Инструкция по установке
на Keenetic.

01 · ПОДГОТОВКА

Подготовьте Keenetic

Конфигурация рассчитана на Keenetic с Entware и совместимым ядром XKeen/Mihomo. Перед началом сохраните резервную копию настроек.

Исходные снимки интерфейса. Версия и оформление могут отличаться.Original interface screenshots. Version and appearance may differ.

1
Обновите KeeneticOS. В «Параметрах системы» установите доступные для вашей модели компоненты USB, файловой системы EXT, открытых пакетов, DNS over TLS и модулей Netfilter.
2
Подключите исправный накопитель EXT4, назначьте его для OPKG и дождитесь полной установки Entware.
3
Сохраните файл конфигурации Keenetic. Отдельно скопируйте каталоги /opt/etc/xray/configs/ и /opt/etc/mihomo/, если они уже существуют.
4
Не публикуйте SSH, веб-интерфейс роутера и контроллер Mihomo в интернет. Управление должно оставаться в локальной сети.

1
Откройте «Приоритеты подключений» и создайте отдельную политику XKeen.
2
Назначьте политике только одно тестовое устройство. Не переводите всю домашнюю сеть через новую конфигурацию до проверки.
3
После успешной проверки добавляйте остальные устройства в эту политику по одному.

Перед заменой файловСохраните резервную копию каталогов: /opt/etc/xray/configs/ · /opt/etc/mihomo/
Это ваш быстрый откат.

02 · ПЕРЕД УСТАНОВКОЙ XKEEN

Entware: какой архив скачать и куда его положить

Найдите точный код модели KN-xxxx на наклейке роутера. Одного названия Giga или Ultra недостаточно: разные поколения используют разные процессоры. Проверьте архитектуру в документации именно вашей модели.

Выберите один установщик Entware
ARM64 / aarch64 — aarch64-installer.tar.gz
MIPS little-endian / mipsel — mipsel-installer.tar.gz
MIPS big-endian / mips — mips-installer.tar.gz

Примеры моделей и архитектур
aarch64 (ARM64): Peak KN-2710, Ultra KN-1811, Giga KN-1012, Hopper KN-3811, Hopper SE KN-3812.
mipsel: Giga KN-1010 / KN-1011, Ultra KN-1810, Extra KN-1710 / KN-1711 / KN-1713, Hopper KN-3810.
mips: Ultra SE KN-2510, Giga SE KN-2410, DSL KN-2010, Duo KN-2110, Hopper DSL KN-3610.

Сверяйте именно код KN: например, Hopper KN-3810 — mipsel, а Hopper KN-3811 — aarch64. Если вашей модели нет в списке, не выбирайте архив по похожему названию.

Примеры моделей: RockBlack Keenetic Wiki. Это справочный список, а не подтверждение испытаний ManRed на каждом роутере.

Например, Hopper KN-3811 и Titan / Ultra KN-1811 используют aarch64. Архив — установщик пакетов Entware, а не VPN-конфигурация. На компьютере Windows его запускать или распаковывать не нужно.

1
Сохраните данные с USB-накопителя. Подготовьте раздел EXT4: форматирование удаляет его содержимое. Подключите накопитель к Keenetic.
2
Установите компоненты поддержки USB, EXT и открытых пакетов. Для копирования через сеть включите SMB.
3
Откройте накопитель через веб-интерфейс Keenetic или сетевой доступ Windows. В корне раздела создайте папку install.
4
Скопируйте выбранный .tar.gz целиком в папку install. Не кладите туда сразу несколько установщиков.
5
Откройте «Приложения → OPKG», включите поддержку пакетов и выберите подготовленный раздел. Примените настройки. Если есть поле init-скрипта, укажите /opt/etc/init.d/rc.unslung.
6
Дождитесь сообщения Entware installed в системном журнале. Не отключайте накопитель во время установки. Если установка не завершилась, проверьте архитектуру архива, интернет и файловую систему.

После завершения подключитесь к оболочке Entware и проверьте менеджер пакетов:

opkg --version

opkg update

Если Entware уже установлен и команда opkg работает, повторная установка не нужна — переходите к XKeen. Установка во внутреннюю память доступна только на отдельных моделях и не заменяет эту USB-инструкцию.

Проверено по документации производителя: установка Entware на USB. Для своей модели откройте её раздел поддержки.

03 · ЯДРО

Установите XKeen из официального репозитория

Подключитесь к Entware по SSH. Сначала проверьте архитектуру и свободное место. Скачанный установщик просмотрите до запуска.

opkg update
opkg install curl tar unzip
cd /tmp
curl -fL -o install.sh https://raw.githubusercontent.com/jameszeroX/XKeen/main/install.sh
less install.sh
chmod 700 install.sh
./install.sh

Источник установки: репозиторий XKeen
Выберите Xray и Mihomo, GeoIP/GeoSite и автообновление, если эти пункты предлагает используемая версия.

04 · XRAY

VLESS через Xray / XKeen

Генератор создаёт отдельные файлы Xray и правила: российские назначения и локальная сеть идут напрямую, остальной TCP/UDP — через VPN.

**Xray · файлы JSON**Схема действий. Подробные команды и проверки — в тексте ниже.

1
Откройте генератор ManRed и вкладку Xray. Вставьте одну полную VLESS-ссылку с UUID, адресом, портом и параметрами Reality/TLS.
2
Скачайте четыре JSON-файла и 01_keenetic-dot.txt. Обработка ссылки выполняется только в браузере.
3
Скопируйте только 02_dns.json, 03_inbounds.json, 04_outbounds.json и 05_routing.json в /opt/etc/xray/configs/.
4
Настройте профиль DNS over TLS Keenetic по 01_keenetic-dot.txt, затем проверьте конфигурацию и переключите XKeen на Xray.

xkeen -xray
xkeen -restart
xkeen -status

02_dns.json использует локальный DNS роутера. Шифрованные Cloudflare, Google и резервный Quad9 настраиваются в самом Keenetic, потому что Xray-core не поддерживает DoT как встроенный upstream.

05 · QUIC / UDP

Hysteria2 на Keenetic

Hysteria2 использует QUIC/UDP. Для Xray нужен совместимый актуальный fork; если установленное ядро не знает протокол Hysteria2, используйте Mihomo.

1
Оставьте в политике XKeen одно тестовое устройство.
2
Вставьте hysteria2:// или hy2:// ссылку в генератор. Обязательны сервер, UDP-порт, пароль и корректный SNI.
3
Для совместимого Xray скачайте комплект JSON. Для обычного XKeen выберите Mihomo и скачайте config.yaml.
4
Проверьте синтаксис установленным ядром до перезапуска. Если проверка не проходит, сохраните рабочий профиль и используйте Mihomo или VLESS.
5
После запуска проверьте обычный сайт, российский ресурс, DNS и приложение с UDP/QUIC.

Если оператор ограничивает UDP
Hysteria2 может не подключиться при исправном сервере. Переключитесь на VLESS Reality/XHTTP или Trojan и не отключайте проверку сертификата.

06 · MIHOMO

Mihomo и локальная панель

Mihomo принимает несколько ссылок, умеет выбирать доступный сервер и поддерживает Hysteria2 без специального Xray fork.

1
Во вкладке Mihomo добавьте до десяти VLESS, Hysteria2, Trojan или Shadowsocks-ссылок. Каждому серверу можно задать имя.
2
Оба режима включают AUTO и ручной выбор. «Расширенный» дополнительно включает FALLBACK.
3
Скачайте config.yaml и сохраните в /opt/etc/mihomo/config.yaml. Секрет создаётся локально браузером, а контроллер слушает только 127.0.0.1.
4
Переключите XKeen на Mihomo, проверьте файл и запустите ядро. Открывайте Zashboard только через локальный SSH-туннель.

xkeen -mihomo
xkeen -restart
xkeen -status
ssh -L 9090:127.0.0.1:9090 root@192.168.1.1
# панель через туннель: http://127.0.0.1:9090/ui/

Вкладка «Подписка URL» создаёт proxy-provider с заданным интервалом. ManRed не загружает эту подписку: обновление выполняет сам роутер.

07 · WG

WireGuard

Используйте полный конфигурационный файл с секциями [Interface] и одной [Peer]. Закрытый ключ обрабатывается только в вашем браузере.

1
Вставьте полную конфигурацию во вкладку Mihomo. Генератор перенесёт ключи, IP-адреса, Endpoint, MTU и PersistentKeepalive. Исходные AllowedIPs не сохраняются: профиль получает 0.0.0.0/0 и ::/0, а маршрутизация определяется правилами Mihomo.
2
Скачайте отдельный config.yaml и сохраните прежний файл перед заменой.
3
Запустите профиль только на тестовом устройстве и проверьте маршруты, DNS и UDP.

[Interface]
PrivateKey = …
Address = 10.0.0.2/32

[Peer]
PublicKey = …
Endpoint = vpn.example:51820
AllowedIPs = 0.0.0.0/0, ::/0

Не объединяйте INI-конфигурацию WireGuard с URL-серверами в одном запуске генератора.

08 · DNS OVER TLS

DNS over TLS на Keenetic

DNS over TLS шифрует DNS-запросы, но сам по себе не направляет трафик устройства через VPN.

Cloudflare · DoTtls://one.one.one.one1.1.1.1 · 1.0.0.1

Google · DoTtls://dns.google8.8.8.8 · 8.8.4.4

1
В Keenetic откройте раздел DNS over TLS/HTTPS. Название может немного отличаться в вашей версии KeeneticOS.
2
Добавьте Cloudflare с именем one.one.one.one и адресами 1.1.1.1, 1.0.0.1; включите DNS over TLS.
3
Добавьте Google с именем dns.google и адресами 8.8.8.8, 8.8.4.4; включите DNS over TLS.
4
Назначьте созданный DNS-профиль той же политике XKeen, в которой находится тестовое устройство. Удалите из этой политики DNS провайдера и проверьте разрешение имён до подключения остальных устройств.

Как читать тест DNS
Сам результат DNS не доказывает работу туннеля — отдельно проверьте внешний IPv4 и IPv6.

Mihomo: tls://one.one.one.one, tls://dns.google; резерв: tls://dns.quad9.net. Xray: localhost; Keenetic: tls://one.one.one.one, tls://dns.google. Настройки клиентского DNS не меняют системные резолверы VPN-серверов.

09 · ПРОВЕРКА

Проверка утечек и безопасный откат

Надпись «подключено» на роутере недостаточна. Сначала проверьте файл ядром, затем на одном устройстве подтвердите фактический маршрут IPv4, IPv6, DNS и WebRTC.

1
Проверьте синтаксис config.yaml или JSON тем ядром, которое реально установлено на роутере.
2
Запустите Mihomo или Xray/XKeen и назначьте политику только одному тестовому устройству. Убедитесь, что именно это устройство указано в политике XKeen.
3
На нероссийском сайте проверки внешний IPv4 должен совпадать с выбранным узлом ManRed. Домашний адрес означает, что VPN-маршрут не работает.
4
Публичный IPv6 должен идти через VPN или отсутствовать. Если тест показывает IPv6 интернет-провайдера, временно отключите IPv6 для тестового устройства или его сегмента до настройки полного IPv6-туннеля.
5
Сверьте результаты DNS-теста с настройками импортированного профиля. Публичный адрес WebRTC должен совпадать с VPN-выходом.
6
Проверьте российский ресурс: при режиме RU DIRECT он должен использовать обычный маршрут. Затем проверьте приложение с UDP/QUIC.
7
При любой утечке не подключайте остальные устройства: остановите выбранное ядро, верните сохранённые файлы и прежнюю политику. Не открывайте контроллер наружу для диагностики.

Создать конфигурацию FAQ и приложения

Инструкция по установке на Keenetic.