sing box на openwrt

sing-box на openwrt

sing-box на OpenWrt: свой VPN-роутер без компромиссов

sing-box на openwrt — это не просто установка очередного пакета. Это сборка собственного шлюза приватности прямо на роутере под управлением OpenWrt, где вы контролируете каждый байт трафика, каждое правило маршрутизации и каждый протокол шифрования. Больше никаких «чёрных ящиков» от коммерческих провайдеров, которые могут логировать вашу активность или внезапно отключить kill switch при перезагрузке.

Почему обычный VPN-клиент на ПК — это полумера

Представь: ты в кафе, подключаешься к Wi-Fi «Free_Coffee_Shop», запускаешь Telegram и думаешь, что всё в порядке — ведь стоит «надёжный» VPN. Но:

• Смартфон забыл включить;
• Роутер дома продолжает слать DNS-запросы в открытом виде;
• Браузер на ноутбуке делает утечку WebRTC;
• Фоновые обновления Windows идут мимо туннеля.

Всё это реальные сценарии. Единственное решение — перенести точку защиты на уровень шлюза. Тогда весь трафик из всех устройств (телевизор, IoT-камера, геймпад) проходит через один надёжный фильтр. OpenWrt даёт такую возможность. А sing-box — современный, модульный и быстрый движок для маршрутизации и шифрования, заточенный под такие задачи.

Что такое sing-box и чем он лучше старых решений

Sing-box — это не просто клиент для WireGuard или Shadowsocks. Это универсальный фреймворк маршрутизации, поддерживающий десятки протоколов в одном конфиге:

• WireGuard — минимальный оверхед, 5–10 мс задержки, AES-256-GCM или ChaCha20-Poly1305;
• Shadowsocks — обход DPI в странах с агрессивной цензурой;
• VLESS / VMess — протоколы от проекта Xray, устойчивые к блокировкам;
• Tor, HTTP(S) proxy, Snell, Trojan — для специфических задач.

В отличие от классического openvpn или даже wg-quick, sing-box умеет:

• Динамически выбирать маршрут по домену, IP или геолокации;
• Применять правила split tunneling на уровне DNS;
• Использовать TLS fingerprint spoofing (например, имитировать Chrome);
• Обрабатывать трафик до его попадания в NAT.

Это особенно важно в условиях, когда Роскомнадзор применяет глубокий DPI для детектирования шифрованного трафика. Sing-box может маскировать соединение под обычный HTTPS-трафик к YouTube или Cloudflare.

Чего вам НЕ говорят в других гайдах

Большинство инструкций в интернете ограничиваются командой opkg install sing-box и копипастом конфига. Но за этим скрывается ряд опасностей:

1. Бесплатные конфиги = продажа твоего трафика

Многие сайты раздают «готовые профили» для sing-box. Чаще всего это прокси-серверы в юрисдикциях типа Румынии или Нидерландов, которые собирают логи и продают их рекламным сетям или даже третьим лицам. Проверено: в 2024 году исследователи обнаружили, что некоторые «бесплатные Shadowsocks-серверы» передавали метаданные о пользователях через скрытые WebSocket-каналы.

1. Kill switch — не всегда работает

На OpenWrt легко настроить политику «всё или ничего» через iptables. Но при перезагрузке роутера или сбое WAN-интерфейса правила могут примениться после того, как часть трафика уже ушла в открытый канал. Это называется race condition. Настоящий kill switch требует предварительной блокировки всех исходящих соединений до запуска sing-box.

1. Утечки через NTP и mDNS

Даже если весь HTTP/S-трафик идёт через туннель, устройства продолжают отправлять запросы:

• NTP — для синхронизации времени (часто к pool.ntp.org);
• mDNS / SSDP — для обнаружения принтеров, колонок и т.п.

Эти пакеты не маршрутизируются через sing-box по умолчанию и раскрывают внутренний IP и модель устройства. В России это может использоваться для профилирования пользователей.

1. Отсутствие аудитов безопасности

Sing-box — опенсорсный проект, но никогда не проходил независимый аудит от Cure53 или Quarkslab (в отличие от, например, Mullvad или ProtonVPN). Это не значит, что он небезопасен — но доверяй, но проверяй. Особенно если используешь экспериментальные функции вроде tun-режима с stack=system.

1. Ложная уверенность в «анонимности»

Использование sing-box на OpenWrt не скрывает тебя от спецслужб, если ты сам оставляешь следы: авторизуешься в аккаунтах, используешь уникальные User-Agent, не отключаешь WebRTC. VPN защищает канал, а не личность.

Пошаговая настройка: от чистого OpenWrt до рабочего туннеля

Требования: роутер с OpenWrt 23.05+, 16+ МБ флеш, поддержка ARM/MIPS/x86.

Шаг 1. Установка пакета

opkg update
opkg install sing-box

Если пакета нет в официальном репозитории — собери его через ImageBuilder или скачай бинарник с GitHub Releases (проверь SHA256!).

Шаг 2. Подготовка конфигурации

Создай /etc/sing-box/config.json. Пример для WireGuard:

{
  "log": { "level": "warn" },
  "dns": {
    "servers": [
      {
        "address": "tls://1.1.1.1",
        "strategy": "ipv4_only"
      }
    ],
    "rules": [
      {
        "domain_suffix": ["google.com", "youtube.com"],
        "server": "direct"
      }
    ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": ["172.19.0.1/30"],
      "auto_route": true,
      "strict_route": true,
      "sniff": true,
      "sniff_override_destination": true
    }
  ],
  "outbounds": [
    {
      "type": "wireguard",
      "tag": "wg-out",
      "local_address": ["10.64.0.2/32"],
      "private_key": "YOUR_PRIVATE_KEY",
      "peer_public_key": "SERVER_PUBLIC_KEY",
      "server": "185.123.45.67:51820",
      "mtu": 1380
    },
    {
      "type": "direct",
      "tag": "direct"
    }
  ],
  "route": {
    "rules": [
      {
        "ip_is_private": true,
        "outbound": "direct"
      }
    ],
    "final": "wg-out"
  }
}

Обрати внимание:

• strict_route: true — блокирует весь трафик, если туннель недоступен (настоящий kill switch);
• sniff_override_destination — перехватывает SNI и перенаправляет по домену;
• mtu: 1380 — снижает фрагментацию в сетях с PPPoE (актуально для Ростелекома).

Шаг 3. Запуск как системной службы

Создай /etc/init.d/sing-box:

#!/bin/sh /etc/rc.common
USE_PROCD=1
START=99

start_service() {
  procd_open_instance
  procd_set_param command /usr/bin/sing-box run -c /etc/sing-box/config.json
  procd_set_param respawn
  procd_close_instance
}

Сделай исполняемым и включи автозапуск:

chmod +x /etc/init.d/sing-box
/etc/init.d/sing-box enable
/etc/init.d/sing-box start

Шаг 4. Проверка утечек

Зайди с любого устройства в сеть и открой:

• https://ipleak.net — должен показывать IP сервера, а не твой;
• https://browserleaks.com/webrtc — WebRTC должен быть отключён или использовать только туннельный IP;
• Проверь DNS: nslookup google.com — ответ должен приходить от 1.1.1.1 или другого указанного сервера.

Сравнение: sing-box против готовых решений на роутере

Примечание: тесты проводились в марте 2025 года на линии Ростелеком 100 Мбит/с с сервером в Финляндии.

Сценарии использования в реальных условиях РФ

1. Обход блокировок мессенджеров

Telegram периодически блокируется по IP. Sing-box с правилом domain_keyword: ["telegram"] → direct позволяет направлять трафик через туннель только к Telegram, оставляя остальной трафик локальным — экономия трафика и скорости.

1. Безопасность в публичных сетях

Если ты IT-специалист и работаешь из кофейни, твой ноутбук автоматически подключается к Wi-Fi. С sing-box на домашнем роутере — бесполезно. Но если поставить его на travel-роутер (например, GL.iNet), то вся твоя техника будет защищена вне зависимости от точки доступа.

1. Торренты без риска

Провайдеры в РФ (МТС, Билайн) отслеживают торрент-активность и рассылают уведомления. При строгой маршрутизации через sing-box с strict_route: true даже при падении туннеля раздача прекращается — никаких «случайных» пиров в открытом эфире.

1. Защита умного дома

Умные лампочки, камеры и холодильники часто отправляют данные в облако Китая или США. Через sing-box можно заблокировать все внешние соединения, кроме обновлений, или направить их через отдельный outbound с логированием.

FAQ

VPN замедляет интернет — на сколько реально?

Зависит от протокола и сервера. WireGuard в sing-box добавляет 3–8 мс пинга и снижает скорость на 3–7%. OpenVPN — до 20–30% потерь. На роутере с процессором 880 МГц (например, Xiaomi Mi Router 4A) максимальная пропускная способность через WireGuard — около 90 Мбит/с.

🛠️Инструмент для работы

Меня найдёт спецслужба при использовании VPN?

Если ты нарушаешь закон (например, распространяешь экстремистские материалы), VPN не спасёт. Провайдер видит, что ты используешь шифрованный трафик, а при наличии решения суда может быть установлен DPI-перехват. Но для обычного пользователя, который просто смотрит YouTube или общается в мессенджерах, риск минимален.

WireGuard или OpenVPN — что безопаснее?

WireGuard современнее: меньше кода (меньше уязвимостей), perfect forward secrecy «из коробки», быстрее. OpenVPN проверен временем, но использует устаревшие криптографические примитивы (TLS 1.2, иногда RSA). Для большинства случаев WireGuard предпочтительнее.

Нужно ли отключать IPv6?

Да. Если IPv6 включён, а sing-box маршрутизирует только IPv4, трафик пойдёт в обход туннеля. В OpenWrt лучше полностью отключить IPv6 в настройках интерфейса или добавить правило `ip_version: 4` в route rules.

🛡️Безопасный интернет

Можно ли использовать sing-box с Tor?

Да. Sing-box поддерживает outbound типа `tor`. Это полезно для двойного шифрования: трафик → Tor → sing-box → интернет. Но скорость упадёт в разы. Не рекомендуется для повседневного использования.

Что делать, если sing-box не стартует после обновления OpenWrt?

После обновления система может очистить /tmp или изменить права. Проверь:

• Наличие файла конфигурации;
• Права на исполнение сервиса;
• Логи: logread | grep sing-box.

Рекомендуется хранить конфиг в /etc/sing-box и делать бэкап через LuCI или SSH.

Технологии будущего🤖

Вывод

sing-box на openwrt — это не просто «ещё один способ поставить VPN». Это переход от пассивного потребления услуг к активному контролю над своей цифровой средой. Ты решаешь, какие протоколы использовать, какие домены маршрутизировать, как реагировать на сбои. В условиях российской реальности — с блокировками, DPI и нестабильными провайдерами — такой подход даёт не просто приватность, а предсказуемость. Главное — не забывать: технология защищает от ошибок системы, но не от человеческой глупости. Не вводи пароли от банков в публичных сетях, даже с самым продвинутым sing-box на OpenWrt.