Amnezia for AWG conf: настройка конфигурации AmneziaWG для роутеров и клиентов

Что такое AmneziaWG и зачем нужен конфиг

AmneziaWG — это форк WireGuard, созданный для обхода блокировок и защиты от глубокого анализа трафика (DPI). В отличие от классического WireGuard, который легко детектируется по фиксированным заголовкам и размерам пакетов, AmneziaWG добавляет несколько уровней обфускации, сохраняя при этом высокую производительность и безопасность исходного протокола.

Конфигурационный файл (conf) — это текстовый файл, содержащий все параметры, необходимые для установки VPN-соединения: ключи, адреса, параметры обфускации и маршрутизации. Понимание структуры конфига позволяет вручную настраивать клиенты, роутеры и даже создавать собственные конфигурации для нестандартных сценариев.

AmneziaWG использует те же криптографические алгоритмы, что и WireGuard (ChaCha20-Poly1305), но добавляет механизмы маскировки трафика, которые делают его неотличимым от обычного UDP-трафика, например, QUIC или DNS. Это особенно важно в странах с жёсткой интернет-цензурой, где DPI-системы активно блокируют VPN-протоколы.

Форматы конфигурации: AmneziaWG native и vpn://

Существует несколько способов представления конфигурации AmneziaWG. Самый распространённый — это текстовый файл в формате INI, который содержит секции [Interface] и [Peer]. Такой файл можно импортировать в большинство клиентов, включая приложение AmneziaVPN, а также использовать для настройки роутеров.

Однако при использовании официального приложения AmneziaVPN для создания сервера вы можете получить ссылку вида vpn://. Это не обычный конфиг, а закодированная строка, содержащая все параметры подключения. Чтобы преобразовать её в читаемый формат, в приложении AmneziaVPN нужно перейти в раздел "Share VPN Access" и выбрать "AmneziaWG native format" в качестве формата подключения. После этого вы получите стандартный конфиг, который можно использовать в других клиентах.

Если вы не являетесь владельцем сервера и получили ссылку vpn://, существуют сторонние декодеры, например, для Windows, но их вывод может быть трудночитаемым. В этом случае придётся вручную сопоставлять полученные параметры с примером конфига, чтобы найти нужные значения.

Ключевые параметры конфига AmneziaWG

Конфигурационный файл AmneziaWG состоит из двух основных секций. В секции [Interface] указываются параметры клиента: приватный ключ, адрес в VPN-сети, а также параметры обфускации. В секции [Peer] — параметры сервера: публичный ключ, endpoint (адрес и порт), разрешённые подсети и интервал keepalive.

Основные параметры обфускации:

• Jc, Jmin, Jmax — определяют количество и размер "мусорных" пакетов, отправляемых перед началом VPN-сессии. Это затрудняет определение момента начала рукопожатия.
• S1, S2 — добавляют случайные байты к пакетам рукопожатия, изменяя их размер. S1 относится к Init-пакету, S2 — к Response.
• H1, H2, H3, H4 — используются для динамического изменения заголовков всех типов пакетов WireGuard (Init, Response, Cookie, Data). Значения должны быть в заданных диапазонах и не пересекаться.

Пример конфига:

[Interface]
PrivateKey = HNecyq7AWW42URwuINa3bavAPYsasGnbMXzNzLgBT3s=
S1 = 0
S2 = 0
Jc = 3
Jmin = 10
Jmax = 50
H1 = 904321824
H2 = 245411986
H3 = 663334667
H4 = 1944657114
Address = 172.16.0.2

[Peer]
PublicKey = bmXOC+F1FxEMF9dyiK2H5/1SUtzH0JuVo51h2wPfgyo=
AllowedIPs = 0.0.0.0/0
Endpoint = HOST:IP

Важно: если вы используете AmneziaWG с сервером WireGuard (без обфускации на сервере), параметры S1, S2, H1-H4 должны быть установлены в стандартные значения: S1=0, S2=0, H1=1, H2=2, H3=3, H4=4. В противном случае соединение не установится.

Настройка AmneziaWG на роутерах OpenWrt

OpenWrt — популярная прошивка для роутеров, которая позволяет гибко настраивать сетевые сервисы, включая VPN. Для установки AmneziaWG на OpenWrt необходимо установить несколько пакетов: kmod-amneziawg, amneziawg-tools и luci-proto-amneziawg (или luci-app-amneziawg). Эти пакеты отсутствуют в стандартном репозитории, поэтому их нужно устанавливать вручную или с помощью скрипта.

Автоматическая установка выполняется командой:

sh <(wget -O - https://raw.githubusercontent.com/Slava-Shchipunov/awg-openwrt/refs/heads/master/amneziawg-install.sh)

При запуске скрипт спросит, нужно ли настраивать интерфейс — в этом случае ответьте N, если вы планируете настраивать его вручную. Для ручной установки необходимо скачать три файла, соответствующих архитектуре вашего процессора, и установить их через opkg install.

После установки пакетов можно настроить интерфейс через веб-интерфейс LuCI или через командную строку. В LuCI нужно перейти в Network -> Interfaces, добавить новый интерфейс с протоколом AmneziaWG VPN и импортировать конфигурацию из файла или ввести параметры вручную.

Импорт конфига в LuCI и ручная настройка

В LuCI процесс настройки AmneziaWG интуитивно понятен. После создания интерфейса с протоколом AmneziaWG VPN вы можете либо импортировать конфигурацию из файла, нажав кнопку "Load Configuration", либо ввести все параметры вручную.

При импорте конфига важно учитывать, что в версиях OpenWrt ниже 24.10.1 данные для вкладки "AmneziaWG Settings" могут вставляться некорректно. В этом случае нужно переключиться на эту вкладку и внести параметры обфускации вручную из вашего конфига.

После импорта перейдите на вкладку "Peers" и нажмите "Edit". Установите значение "Persistent Keep Alive" равным 25 — без этого туннель не сможет установить соединение. Если в конфиге были указаны DNS-серверы, проверьте вкладку "Advanced Settings" и при необходимости удалите их из поля "Use custom DNS servers".

При ручном вводе параметров нужно перенести значения из секции [Interface] в поля "Private Key" и "IP Addresses" на вкладке "General Settings". Поле "Public Key" не генерируется автоматически, поэтому после сохранения и повторного открытия интерфейса его нужно будет заполнить вручную или сгенерировать командой echo 'приватный_ключ' | amneziawg pubkey.

Настройка через командную строку и UCI

Для опытных пользователей более удобным может быть настройка через командную строку. В OpenWrt конфигурация AmneziaWG хранится в файле /etc/config/network. Добавьте секцию interface для AmneziaWG и секцию amneziawg_awg0 для пира.

Пример конфигурации для файла /etc/config/network:

config interface 'awg0'
    option proto 'amneziawg'
    option listen_port '51820'
    option private_key 'ПРИВАТНЫЙ_КЛЮЧ'
    list addresses '172.16.0.2'
    option awg_s1 '0'
    option awg_s2 '0'
    option awg_jc '3'
    option awg_jmin '10'
    option awg_jmax '50'
    option awg_h1 '904321824'
    option awg_h2 '245411986'
    option awg_h3 '663334667'
    option awg_h4 '1944657114'

config amneziawg_awg0
    option name 'awg0_client'
    option route_allowed_ips '0'
    option persistent_keepalive '25'
    list allowed_ips '0.0.0.0/0'
    option endpoint_host 'HOST'
    option endpoint_port '51820'
    option public_key 'ПУБЛИЧНЫЙ_КЛЮЧ'
    # option preshared_key 'ПРЕШАРЕННЫЙ_КЛЮЧ' # только если есть

Альтернативно можно использовать команды UCI для настройки без редактирования файлов. После внесения изменений необходимо перезагрузить сеть или интерфейс.

Проверить работу интерфейса можно командой ip a | grep awg0 — вы должны увидеть интерфейс с назначенным IP-адресом. Статистику подключения показывает команда amneziawg show: в выводе должно быть указано время последнего рукопожатия (latest handshake) и объём переданных данных (transfer).

Использование AmneziaWG с Cloudflare WARP

Cloudflare WARP — это бесплатный VPN-сервис от Cloudflare, который часто используется для обхода блокировок. AmneziaWG можно использовать вместе с WARP, чтобы добавить обфускацию к трафику WARP и повысить устойчивость к DPI.

Для этого необходимо сгенерировать конфигурацию AmneziaWG, которая подключается к endpoint Cloudflare (например, engage.cloudflareclient.com:4500). Существуют специальные генераторы конфигов, которые позволяют собрать такой .conf файл, выбрав параметры обфускации и маршрутизации.

При использовании WARP важно правильно настроить параметры AllowedIPs. Если указать 0.0.0.0/0, весь трафик будет идти через туннель (full tunnel). Можно также использовать route presets — наборы CIDR-диапазонов, чтобы через туннель шёл только определённый трафик. Однако следует помнить, что слишком длинные списки маршрутов могут не поддерживаться некоторыми роутерами и мобильными клиентами.

Также при использовании WARP может потребоваться указать Firewall Mark в дополнительных настройках, как описано в документации.

Генераторы конфигов и диагностика подключения

Ручное создание конфигурации AmneziaWG может быть трудоёмким, особенно если нужно настроить множество параметров. Для упрощения процесса существуют веб-генераторы, например, AmneziaWG Config Generator. Эти инструменты позволяют выбрать формат конфига (Legacy или AWG 2.0), настроить AllowedIPs, DNS, endpoint и другие параметры, а затем скачать готовый .conf файл или получить ссылку vpn:// для мобильного импорта.

Генераторы также полезны для диагностики проблем. Например, если подключение работает через LTE, но не через Wi-Fi, проблема может быть в UDP-фильтрации или NAT в локальной сети. Если hostname endpoint не работает, а прямой IP — работает, скорее всего, проблема в DNS. Генераторы часто предоставляют подсказки по таким типичным сценариям.

При использовании генераторов важно помнить, что они не гарантируют одинаковую работу в любой сети. Подключение зависит от множества факторов: клиента, endpoint, UDP-фильтрации, DNS, маршрутизации, WARP API, NAT и ограничений устройства. Поэтому всегда стоит проверять конфигурацию в реальных условиях.

Проверка работоспособности и устранение неполадок

После настройки AmneziaWG важно убедиться, что туннель действительно работает. В LuCI можно перейти в раздел Status -> AmneziaWG и проверить, что значение "Latest Handshake" меньше двух минут, а счётчики "Data Received" и "Data Transmitted" не равны нулю.

В командной строке используйте amneziawg show для просмотра статистики. Пример вывода:

peer: bmXOC+F1FxEMM9dyiK2H5/1SUtzL0JuVo51h2wPfgyo=
  endpoint: HOST:PORT
  allowed ips: 0.0.0.0/0
  latest handshake: 1 minute, 49 seconds ago
  transfer: 1.08 KiB received, 340.04 KiB sent
  persistent keepalive: every 25 seconds

Если handshake не обновляется или данные не передаются, проверьте:

• Правильность введённых ключей и параметров обфускации.
• Наличие PersistentKeepalive (значение 25).
• Правильность endpoint (адрес и порт).
• Отсутствие конфликтов с файрволом.
• Доступность UDP-порта на сервере.

Также можно выполнить пинг через интерфейс: ping -I awg0 8.8.8.8.

Совместимость с WireGuard и ограничения

AmneziaWG полностью совместим с WireGuard, если отключить все параметры обфускации. Это означает, что конфигурацию AmneziaWG можно использовать с обычным WireGuard-сервером, но только если параметры S1, S2, H1-H4 установлены в стандартные значения (S1=0, S2=0, H1=1, H2=2, H3=3, H4=4). В противном случае соединение не установится.

Однако обратная совместимость не гарантируется: WireGuard-клиент не сможет подключиться к серверу AmneziaWG, если на сервере включена обфускация. Это важно учитывать при настройке.

AmneziaWG работает на всех основных операционных системах, включая Windows, macOS, Linux, Android и iOS. Он также может работать на роутерах с OpenWrt. Благодаря использованию UDP, AmneziaWG обеспечивает низкую задержку и хорошую производительность.

Одним из ограничений является то, что параметры обфускации должны быть одинаковыми на клиенте и сервере. Если вы используете сторонний сервер, убедитесь, что он поддерживает AmneziaWG и что у вас есть все необходимые параметры.

Вопросы и ответы