VLESS клиент на MikroTik: полное руководство по настройке через контейнеры

Почему VLESS на MikroTik — это удобно и актуально

VLESS — современный прокси-протокол, который часто используется для обхода блокировок и защиты трафика. В отличие от традиционных VPN-решений, VLESS не имеет собственного шифрования, но работает поверх TLS, что делает его похожим на обычный HTTPS-трафик. Благодаря технологиям маскировки, таким как Reality, VLESS сложнее обнаружить системами глубокого анализа пакетов (DPI), которые активно применяются провайдерами.

Установка VLESS-клиента непосредственно на роутер MikroTik дает несколько важных преимуществ. Во-первых, весь домашний трафик — от компьютеров, телевизоров, игровых приставок и умных устройств — автоматически проходит через защищенный туннель без необходимости настраивать каждое устройство отдельно. Во-вторых, появляется гибкая маршрутизация: можно направить через VPN только определенные сайты или устройства, оставив остальной трафик у локального провайдера. В-третьих, роутер работает круглосуточно и автоматически восстанавливает соединение после сбоев, что особенно важно для стабильного доступа.

Однако стоит учитывать, что нативная поддержка VLESS в RouterOS отсутствует — в меню Interfaces нет соответствующего пункта. Поэтому основным способом является использование контейнеров (Container), которые доступны на устройствах с архитектурой ARM, ARM64 или x86. Это накладывает определенные требования к аппаратному обеспечению и версии RouterOS.

Требования к оборудованию и RouterOS

Прежде чем приступать к настройке, убедитесь, что ваш MikroTik соответствует минимальным требованиям. Во-первых, необходима RouterOS версии 7.x, желательно 7.15 или новее — в более свежих версиях исправлены критические ошибки, связанные с контейнерами и маршрутизацией. Во-вторых, устройство должно поддерживать технологию Container: это модели на базе ARM, ARM64 или x86. Например, популярные hAP ax2, hAP ax3, L009, RB5001 подходят, а старые модели на MIPSBE — нет.

Для хранения образов контейнеров и их файлов потребуется внешний накопитель — USB-флешка или SSD. Встроенной памяти в большинстве моделей недостаточно, особенно если вы планируете использовать несколько контейнеров (например, AdGuard Home, Xray и Tun2Socks). Рекомендуется использовать флешку с достаточным объемом (от 8 ГБ) и хорошей скоростью чтения/записи.

Также важно иметь действующий VLESS-сервер. Вам понадобятся следующие данные: адрес сервера, порт, UUID (идентификатор пользователя), SNI (Server Name Indication) и ShortID (для Reality). Обычно эти параметры предоставляются в виде ключа или ссылки. Если у вас нет своего сервера, можно воспользоваться платными или бесплатными сервисами, которые предоставляют VLESS-ключи.

Активация режима Container на MikroTik

Первым шагом является включение поддержки контейнеров в RouterOS. Для этого откройте терминал и выполните команду:

/system/device-mode/update container=yes

После этого потребуется физическое подтверждение: выключите роутер, зажмите кнопку Reset (или Mode, в зависимости от модели), включите питание и отпустите кнопку, когда начнет мигать светодиод. Это действие необходимо для применения изменений режима устройства.

После перезагрузки в меню WinBox или WebFig появится новый пункт Container. Теперь можно приступать к созданию виртуальных интерфейсов и мостов. Для сетевого взаимодействия контейнеров с роутером создайте мост (bridge) и виртуальные Ethernet-интерфейсы (veth). Например, можно создать мост Dockers с подсетью 10.6.0.0/24 и назначить каждому контейнеру отдельный IP-адрес в этой подсети.

Пример базовой настройки:

/interface bridge add name=Dockers
/ip address add address=10.6.0.1/24 interface=Dockers
/interface veth add address=10.6.0.2/24 gateway=10.6.0.1 name=VETH1-adguard
/interface veth add address=10.6.0.3/24 gateway=10.6.0.1 name=VETH2-xray
/interface veth add address=10.6.0.4/24 gateway=10.6.0.1 name=VETH3-tun
/interface bridge port add bridge=Dockers interface=VETH1-adguard
/interface bridge port add bridge=Dockers interface=VETH2-xray
/interface bridge port add bridge=Dockers interface=VETH3-tun

Эти команды создадут основу для дальнейшей настройки контейнеров.

Установка и настройка контейнера Xray-core

Xray-core — это основной компонент, который реализует клиентскую часть VLESS. Для его установки необходимо скачать образ из реестра контейнеров (например, teddysun/xray или другие сборки) и запустить его с примонтированным конфигурационным файлом.

Создайте файл config.json с параметрами вашего VLESS-сервера. В нем указываются адрес сервера, порт, UUID, SNI, fingerprint (например, chrome) и другие параметры. Этот файл нужно загрузить в память MikroTik (раздел Files) или на USB-накопитель, а затем примонтировать к контейнеру через Mounts.

Пример команды для создания контейнера:

/container add interface=VETH2-xray root-dir=usb1-part1/Containers/xray-core start-on-boot=yes workdir=/root dns=10.6.0.2

После запуска контейнера необходимо проверить, что Xray-core успешно подключился к серверу. Это можно сделать, выполнив команду log print в терминале MikroTik или проверив логи контейнера. Если все настроено правильно, контейнер будет работать как SOCKS5-прокси на определенном порту (например, 30804).

Важно: некоторые сборки Xray-core требуют ручного редактирования config.json после первого запуска. Для этого остановите контейнер, отредактируйте файл и запустите его снова. Убедитесь, что в конфиге корректно указан fingerprint: chrome для Reality, чтобы трафик выглядел как обычный HTTPS-запрос.

Настройка Tun2Socks для преобразования трафика

Tun2Socks — это утилита, которая создает виртуальный TUN-интерфейс и перенаправляет весь трафик через SOCKS5-прокси. В связке с Xray-core она позволяет превратить прокси в полноценный VPN-туннель для всех устройств в локальной сети.

Для установки Tun2Socks необходимо скачать образ (например, с GitHub) и запустить контейнер. После первого запуска остановите его и отредактируйте файл entrypoint.sh, который находится в корне контейнера. В этом файле нужно прописать команды для создания TUN-интерфейса и запуска Tun2Socks с указанием адреса SOCKS5-прокси (в нашем случае — IP-адрес контейнера Xray-core и порт).

Пример рабочего entrypoint.sh:

#!/bin/sh
sleep 2
ifconfig eth0 down
sleep 2
ifconfig eth0 up
ip tuntap add mode tun dev tun0
ip addr add 198.18.0.1/15 dev tun0
ip link set dev tun0 up
sleep 2
ifconfig tun0 down
sleep 2
ifconfig tun0 up
ip route del default
ip route add default via 198.18.0.1 dev tun0 metric 1
ip route add default via 10.6.0.1 dev eth0 metric 10
tun2socks -device tun0 -proxy socks5://10.6.0.3:30804 -interface eth0

Обратите внимание на команды ifconfig eth0 down/up и ifconfig tun0 down/up — они помогают решить проблему, когда контейнер не может установить соединение после перезапуска. Это известная особенность некоторых сборок, и добавление этих команд часто решает проблему.

После запуска контейнера Tun2Socks будет создавать TUN-интерфейс и перенаправлять трафик через Xray-core. Проверить работу можно, выполнив curl ifconfig.me внутри контейнера — вы должны увидеть IP-адрес вашего VPN-сервера.

Маршрутизация трафика: как направить устройства через VLESS

После того как контейнеры Xray-core и Tun2Socks запущены и работают, необходимо настроить маршрутизацию на роутере, чтобы трафик с локальных устройств проходил через туннель. Для этого используются таблицы маршрутизации, правила Mangle и NAT.

Создайте отдельную таблицу маршрутизации, например proxy_mark:

/routing table add disabled=no fib name=proxy_mark

Затем добавьте маршрут по умолчанию через TUN-интерфейс (IP-адрес контейнера Tun2Socks):

/ip route add dst-address=0.0.0.0/0 gateway=10.6.0.4 routing-table=proxy_mark

Теперь создайте правило Mangle, которое будет помечать пакеты, предназначенные для проксирования. Например, можно использовать список адресов route_proxy, в который вы добавите нужные IP-адреса или подсети:

/ip firewall mangle add chain=prerouting dst-address-list=route_proxy action=mark-routing new-routing-mark=proxy_mark passthrough=yes

Также необходимо добавить правило NAT для маскарадинга трафика, идущего через контейнеры:

/ip firewall nat add chain=srcnat out-interface=Dockers dst-address-list=route_proxy action=masquerade

Важно: трафик, помеченный для VPN, исключается из FastTrack, что увеличивает нагрузку на процессор. Поэтому рекомендуется направлять через VLESS только те ресурсы, которые действительно нужны, а не весь интернет. Для этого создайте список route_proxy и добавляйте в него только нужные домены или IP-адреса.

Оптимизация производительности и безопасности

Работа VLESS на MikroTik требует определенных ресурсов, особенно если используется несколько контейнеров. Чтобы избежать перегрева и снижения скорости, следуйте нескольким рекомендациям.

Во-первых, используйте FastTrack только для трафика, который не идет через VPN. Как уже упоминалось, пакеты, помеченные для прокси, не могут использовать FastTrack, поэтому они обрабатываются CPU. Если у вас слабый процессор, старайтесь минимизировать количество проксируемых ресурсов.

Во-вторых, настройте DNS с использованием DoH (DNS over HTTPS). Это предотвратит утечку DNS-запросов и скроет их от провайдера. В RouterOS это делается в разделе IP -> DNS: укажите серверы, например Cloudflare (1.1.1.1) или Google (8.8.8.8), и включите DoH.

В-третьих, создайте правило Kill Switch в Firewall, которое блокирует доступ в интернет для определенных устройств, если контейнер с VLESS остановился. Это предотвратит утечку реального IP-адреса в случае сбоя. Например, можно добавить правило, которое разрешает доступ в интернет только через TUN-интерфейс для устройств из списка vpn_devices.

Также регулярно обновляйте образы контейнеров. Новые версии Xray-core могут содержать исправления уязвимостей и улучшения производительности. При обновлении сохраняйте файл config.json — он примонтирован, поэтому настройки не потеряются.

Типичные проблемы и их решение

При настройке VLESS на MikroTik пользователи часто сталкиваются с рядом проблем. Одна из самых распространенных — контейнер Tun2Socks не может установить соединение после перезапуска. Как уже упоминалось, решение заключается в добавлении команд ifconfig eth0 down/up и ifconfig tun0 down/up в entrypoint.sh. Это помогает сбросить состояние сетевых интерфейсов.

Другая проблема — трафик с локальных устройств не проходит через туннель, хотя контейнеры работают. Причиной может быть неправильная маршрутизация. Убедитесь, что правило Mangle корректно помечает пакеты, а маршрут в таблице proxy_mark указывает на правильный шлюз. Также проверьте, что NAT-правило для маскарадинга настроено верно.

Иногда контейнер Xray-core останавливается сразу после запуска. Это может быть связано с ошибкой в config.json — проверьте синтаксис и правильность параметров. Также убедитесь, что у контейнера достаточно ресурсов (RAM, CPU). В некоторых случаях помогает увеличение лимита памяти в настройках контейнера.

Если вы используете несколько контейнеров, следите за тем, чтобы их IP-адреса не конфликтовали. Рекомендуется использовать разные подсети для моста Docker и локальной сети, чтобы избежать пересечений.

Альтернативные подходы: Sing-box и другие инструменты

Помимо связки Xray-core + Tun2Socks, существуют и другие способы запуска VLESS на MikroTik. Например, можно использовать Sing-box — универсальный прокси-клиент, который поддерживает множество протоколов, включая VLESS, Shadowsocks и Trojan. Sing-box может работать в режиме TUN, что упрощает настройку, так как не требует отдельного контейнера для Tun2Socks.

Для установки Sing-box необходимо скачать соответствующий образ и настроить конфигурационный файл. В нем указываются параметры подключения и правила маршрутизации. Sing-box также поддерживает раздельное туннелирование, что позволяет направлять через VPN только определенные приложения или домены.

Однако стоит отметить, что Sing-box может быть более ресурсоемким, чем Xray-core, особенно на слабых устройствах. Поэтому выбор между ними зависит от вашего оборудования и предпочтений. Некоторые пользователи отмечают, что Sing-box более стабилен в работе с Reality, но это субъективно.

Также можно рассмотреть вариант использования готовых сборок, таких как proxy combine harvester sing-box, которые включают в себя все необходимые компоненты. Однако такие сборки могут быть менее гибкими в настройке.

Заключение: стоит ли использовать VLESS на MikroTik

Настройка VLESS-клиента на MikroTik — это технически сложная, но выполнимая задача, которая дает значительные преимущества. Вы получаете защищенный доступ в интернет для всех устройств в доме, гибкую маршрутизацию и автономную работу. Однако это требует определенных знаний в области сетевых технологий и готовности к экспериментам.

Если у вас современный роутер с поддержкой контейнеров и достаточной производительностью, то VLESS на MikroTik — отличное решение. Оно особенно актуально в условиях, когда провайдеры активно блокируют традиционные VPN-протоколы. VLESS с Reality позволяет обходить эти ограничения, оставаясь незаметным для DPI.

Перед началом настройки убедитесь, что у вас есть все необходимые данные: актуальная версия RouterOS, подходящее оборудование, внешний накопитель и рабочий VLESS-сервер. Следуйте инструкциям, описанным в этой статье, и не бойтесь экспериментировать — в случае неудачи вы всегда можете вернуться к предыдущей конфигурации.

Если вы не уверены в своих силах, можно начать с использования VLESS-клиента на отдельном устройстве (например, на компьютере или смартфоне), а затем, освоившись, перенести настройку на роутер. В любом случае, VLESS — это надежный и современный протокол, который стоит освоить.

Вопросы и ответы