Raspberry Pi как VPN‑путевой роутер

Raspberry Pi, настроенный как портативный VPN-роутер

Зачем нужен Raspberry Pi в роли VPN‑роутера

Подключаясь к общему Wi‑Fi (кафе, отель, аэропорт), вы подвергаете личные данные риску: сетевая трафик может быть перехвачен, устройства атакованы через локальную сеть, а некоторые сервисы контролируют трафик. VPN защищает трафик, но если у вас несколько устройств, каждый клиент должен установить VPN‑соединение отдельно. Raspberry Pi, настроенный как портативный VPN‑роутер, выступает промежуточным шлюзом: все устройства подключаются к Pi по Wi‑Fi, а он — к интернету через VPN.

Кратко — преимущества:

Защита трафика с любого устройства без установки VPN‑клиента на каждое.
Централизованное управление соединением и простая смена Wi‑Fi сетей через веб‑интерфейс OpenWRT (LuCI).
Низкая стоимость и компактность.

Важно: устройство нужно корректно настроить, иначе вы рискуете DNS‑утечками, утечкой реального IP или снижением пропускной способности.

Что потребуется

Raspberry Pi (рекомендуется Pi 3 или Raspberry Pi Zero W) в корпусе
Один USB Wi‑Fi адаптер (или два — если модель Pi без встроенного Wi‑Fi)
microSD‑карта минимум 8 ГБ
SD‑ридер для записи образа
Качественный блок питания для Pi
ПК с SSH‑клиентом (или PuTTY на Windows)
Подписка на VPN с поддержкой OpenVPN и .ovpn‑файлом

Примечание: можно использовать Pi без встроенного Wi‑Fi, но тогда потребуется два USB‑адаптера или адаптер, который одновременно поддерживает режимы managed (клиент) и AP (точка доступа).

Подход и рекомендации

Коротко — как будет работать схема:

На microSD установлен OpenWRT — он превращает Pi в роутер с LuCI (веб‑GUI).
Встроенный Wi‑Fi (radio0) используется как точка доступа (AP) для ваших устройств.
USB‑адAPTER (radio1) выступает клиентом и подключается к доступной сети Wi‑Fi (гостевой сети отеля/кафе).
На Pi настроен OpenVPN‑клиент; весь исходящий трафик маршрутизируется через туннель tun0.
Для прохождения captive‑порталов используется смена MAC‑адреса USB‑адаптера на MAC вашего смартфона/ноутбука при регистрации.

Шаг 1. Установка OpenWRT на microSD

Экран Etcher при записи образа на SD-карту

Скачайте образ OpenWRT для вашей модели Raspberry Pi с официальной вики OpenWRT.
Распакуйте образ (7zip или аналог).
Запишите IMG‑файл на microSD с помощью Etcher: выберите образ, укажите диск и нажмите Flash.
Вставьте microSD в Raspberry Pi и включите питание.

Совет: перед прошивкой сохраните копию важной информации с карты, если она ранее использовалась.

Шаг 2. Первичная конфигурация через SSH

По умолчанию OpenWRT использует адрес 192.168.1.1. Чтобы избежать конфликтов, мы поменяем адрес сети на 192.168.38.1.

Подключите Raspberry Pi к ПК через Ethernet. При необходимости назначьте на ПК статический адрес в подсети 192.168.1.x или измените адрес на 192.168.38.x в процессе.
Подключитесь по SSH к 192.168.1.1 (пользователь root). На Windows используйте PuTTY.
При первом подключении согласитесь с предупреждением RSA‑ключа и задайте пароль:

passwd

Отредактируйте сетевые файлы.

Редактирование /etc/config/network

Откройте файл:

vim /etc/config/network

Нажмите I для перехода в режим редактирования и замените содержимое или внесите следующие блоки (убедитесь, что пути и имена интерфейсов соответствуют вашей установке):

config interface 'loopback'
    option ifname 'lo'
    option proto 'static'
    option ipaddr '127.0.0.1'
    option netmask '255.0.0.0'

config interface 'lan'
    option type 'bridge'
    option ifname 'eth0'
    option force_link '1'
    option proto 'static'
    option ipaddr '192.168.38.1'
    option netmask '255.255.255.0'
    option ip6assign '60'

config interface 'wwan'
    option proto 'dhcp'
    option peerdns '0'
    option dns '8.8.8.8 8.8.4.4'

config interface 'vpnclient'
    option ifname 'tun0'
    option proto 'none'

Сохраните изменения: нажмите Esc и введите

:wq

Редактирование /etc/config/firewall

Откройте файл:

vim /etc/config/firewall

Найдите или добавьте зону для WAN:

config zone
    option name wan
    option network 'wan wan6 wwan'
    option input ACCEPT
    option output ACCEPT
    option forward REJECT
    option masq 1
    option mtu_fix 1

После сохранения перезагрузите Pi:

reboot

Теперь основной IP вашего Pi будет 192.168.38.1.

Шаг 3. Обновление системы и установка пакетов

Подключитесь к сети через внутренний Wi‑Fi (или временно оставьте Ethernet) и зайдите в веб‑интерфейс OpenWRT — введите 192.168.38.1 в браузере.
Через LuCI: Network → Wireless — сканируйте и подключитесь к вашей домашней/гостевой Wi‑Fi сети. При первом подключении укажите WPA‑пароль и при необходимости установите Country Code (код страны) в Advanced Settings — иначе Wi‑Fi может не работать корректно.
После установления исходящего интернет‑соединения вернитесь в SSH и выполните обновление пакетов:

opkg update

Подтверждайте установку кнопкой Y, если требуется.

Драйверы USB Wi‑Fi и OpenVPN

Вам понадобятся драйверы для USB‑адаптера и пакеты OpenVPN, nano (удобный редактор) и утилиты USB.

Пример для адаптера на чипсете RT2870 (если ваш адаптер такой же):

opkg install kmod-rt2800-lib kmod-rt2800-usb kmod-rt2x00-lib kmod-rt2x00-usb kmod-usb-core kmod-usb-uhci kmod-usb-ohci kmod-usb2 usbutils openvpn-openssl luci-app-openvpn nano
ifconfig wlan1 up
reboot

Если вы не уверены в чипсете адаптера, подключите его и выполните:

opkg install kmod-usb-core kmod-usb-uhci kmod-usb-ohci kmod-usb2 usbutils
lsusb

По выводу lsusb определите идентификатор устройства и найдите соответствующие инструкции установки драйвера.

Терминал PuTTY с подключением к OpenWRT на Raspberry Pi

Шаг 4. Настройка точки доступа и клиентского Wi‑Fi

В LuCI откройте Network → Wireless. Если видите два радио (radio0 и radio1), radio0 — встроенное Wi‑Fi, radio1 — USB‑адаптер.
Для radio0 нажмите Add, чтобы создать интерфейс для AP и заполните поля:

Mode: Access Point
ESSID: имя сети по вашему выбору (по умолчанию OpenWRT)
Network: lan
Wireless Security → Encryption: WPA2‑PSK
Key: надёжный пароль

Сохраните.

Для radio1 (USB) используйте Scan → Join Network, чтобы подключиться к удалённой Wi‑Fi (гостевая сеть отеля/кафе). Введите WPA Passphrase и подтвердите.

После настройки вы должны иметь:

Точку доступа (AP) для ваших устройств.
Клиента (wwan) для подключения к внешней сети.

Проверьте подключение, подключившись к AP с телефона или ноутбука. Если всё работает — отключите Ethernet.

Интерфейс LuCI: настройки беспроводных сетей

Шаг 5. Настройка OpenVPN

Получите .ovpn‑файл от вашего провайдера VPN (обычно он содержит все настройки сервера/сертификатов).
Загрузите файл на Pi через SCP (WinSCP на Windows или scp в терминале). Загрузите как root и переименуйте в vpnclient.ovpn.

Загрузите в каталог:

/etc/openvpn

В LuCI → Services → OpenVPN настройте профиль клиента, указав путь к /etc/openvpn/vpnclient.ovpn. Либо при ручной конфигурации создайте init‑скрипт для autostart.

Примечание: документы OpenWRT содержат пошаговую инструкцию по созданию профиля OpenVPN; так как конфигурация уже загружена, вы можете пропустить этап вставки файла через cat.

Проверьте состояние:

В LuCI → Services → OpenVPN должен быть виден профиль vpnclient со статусом Started: yes.
Проверьте исходный IP (через сервисы типа ipleak.net) — он должен соответствовать VPN.

Если не видите изменений — перезагрузите Pi и проверьте логи OpenVPN:

logread | grep openvpn

Интерфейс LuCI: статус OpenVPN

Шаг 6. Прохождение captive‑portaлoв (регистрация на общественных Wi‑Fi)

Проблема: многие общественные Wi‑Fi требуют авторизации через captive‑portal. Если Pi сразу поднимает VPN, портал может не открыться.

Решение: временно клонировать MAC‑адрес устройства, с которого вы проходите регистрацию (смартфон/ноутбук). После регистрации VPN можно включить.

На телефоне или ноутбуке подключитесь к сети и завершите процедуру регистрации/captive.
Узнайте MAC телефона (Settings → About → Wi‑Fi MAC) — скопируйте его.
На Pi создайте скрипт автоматической подмены MAC (замените XX:XX:… на MAC вашего устройства):

nano /etc/init.d/wan-changer

Вставьте:

#!/bin/sh /etc/rc.common

START=10

start() {
    uci set wireless.@wifi-iface[1].macaddr='XX:XX:XX:XX:XX:XX'
    uci commit network
}

Сделайте файл исполняемым и включите автозапуск:

chmod +x /etc/init.d/wan-changer
/etc/init.d/wan-changer enable
reboot

После перезагрузки ваш USB‑адаптер будет иметь указанный MAC и сможет пройти через captive‑portal так, как это сделал ваш телефон.

Важно: не используйте чужие MAC без разрешения — это может нарушать правила сети.

Проверка и отладка

Контрольные точки:

Проверьте, что все устройства, подключённые к AP, получают адреса в подсети 192.168.38.0/24.
Убедитесь, что интерфейс tun0 поднят и маршрут по умолчанию указывает на него.

Команды для отладки:

ifconfig
ip route
logread | tail -n 50
cat /etc/config/network
cat /etc/config/firewall
opkg list-installed | grep openvpn

Проверьте DNS‑утечки: посетите сервисы проверки DNS (у провайдера VPN обычно есть тесты). Если публичный DNS показывает ваш реальный IP/поставщика — проверьте настройки firewall и uci для правил DNS и iptables.

Безопасность и жёсткая настройка (Security hardening)

Используйте только надежные пароли для LuCI и SSH. Отключите root‑доступ по паролю, если используете ключи.
Отключите SSH от внешних интерфейсов: в /etc/config/dropbear разрешите доступ только с lan.
Блокируйте входящие соединения на WAN‑зоне, оставив только необходимые порты.
Включите Firewall‑маскарадинг (nat) для wwan → lan.
Включите DNS‑перенаправление через VPN (оверуверы VPN), чтобы DNS‑запросы не уходили через гостевую сеть.

Пример правила iptables (настройки OpenWRT через uci предпочтительнее):

# запрещаем прямой доступ к DNS вне туннеля
uci set firewall.@redirect[-1]=redirect
uci set firewall.@redirect[-1].name='Force-DNS-via-VPN'
uci set firewall.@redirect[-1].src='lan'
uci set firewall.@redirect[-1].src_dport='53'
uci set firewall.@redirect[-1].proto='tcp udp'
uci set firewall.@redirect[-1].dest='vpnclient'
uci commit firewall
/etc/init.d/firewall restart

Совет: настройте автоматическую проверку статуса OpenVPN и перезапуск в случае падения.

Частые проблемы и как их решать

Нету интернета после подключения к AP
- Проверьте, поднят ли wwan (USB‑Wi‑Fi) и получает ли он IP по DHCP.
- Проверьте маршруты: ip route.
OpenVPN не подключается
- Проверьте логи OpenVPN: logread | grep openvpn.
- Убедитесь, что файлы сертификатов/ключей в .ovpn корректны и имеют права доступа.
DNS‑утечки
- Настройте DNS через VPN, заблокируйте порт 53 на выходе через wwan.
Не удаётся пройти captive‑portal
- Временно выключите OpenVPN и смените MAC на устройство, прошедшее регистрацию, затем включите VPN.

Проверочные сценарии (Test cases)

Подключение: смартфон подключается к AP и показывает интернет через VPN (проверить внешний IP).
Потеря VPN: симулировать падение OpenVPN и проверить, что маршруты корректно восстанавливаются и/или трафик не уходит в открытый интернет.
Captive‑portal: проверить, что процесс смены MAC позволяет зарегистрировать устройство.
DNS: выполнить проверку DNS‑утечек до и после подключения VPN.

Готовые шаблоны (чек‑лист для сборки)

Перед поездкой убедитесь, что:

MicroSD с OpenWRT записана и проверена.
OpenVPN .ovpn загружен в /etc/openvpn/vpnclient.ovpn.
AP настроен (ESSID + WPA2‑PSK).
USB‑Wi‑Fi драйверы установлены и адаптер виден в LuCI.
Скрипт wan‑changer настроен для MAC (если нужен captive‑portal).
Выполнена проверка DNS‑утечек.
Зарядка/питание рассчитаны на длительную работу.

Альтернативные подходы

Использовать обычный роутер с поддержкой OpenWRT или встроенным OpenVPN — проще, но менее портативно.
Использовать мобильный телефон как точку доступа и включённый VPN на телефоне — проще, но требует постоянной зарядки и может снижать скорость.
Покупка готового портативного VPN‑маршрутизатора (travel router) — дороже, но имеет поддержку производителя.

Когда Pi‑решение не подходит:

Вам нужна высокая пропускная способность (Gigabit) — Raspberry Pi и USB‑Wi‑Fi ограничивают скорость.
Требуется простота настройки для не‑технического пользователя — готовые устройства проще.

Соображения по совместимости и миграции

OpenWRT‑образ должен точно соответствовать модели Pi: Pi 3, Pi 4, Zero W имеют разные образы.
USB‑Wi‑Fi адаптеры лучше выбирать с широкой поддержкой Linux (чипсеты Atheros или Ralink льготнее поддерживаются).
Если планируете обновлять OpenWRT, делайте бэкап /etc и списка установленных пакетов.

Конфиденциальность и юридические заметки

Подписка на VPN может регулироваться политикой провайдера: ознакомьтесь с политикой логирования и требованиям вашей юрисдикции.
Не используйте чужие MAC‑адреса без разрешения.
Если используете сеть в гостинице или предприятии, соблюдайте их правила доступа.

Быстрая сводка параметров (Fact box)

Минимальные требования: Raspberry Pi + 8 ГБ microSD + 1 USB‑Wi‑Fi
Программное обеспечение: OpenWRT + OpenVPN
Типичный прирост безопасности: шифрование всего трафика через VPN
Ограничения: скорость зависит от модели Pi и USB‑адаптера

Роль‑ориентированные чек‑листы

Администратор сети:

Настроить firewall, DNS через VPN, мониторинг OpenVPN.

Путешественник/пользователь:

Проверить, что устройства подключаются к AP и пингуют внешние хосты.

Технический суппорт:

Подготовить запасной USB‑адаптер и заряды для питания.

Итог и рекомендации

Raspberry Pi — недорогой и гибкий инструмент для организации портативного VPN‑роутера. Он требует базовых навыков работы с Linux, SSH и сетевыми конфигурациями, но даёт мощный контроль: централизованное VPN‑соединение, гибкие правила firewall и удобный веб‑интерфейс для управления. Для большинства путешествий это удобный способ защитить трафик множества устройств.

Краткие рекомендации:

Всегда тестируйте конфигурацию дома перед поездкой.
Настройте автоматический мониторинг состояния OpenVPN и перезапуск в случае падения.
Проверьте DNS‑утечки и captive‑portal в условиях, близких к тем, в которых вы будете использовать устройство.

Ключевые шаги:

Установить OpenWRT на microSD.
Настроить сеть и firewall, поменять IP на 192.168.38.1.
Установить драйверы USB‑Wi‑Fi и OpenVPN.
Настроить radio0 как AP, radio1 как клиент.
Загрузить vpnclient.ovpn и включить автозапуск OpenVPN.
Реализовать смену MAC для captive‑portal при необходимости.

Если вы хотите, я могу подготовить компактную версию инструкции для печати (100–200 слов), список рекомендованных USB‑адаптеров для покупки в вашей стране или шаблон конфигураций OpenWRT под конкретную модель Raspberry Pi.

Критерии приёмки

Устройство успешно раздаёт Wi‑Fi и маршрутизирует трафик через OpenVPN.
Внешний IP соответствует VPN‑провайдеру.
DNS‑утечек не обнаружено.
Captive‑portal проходит при использовании временной подмены MAC (при необходимости).

Raspberry Pi как портативный VPN‑роутер: пошаговое руководство