VPN на роутере защищает всю домашнюю сеть одним подключением. Это удобно, если устройств много или часть из них не поддерживает VPN-приложения: Smart TV, игровые приставки PlayStation и Xbox, умные колонки, NAS. Один аккаунт + один роутер = защита 10–20 устройств в семье.
Совместимость с роутером. Самые удобные модели — Keenetic с KeenetiOS 3.7+, Mikrotik с RouterOS 7+, Asus с прошивкой Merlin, любой роутер на OpenWrt. У ExpressVPN есть собственная прошивка Aircove для роутеров. У остальных сервисов — готовые WireGuard или OpenVPN-конфиги, которые загружаются в админку.
Протокол. Для роутера важна скорость, потому что VPN-операции выполняет процессор роутера. WireGuard работает в 3–5 раз быстрее OpenVPN на одном железе. На бюджетных моделях (Keenetic Hopper, Mikrotik hAP lite) реальная VPN-скорость может быть ниже скорости интернета — это узкое место CPU. Для гигабитного канала нужен роутер с производительным процессором: Asus AX-серия, Mikrotik hAP ac3, Keenetic Ultra.
Способ установки. Три варианта по сложности. Своя прошивка — самый простой путь, у ExpressVPN это Aircove. Готовые конфиги — провайдер даёт WireGuard или OpenVPN-файл, вы загружаете его в роутер. Большинство сервисов работает так. Ручная настройка — приходится прописывать конфиг по гайду, дольше всего.
Минусы и обходные пути. Нет kill switch на уровне устройства — если соединение упадёт, трафик пойдёт напрямую. Сложнее быстро переключать сервер — нужно зайти в админку роутера. Часть устройств в сети может не нуждаться в VPN. Решение последнего — policy-based routing (поддерживается на Keenetic, Mikrotik, Asus Merlin): выбираете, какие устройства идут через VPN, а какие напрямую.