# Использование Meridian на маршрутизаторе

> Подключите домашний маршрутизатор к серверу Meridian с помощью podkop на OpenWrt или XKeen на Keenetic, чтобы все устройства в доме были защищены без установки приложения.

Маршрутизатор, на котором работает клиент прокси, защищает все устройства в доме, включая телевизоры и консоли, на которых нельзя установить приложение. Это руководство показывает две распространённые схемы: **podkop** на OpenWrt и **XKeen** на Keenetic. Обе это проекты сообщества, поэтому перед началом проверьте их страницы на предмет актуальных инструкций.

## Получите ссылку подключения

Дайте маршрутизатору собственный клиент, чтобы вы могли отключить его без отключения остальных:

```
meridian client add home-router
meridian client show home-router
```

`client show` выводит страницу подключения и URL подписки. Откройте страницу подключения: каждый путь (Reality, XHTTP, WSS и каждый ретранслятор) имеет кнопку **Скопировать ссылку**, которая копирует ссылку `vless://`.

Какую ссылку вставить:

- **Сначала Reality.** Это основной путь и тот, который может использовать каждый клиент маршрутизатора ниже.
- **XHTTP** требует клиента на основе Xray, который свежий и близко совпадает по версии с Xray сервера. Стандартный sing-box, и поэтому podkop, не имеет транспорта XHTTP; XKeen работает на Xray и может его использовать.
- **Записи ретранслятора** тоже ссылки Reality. Если ваш маршрутизатор находится в России и IP выхода заблокирован, вставьте ссылку ретранслятора вместо этого.
- **Hysteria2** это UDP и не проходит через ретрансляторы. Используйте его только если клиент маршрутизатора его поддерживает.

Вставленная ссылка это снимок. URL подписок обновляются самостоятельно, но в FAQ podkop указано, что встроенной поддержки подписей нет, поэтому когда вы позже добавите выход или ретранслятор, вставьте новую ссылку.

### Версии клиентов

Недавние серверы Xray отклоняют клиентов sing-box (podkop) и Mihomo по умолчанию, потому что эти клиенты объявляют старый номер версии. Выходы Meridian явно принимают каждый клиент, который говорит на Reality, поэтому это вас не касается. Если маршрутизатор всё ещё никогда не подключается, а `meridian test` проходит с вашего ноутбука, обновите ядро прокси маршрутизатора. На Keenetic `xkeen -ux` обновляет Xray в XKeen.

## OpenWrt с podkop

[podkop](https://podkop.net/) направляет через прокси только выбранные вами домены и списки, и отправляет всё остальное напрямую. Это подходит пользователям в России: отечественные сайты остаются на обычном подключении без дополнительных правил.

**Требования** (из [документации podkop](https://podkop.net/docs/install)): OpenWrt 24.10 (25.12 работает через apk) и около 20 МБ свободной памяти flash. Если sing-box ещё не установлен, podkop нужно 40 МБ свободной памяти в `/overlay`. Когда места мало, в FAQ podkop рекомендуют `sing-box-tiny`.

**Установка** из SSH оболочки маршрутизатора:

```
sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/podkop/refs/heads/main/install.sh)
```

Если GitHub недостижим с маршрутизатора, podkop документирует зеркало-загрузчик на странице установки.

**Настройка** в LuCI, на странице Podkop:

1. В разделе `Main` установите **Connection Type** на `Proxy`.
2. Установите **Configuration Type** на `Connection URL` и вставьте ссылку Reality `vless://`.
3. Выберите списки сообщества, которые вы хотите отправлять через Meridian, или добавьте свои домены.
4. **Save & Apply**, затем откройте вкладку Diagnostics. Запустите из LAN, а не через удалённую переадресацию портов.

Чтобы выполнить отказоустойчивость между прямой ссылкой Reality и ссылкой ретранслятора, выберите вместо этого **URLTest** и добавьте обе ссылки. sing-box затем будет проверять их и использовать рабочую.

## Keenetic с XKeen

[XKeen](https://github.com/jameszeroX/XKeen) устанавливает и управляет Xray на маршрутизаторах Keenetic через Entware. Активно поддерживаемая ветка также поддерживает Mihomo.

**Требования:** диск USB отформатированный в EXT4 с Entware и включённые компоненты ядра Netfilter маршрутизатора. Руководство XKeen рекомендует раздел подкачки на диске и отключение сжатия RAM в параметрах системы маршрутизатора.

**Установка** из оболочки Entware SSH в качестве root:

```
opkg update && opkg upgrade && opkg install curl tar && cd /tmp
sh -c "$(curl -sSL https://raw.githubusercontent.com/jameszeroX/XKeen/main/install.sh)"
```

**Настройка** файлов Xray в `/opt/etc/xray/configs/`. Поместите значения из ссылки Reality в `04_outbounds.json`:

```json
{
  "outbounds": [
    {
      "tag": "vless-reality",
      "protocol": "vless",
      "settings": {
        "vnext": [{
          "address": "198.51.100.10",
          "port": 443,
          "users": [{ "id": "UUID", "flow": "xtls-rprx-vision", "encryption": "none" }]
        }]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "fingerprint": "chrome",
          "serverName": "www.google.com",
          "publicKey": "PBK",
          "shortId": "SID"
        }
      }
    }
  ]
}
```

Ссылка несёт каждое значение: часть перед `@` это UUID, затем адрес и порт. В запросе `pbk` это `publicKey`, `sid` это `shortId`, `sni` это `serverName`, и `fp` это `fingerprint`. Оставьте `flow` как `xtls-rprx-vision`, когда ссылка имеет это.

Установите маршрутизацию в `05_routing.json`. Руководство XKeen описывает два способа: отправляйте через прокси только выбранные домены и список IP, или отправляйте `.ru`, `.su` и `.рф` напрямую и всё остальное через него. Затем проверьте и запустите:

```
xkeen -xtest
xkeen -start
```

## Отечественные сайты остаются прямыми

По умолчанию выход отказывает в трафике к российским доменам и диапазонам IP (`--geo-block`). Маршрутизатор, отправляющий всё через туннель, сломал бы российские сайты. Отправляйте их напрямую с маршрутизатора вместо этого; podkop делает это по дизайну, и с XKeen вы выбираете второй режим маршрутизации выше. [Разделённая маршрутизация](/ru/split-routing.md) объясняет слои.

## Подводные камни

- **Flash, RAM и CPU.** podkop нужно место для sing-box во flash, и маршрутизатор, уже переполненный, не сможет установить. Слабый CPU ограничит пропускную способность намного ниже скорости вашей линии, поэтому измерьте через маршрутизатор перед тем как полагаться на него.
- **Неправильный час.** Многие маршрутизаторы загружаются с неправильным временем, пока NTP не ответит. Проверки сертификатов TLS затем неудачны для страницы подписки, XHTTP, WSS и загрузок пакетов. В FAQ podkop вам говорят проверить дату маршрутизатора в первую очередь, когда установщик падает с ошибкой сертификата.
- **Утечка DNS.** podkop маршрутизирует по имени домена, поэтому устройства должны использовать маршрутизатор как сервер DNS и браузеры не должны обходить его со своим собственным защищённым DNS. Устройство на другом сервере DNS разрешит реальный адрес и пропустит туннель. По документации podkop это наиболее распространённая причина "работает на одном устройстве, не на другом".
- **VPN приложения на устройстве.** Телефон с собственным приложением VPN пропускает маршрутизацию маршрутизатора.
- **Отключённый клиент.** `meridian client disable home-router` отключает маршрутизатор до тех пор, пока вы не запустите `meridian client enable home-router`.

## Проверка

С устройства за маршрутизатором откройте страницу проверки IP: она должна показывать адрес вашего выхода. На вашей собственной машине `meridian test` проверяет доставленную подписку от конца к концу, и `meridian check` подтверждает серверную часть. Смотрите [Устранение неполадок](/ru/troubleshooting.md) если они не совпадают.
