как установить shadowsocks на keenetic

Не все модели Keenetic поддерживают установку стороннего ПО. Убедись, что у тебя:

Прошивка NDM 3.x (проверяется в веб-интерфейсе: «Система» → «Информация о системе»).
Доступ к SSH (включается в разделе «Система» → «Безопасность»).
Свободное место на флешке или USB-накопителе (минимум 64 МБ).

Если у тебя Keenetic Start, Lite или другие базовые модели без USB — забудь. Shadowsocks там не запустится. Подходят: Keenetic Ultra, Giga, Viva, Expert, Runner.

Также тебе понадобится:

Рабочий Shadowsocks-сервер (можно арендовать у доверенного хостинга в нейтральной юрисдикции — например, Нидерланды, Германия, Швейцария).
Клиентская конфигурация: IP, порт, пароль, метод шифрования.
Минимум базовых знаний Linux: работа с терминалом, редактирование файлов через vi или nano.

Пошаговая установка Shadowsocks на Keenetic

Шаг 1. Подготовка USB-накопителя

Подключи флешку (FAT32 или ext4) к роутеру. Зайди в веб-интерфейс → «Система» → «USB-устройства». Убедись, что она смонтирована в /tmp/mnt/usb.

Если раздел не монтируется — отформатируй его через сам роутер. Не используй NTFS.

Шаг 2. Подключение по SSH

Открой терминал (на Windows — PuTTY или WSL). Выполни:

ssh admin@192.168.1.1

Пароль — тот же, что от веб-интерфейса.

Шаг 3. Установка Entware

Entware — пакетный менеджер для роутеров на NDM. Выполни команды:

⚙️Технология доступа

cd /tmp
wget http://bin.entware.net/mipselsf-k3.4/installer/generic.sh
sh generic.sh

После установки добавь Entware в PATH:

echo 'export PATH=/opt/bin:/opt/sbin:$PATH' >> /etc/profile
source /etc/profile

Шаг 4. Установка Shadowsocks-libev

Это легковесная реализация на C. Идеальна для слабых CPU роутеров.

🛠️Инструмент для работы

opkg update
opkg install shadowsocks-libev

Шаг 5. Создание конфигурационного файла

Создай файл /opt/etc/shadowsocks/config.json:

{
    "server": "YOUR_SERVER_IP",
    "server_port": 8388,
    "local_address": "0.0.0.0",
    "local_port": 1080,
    "password": "YOUR_STRONG_PASSWORD",
    "timeout": 300,
    "method": "chacha20-ietf-poly1305",
    "fast_open": false,
    "nameserver": "1.1.1.1"
}

Замени YOUR_SERVER_IP и YOUR_STRONG_PASSWORD на реальные данные. Используй только AEAD-шифры — они безопаснее старых (rc4-md5, aes-256-cfb уязвимы).

🛠️Инструмент для работы

Шаг 6. Запуск демона

/opt/etc/init.d/S22shadowsocks start

Чтобы сервис стартовал автоматически при перезагрузке:

ln -s /opt/etc/init.d/S22shadowsocks /opt/etc/init.d/rc.unslung

Перенаправление всего трафика через Shadowsocks

Теперь нужно заставить роутер отправлять весь трафик через локальный прокси (порт 1080). Для этого используем iptables и redir.

Установи необходимые пакеты:

opkg install iptables-mod-tproxy ipset

Создай скрипт /opt/bin/ss-redir.sh:

#!/bin/sh
SS_LOCAL_PORT=1080
SS_TPROXY_PORT=1081

Очистка правил
iptables -t nat -F PREROUTING
ip rule del fwmark 1 lookup 100 2>/dev/null
ip route del local 0.0.0.0/0 dev lo table 100 2>/dev/null

Создание таблицы маршрутизации
ip rule add fwmark 1 lookup 100
ip route add local 0.0.0.0/0 dev lo table 100

Исключения: локальная сеть, сервер Shadowsocks
ipset -N ss_whitelist iphash
ipset add ss_whitelist YOUR_SERVER_IP
ipset add ss_whitelist 192.168.0.0/16
ipset add ss_whitelist 10.0.0.0/8

Правила NAT
iptables -t nat -A PREROUTING -m set --match-set ss_whitelist dst -j RETURN
iptables -t nat -A PREROUTING -p tcp -j REDIRECT --to-port $SS_LOCAL_PORT

Запуск ss-redir
/opt/bin/ss-redir -c /opt/etc/shadowsocks/config.json -u -b 0.0.0.0 -l $SS_LOCAL_PORT -v

Сделай скрипт исполняемым:

chmod +x /opt/bin/ss-redir.sh

Запусти его в фоне:

/opt/bin/ss-redir.sh &

Для автозапуска добавь строку в /opt/etc/init.d/S22shadowsocks после старта основного демона.

Проверка на утечки: DNS, WebRTC, IP

Даже правильно настроенный Shadowsocks может «протекать», если не настроить DNS.

DNS-утечки

По умолчанию Keenetic использует DNS провайдера. Это опасно: даже если трафик шифруется, запросы к youtube.com уйдут в открытом виде к Ростелекому.

Решение: принудительно направляй DNS через Shadowsocks.

В конфиге Shadowsocks уже указан nameserver: "1.1.1.1". Но этого недостаточно. Лучше использовать DNS-over-HTTPS (DoH) или DNS-over-TLS (DoT) на клиентских устройствах. Либо настрой локальный DNS-резолвер (например, dnscrypt-proxy) на самом роутере и направь его трафик через Shadowsocks.

Проверка: зайди на ipleak.net. В разделе DNS Leak Test должен отображаться IP твоего Shadowsocks-сервера или публичного DNS (Cloudflare, Google), но не IP провайдера.

WebRTC-утечки

WebRTC может раскрыть реальный IP даже при использовании прокси. Это проблема браузеров, а не роутера. Отключи WebRTC в настройках:

Firefox: about:config → media.peerconnection.enabled = false
Chrome: установи расширение «WebRTC Leak Prevent»

Проверка: browserleaks.com/webrtc

Kill Switch на роутере

Если Shadowsocks упадёт, весь трафик пойдёт в открытую сеть. Чтобы этого не случилось, настрой «аварийный выключатель».

Добавь в скрипт ss-redir.sh мониторинг процесса:

while true; do
    if ! pgrep -f ss-redir > /dev/null; then
        iptables -P FORWARD DROP
        logger "Shadowsocks down! Traffic blocked."
        break
    fi
    sleep 10
done

Это заблокирует весь трафик при падении демона. Чтобы восстановить — перезапусти скрипт.

Чего вам НЕ говорят в других гайдах

Большинство инструкций заканчиваются на «установил — работает». Но реальные риски остаются в тени.

Бесплатные Shadowsocks-серверы — это ловушка

Многие сайты предлагают «бесплатные SS-серверы». За них платят твои данные. Такие серверы:
- Логируют твой трафик (IP, домены, объёмы).
- Внедряют рекламу через MITM-атаки.
- Продают трафик третьим лицам (часто — рекламным сетям или мошенникам).

Стоимость аренды VPS с 1 ТБ трафика — от $5/мес. Если сервис бесплатный, ты — товар.

Shadowsocks не скрывает метаданные

Даже при шифровании провайдер видит:
- IP-адрес сервера.
- Объём переданных данных.
- Время подключения.

Если спецслужбы запросят у хостинга логи (а многие хостинги в юрисдикциях 14 Eyes обязаны их хранить), твой аккаунт могут связать с активностью.

Нет Perfect Forward Secrecy

Shadowsocks использует статический ключ (пароль). Если его скомпрометируют, весь исторический трафик можно расшифровать. OpenVPN с TLS и PFS этого не допускает.

Fake kill switch

Многие пользователи думают, что «раз трафик не идёт — значит, всё безопасно». Но при перезагрузке роутера правила iptables сбрасываются. Без корректного автозапуска трафик пойдёт в открытую сеть до запуска Shadowsocks.

Аудитов нет

⚙️Технология доступа

Shadowsocks-libev не проходил независимых аудитов (в отличие от WireGuard или OpenVPN). Уязвимости могут годами оставаться незамеченными.

Сравнение: Shadowsocks против других решений на роутере

Критерий	Shadowsocks	OpenVPN	WireGuard	IPsec/IKEv2
Устойчивость к DPI	★★★★★	★★☆	★★★★☆	★★
Скорость (на Keenetic)	~85% от канала	~60%	~95%	~70%
Поддержка UDP	Да	Опционально	Только UDP	Да
Perfect Forward Secrecy	Нет	Да	Да	Да (при настройке)
Юрисдикция сервера	Зависит от тебя	Зависит от VPN	Зависит от VPN	Зависит от VPN
Аудит безопасности	Нет	Есть (Cure53)	Есть (Quarkslab)	Есть

На слабых CPU (Keenetic Giga и ниже) WireGuard часто нестабилен из-за отсутствия аппаратного ускорения AES. Shadowsocks с chacha20 работает лучше — этот шифр оптимизирован для CPU без AES-NI.
⚙️Технология доступа

Когда Shadowsocks — лучший выбор?

Ты в России и хочешь обойти блокировки РКН без использования коммерческих VPN (которые тоже блокируют).
У тебя есть свой VPS в дружественной юрисдикции.
Ты готов потратить время на настройку и мониторинг.
Ты не передаёшь сверхчувствительные данные (например, корпоративные секреты).

Не используй Shadowsocks, если:
- Ты ищешь «просто включил и забыл».
- Ты скачиваешь торренты с копирайтным контентом (VPS-провайдеры часто получают DMCA-уведомления).
- Ты не контролируешь сервер (публичные SS-листы — риск).

Альтернативы: стоит ли возиться?

Если тебе нужна максимальная простота — рассмотри коммерческие VPN с поддержкой роутеров. Но проверь:

Есть ли no-log policy, подтверждённая аудитом.
Поддержка WireGuard или OpenVPN с obfs4 (обфускация против DPI).
Наличие kill switch на уровне роутера.

Например, некоторые провайдеры (Mullvad, IVPN) предоставляют .ovpn-файлы и инструкции для Entware. Это проще, но дороже (~800–1500 ₽/мес).

VPN замедляет интернет на сколько реально?

На Keenetic с CPU ~800 МГц:
— Shadowsocks: потеря 10–15% скорости (до 85 Мбит/с при 100 Мбит/с канале).
— OpenVPN: до 40% потери.
— WireGuard: 5–7%, но требует сборки ядра.
Реальная скорость зависит от шифра, нагрузки CPU и качества VPS.