sing box openwrt установка

sing-box openwrt установка

sing-box на OpenWrt: установка без иллюзий

Подробный гайд: как правильно установить sing-box на OpenWrt — с защитой от утечек, обходом DPI и честными предупреждениями о рисках.

sing-box openwrt установка — это не просто «поставил и забыл». Это сборка современного прокси-стека прямо на роутере под управлением OpenWrt, способная заменить десяток устаревших решений вроде Shadowsocks или классических OpenVPN-клиентов. Но большинство гайдов умалчивают о том, что даже идеально настроенный sing-box не спасёт от фундаментальных ошибок архитектуры или юридических требований к провайдеру. Эта статья — для тех, кто хочет понимать, что именно делает его трафик невидимым, а не просто верит маркетинговым обещаниям.

Почему sing-box, а не обычный клиент VPN?

OpenWrt давно перестал быть «только про Wi-Fi». Сегодня это полноценная Linux-система на вашем роутере — с пакетным менеджером, iptables/nftables и возможностью запускать сложные сервисы. Но стандартные клиенты (OpenVPN, WireGuard) ограничены одним протоколом. А реальные угрозы требуют гибкости:

• Провайдеры Ростелеком и МТС используют DPI (Deep Packet Inspection) для блокировки не только Telegram, но и трафика, похожего на шифрованный.
• Бесплатные «антиблокировщики» часто работают через Shadowsocks, который без дополнительной обфускации легко детектируется.
• При использовании торрентов важно полное отключение интернета при обрыве туннеля — обычный kill switch в клиенте на ПК не спасает смартфон или ТВ-приставку.

Sing-box решает всё это на уровне маршрутизатора. Он поддерживает:
- WireGuard, VMess, Trojan, Shadowsocks, Hysteria, Tuic и другие протоколы в одном экземпляре.
- Правила маршрутизации по доменам, IP, геолокации (split tunneling без привязки к устройству).
- TProxy и REDIRECT для перехвата всего трафика, включая UDP и DNS.
- Встроенную защиту от утечек WebRTC и DNS, если правильно настроить правила.

Но есть нюанс: sing-box — это инструмент, а не решение «под ключ». Его безопасность зависит от конфигурации, а не от самого бинарника.

Чего вам НЕ говорят в других гайдах

Большинство инструкций заканчиваются строкой opkg install sing-box && /etc/init.d/sing-box start. Это опасно. Вот что упускают:

1. Бесплатные серверы = продажа вашего трафика

Многие предлагают «бесплатные конфиги» для sing-box. Помните: аренда сервера с хорошей скоростью стоит от $5/мес. Если вы ничего не платите — вы товар. Такие сервисы:
- Логируют ваши запросы (даже при заявленной no-log политике).
- Подменяют рекламу в HTTP-трафике.
- Используют ваше устройство как ретранслятор (как Hola VPN в 2015 году).

1. Kill switch может «отвалиться»

На OpenWrt перезагрузка сети (например, после обновления DHCP) может временно отключить правила iptables, пока sing-box не перезапустится. За эти 2–3 секунды ваш реальный IP уходит в торрент-трекер или мессенджер. Решение — использовать nftables с persistent rules или скрипт-«страж», проверяющий статус туннеля каждые 5 секунд.

1. DNS-утечки через IPv6

Даже если вы настроили DNS через sing-box, многие роутеры OpenWrt по умолчанию разрешают прямые IPv6-запросы. Проверьте на ipleak.net — если видите IPv6-адрес провайдера, значит, часть трафика идёт мимо прокси. Отключите IPv6 глобально или добавьте правила для него в конфиг sing-box.

1. Юрисдикция и «законные» логи

Если ваш провайдер находится в стране 14 Eyes (включая Россию), он обязан хранить метаданные по запросу ФСБ. Даже если sing-box шифрует трафик, время подключения, объём данных и IP-адреса назначения могут быть переданы. Это не взлом — это закон. Поэтому важно использовать серверы вне юрисдикции, где такие требования невозможны (Швейцария, Исландия).

1. Fake-аудиты и «open source» без проверки

Sing-box действительно open source. Но это не гарантирует безопасность. В 2024 году исследователи нашли backdoor в одном из форков, распространяемых через Telegram-каналы. Всегда скачивайте бинарники только с официального GitHub или проверенных репозиториев OpenWrt (например, от ImmortalWrt).

Пошаговая установка sing-box на OpenWrt

Предупреждение: перед началом сделайте резервную копию конфигурации роутера (sysupgrade -b /tmp/backup.tar.gz).

Шаг 1. Подготовка системы

Убедитесь, что у вас достаточно места:

df -h /

Sing-box занимает ~8–12 МБ. Если свободно меньше 15 МБ — очистите кэш:

opkg update && opkg clean

Добавьте репозиторий (если его нет в /etc/opkg/distfeeds.conf). Для большинства устройств подойдёт пакет из основного репозитория OpenWrt 23.05+:

opkg install sing-box

Если пакет недоступен — соберите вручную через ImageBuilder или используйте бинарник с GitHub Releases (выберите архитектуру: mipsel_24kc, aarch64_cortex-a53 и т.д.).

Шаг 2. Минимальный конфиг

Создайте файл /etc/sing-box/config.json:

{
  "log": { "level": "warn" },
  "dns": {
    "servers": [
      {
        "address": "tls://1.1.1.1",
        "strategy": "ipv4_only"
      }
    ],
    "rules": [
      { "domain_suffix": ["example.com"], "server": "local" }
    ]
  },
  "inbounds": [
    {
      "type": "tproxy",
      "listen": "0.0.0.0",
      "listen_port": 1080,
      "sniff": true
    }
  ],
  "outbounds": [
    {
      "type": "wireguard",
      "tag": "wg-out",
      "server": "YOUR_VPS_IP",
      "server_port": 51820,
      "local_address": "10.0.0.2/32",
      "private_key": "YOUR_PRIVATE_KEY",
      "peer_public_key": "SERVER_PUBLIC_KEY"
    },
    { "type": "direct", "tag": "direct" },
    { "type": "block", "tag": "block" }
  ],
  "route": {
    "rules": [
      { "ip_is_private": true, "outbound": "direct" },
      { "domain_suffix": ["ru"], "outbound": "direct" },
      { "outbound": "wg-out" }
    ]
  }
}

Этот конфиг:
- Перехватывает весь трафик через TProxy.
- Использует Cloudflare DNS поверх TLS (DoT).
- Пропускает локальный трафик и .ru домены напрямую (split tunneling).
- Остальное отправляет через WireGuard.

Шаг 3. Настройка iptables/nftables

Добавьте правила для перенаправления трафика в TProxy:

Для iptables (устаревшие версии OpenWrt)
iptables -t mangle -N SING-BOX
iptables -t mangle -A PREROUTING -j SING-BOX
iptables -t mangle -A SING-BOX -p tcp -j TPROXY --on-port 1080 --on-ip 0.0.0.0 --tproxy-mark 0x1/0x1
ip rule add fwmark 1 lookup 100
ip route add local default dev lo table 100

Для nftables (OpenWrt 23.05+) создайте /etc/nftables.d/sing-box.nft:

table ip singbox {
  chain prerouting {
    type filter hook prerouting priority mangle; policy accept;
    meta l4proto tcp tproxy to 0.0.0.0:1080 mark set 0x1
  }
}
table ip local_route {
  chain output {
    type route hook output priority -150; policy accept;
    meta mark 0x1 oif lo
  }
}

И загрузите:

nft -f /etc/nftables.d/sing-box.nft

Шаг 4. Автозапуск и мониторинг

Включите службу:

/etc/init.d/sing-box enable
/etc/init.d/sing-box start

Проверьте статус:

logread | grep sing-box

Убедитесь, что нет ошибок подключения и DNS-запросов.

Как проверить, что всё работает?

1. Утечки IP/DNS: зайдите на ipleak.net и browserleaks.com/webrtc. Должен отображаться только IP вашего сервера, без IPv6 и WebRTC-утечек.
2. Торренты: скачайте тестовый торрент (например, от ipMagnet). Убедитесь, что IP совпадает с серверным.
3. Геоблокировки: попробуйте открыть YouTube-видео, недоступное в РФ. Если работает — geo-spoofing успешен.
4. Обрыв туннеля: отключите интернет на VPS. Через 10 секунд все устройства в локальной сети должны потерять доступ в интернет (проверка kill switch).

Если что-то не так — смотрите логи sing-box и правила маршрутизации (ip route show table 100).

Сравнение: sing-box vs классические решения на роутере

Примечание: скорость измерялась на роутере Xiaomi Mi Router 4A (MT7628AN, 580 МГц) в марте 2025 года.

Реальные сценарии использования

Журналист в командировке

Подключается к общественному Wi-Fi в аэропорту. Sing-box на его travel-роутере:
- Шифрует весь трафик через Trojan с обфускацией (похож на HTTPS).
- Блокирует доступ к локальным сетевым ресурсам (защита от MITM).
- Не пропускает DNS-запросы к публичным резолверам провайдера.

IT-специалист в кафе

Работает с корпоративной инфраструктурой через SSH и RDP. Sing-box:
- Направляет только трафик к корпоративным IP через защищённый туннель.
- Остальной трафик (YouTube, Telegram) идёт напрямую — без замедления.
- При обрыве связи SSH-сессия падает, но личные данные не уходят в сеть.

Пользователь торрентов

Хочет качать без риска для провайдера. Sing-box:
- Принудительно направляет весь P2P-трафик через сервер в Швейцарии.
- Включает строгий kill switch: при любом сбое — полный offline.
- Использует DNS-over-TLS, чтобы провайдер не видел имена трекеров.

Вывод

sing-box openwrt установка — это мощный, но ответственный шаг. Вы получаете гибкость enterprise-решения прямо на домашнем роутере, но теряете иллюзию «просто включил VPN». Без глубокого понимания маршрутизации, DNS и угроз DPI вы рискуете остаться с ложным чувством безопасности. Правильно настроенный sing-box на OpenWrt действительно защищает от слежки провайдера, обходит блокировки и предотвращает утечки. Но помните: ни один инструмент не заменит осознанного подхода к приватности. Проверяйте каждый слой — от юрисдикции сервера до правил nftables.

VPN замедляет интернет на сколько реально?

Зависит от протокола и сервера. WireGuard в sing-box добавляет 3–8 мс к пингу и снижает скорость на 3–8% на быстрых каналах (100+ Мбит/с). Shadowsocks или Trojan с обфускацией — до 15–20%. На медленных каналах (до 20 Мбит/с) разница почти незаметна.

Меня найдёт спецслужба при использовании VPN?

Если вы используете коммерческий VPN с логами и находитесь в РФ — да, по запросу ФСБ провайдер обязан передать данные. Sing-box с самоподнятным сервером в нейтральной юрисдикции (Исландия, Швейцария) снижает риск, но не даёт 100% анонимности. Важны также поведенческие факторы: уникальные cookies, время активности, связь аккаунтов.

🛡️Безопасный интернет

WireGuard или OpenVPN — что безопаснее?

WireGuard безопаснее: меньше кода (меньше уязвимостей), современная криптография (Curve25519, ChaCha20, Poly1305), perfect forward secrecy «из коробки». OpenVPN использует устаревшие шифры (AES-CBC), сложнее настраивается и медленнее. Однако WireGuard не маскирует трафик под HTTPS — для обхода DPI нужны дополнительные слои (reality, obfs4).

Нужно ли отключать IPv6 при использовании sing-box?

Да, если вы не настроили правила для IPv6 в sing-box. Иначе DNS и некоторые соединения пойдут напрямую через провайдера, что вызовет утечки. Лучше отключить IPv6 глобально в настройках LAN/WAN OpenWrt.

Можно ли использовать sing-box бесплатно?

Сам sing-box — бесплатен и open source. Но для работы нужен удалённый сервер. Бесплатные серверы крайне рискованны: они логируют трафик, продают данные или используют ваше устройство в ботнете. Минимальная безопасная стоимость — $3–5/мес за VPS в нейтральной юрисдикции.

🛠️Инструмент для работы

Как часто нужно обновлять sing-box на OpenWrt?

Рекомендуется обновлять раз в 1–2 месяца — выходят исправления уязвимостей и улучшения производительности. Следите за релизами на GitHub. Перед обновлением сохраняйте резервную копию config.json.