стабильными.