💡 Полезные Советы

Если при установке MeshAgent на Windows 11 возникает ошибка или он не устанавливается, попробуйте добавить компонент WMIC через PowerShell: Выполнять от имени Администратора: 

add-WindowsCapability -online -name WMIC 

Результат должен выглядеть следующим образом:

Path :
Online : True
RestartNeeded : False

После этого повторите установку MeshAgent

Microsoft удалила из Windows 11 функционал, позволявший бесплатно продлить активацию ОС до 2038 года через KMS.

Активатор KMS38 продлевал период активации Windows 11 до 2038 года. В последних обновлениях Patch Tuesday от ноября 2025 года (KB5068861, KB5067112) этот метод перестал работать. В Microsoft полностью отключили и удалили функцию GatherOSstate. Активация системы через скрипт KMS38 происходили путём обхода EXE-файла GatherOSstate.

После того как KMS38 стал нерабочим в обовлённой Windows 11, в MASSGRAVE порекомендовали использовать другие рабочие методы активации, включая HWID или TSforge.

Ниже представлен рабочий способ активации Windows 11.

Инструкция для активации Windows 11 и более поздних версий: (для активации потребуется доступ к интернету, так как это онлайн активация)

1 . Откройте PowerShell от имени администратора:

• Нажмите Пуск, введите PowerShell, затем откройте его.

2 . Скопируйте и вставьте приведённый ниже код, затем нажмите Enter.

• Для Windows 8, 10, 11: powershell:
   

• irm https://get.activated.win | iex

• Если описанный выше способ заблокирован (провайдером/DNS), попробуйте следующее (требуется обновлённая версия Windows 10 или 11): powershell:

• iex (curl.exe -s --doh-url https://1.1.1.1/dns-query https://get.activated.win | Out-String)

• Для Windows 7 и более поздних версий: powershell:

• iex ((New-Object Net.WebClient).DownloadString('https://get.activated.win'))

• Скрипт не запускается❓Воспользуйтесь вторым способом, описанным по ссылке: https://github.com/massgravel/Microsoft-Activation-Scripts.

DoH(DNS over HTTPS) - это протокол, который шифрует ваши DNS-запросы с помощью HTTPS, того же протокола, что защищает соединения с банками и интернет-магазинами. Вместо отправки простого текстового запроса на порт 53 (как в классическом DNS), DoH "упаковывает" его в зашифрованное HTTPS-соединение и отправляет на порт 443.

DNS over HTTPS (DoH) на роутере даёт следующие преимущества:

• Конфиденциальность: Ваш интернет-провайдер, администратор публичной Wi-Fi сети или любой человек в той же сети не может видеть, какие доменные имена вы запрашиваете. Они видят лишь одно зашифрованное соединение с IP-адресом DoH-резолвера.

• Целостность данных: Шифрование предотвращает подмену DNS-ответов (DNS spoofing). Злоумышленник не может перенаправить вас на фишинговый сайт, манипулируя DNS-запросами.

• Обход цензуры: Поскольку провайдер не может анализировать или блокировать отдельные DNS-запросы, многие виды блокировок на уровне DNS становятся неэффективными.

Инструкция для версии прошивки OpenWrt 24.10.4:

1 . Сделайте бэкап прошивки и сохраните её на отдельном диске или флешке

2 . Установите: luci-app-https-dns-proxy (для отображения в Web интерфейсе) и https-dns-proxy

3 . Зайдите по SSH на роутер и проверьте командой nslookup openwrt.org localhost - если появился ip значит всё в порядке

4 . По умолчанию установлен Cloudflare и Google, в списке есть множество известных публичных DNS, например Adguard для дополнительной блокировки рекламы и прочее. Если необходимо исправить зайдите в web интерфейсеServices -> HTTPS DNS Proxy -> HTTPS DNS Proxy - Instances меняем у которого порт 5053 -> Edit -> выбираем Provider из списка -> Save -> внизу страницы Save and Apply.

5 . HTTPS DNS Proxy - Status указаны какие прокси на каком порту работают.

Что делать, если в Web интерфейсе не появились Services -> HTTPS DNS Proxy?

Скорее всего необходимо очистить кэш браузера (Ctrl+F5) или не установилось luci-app-https-dns-proxy. Или попробуйте выйти и заново войти в LuCI и перезагрузить роутер.

Важное уточнение:

Недостаток DoH заключается в том, что при использовании публичных DNS-сервисов (например, Cloudflare или Google DNS) вы перекладываете доверие с провайдера на крупную компанию. С одной стороны, она обещает не передавать вашу информацию третьим лицам, с другой — фактически вы отдаете статистику о своих запросах другому крупному игроку на рынке.

Не забудьте протестировать на утечки и защиту ваши настройки:

Тест на утечку DNS

Тест DNSSEC

Протокол SSTP (Secure Socket Tunneling Protocol) придумала и разработала компания Microsoft.

Когда говорят что у Keenetic или Mikrotik "свой SSTP", имеется в виду не свой протокол, а своя программная реализация этого протокола.

Например как с веб-браузерами:

1. Протокол: Есть стандарт HTTPS, по которому работают современные сайты.

2. Реализация: Есть Google Chrome, Mozilla Firefox, Apple Safari. Это разные программы (разные реализации), написанные разными компаниями, но все они "понимают" один и тот же протокол HTTP.

Что значит свой SSTP на Keenetic?

Это значит, что инженеры Keenetic написали собственный код (свою программу-клиент и программу-сервер), который работает по правилам (стандарту) протокола SSTP от Microsoft.

Чем он отличается от других (например, от того, что в Windows)?

1. По протоколу - ничем. Он полностью совместим. Клиент SSTP на Windows 10/11 может без проблем подключиться к SSTP-серверу, поднятому на Keenetic. И наоборот, роутер Keenetic (как клиент) может подключиться к SSTP-серверу на Windows Server.

2. По реализации - всем. Он написан на другом языке программирования, оптимизирован для работы на оборудовании Keenetic (у роутеров меньше оперативной памяти и более слабые процессоры, чем у ПК) и встроен в их операционную систему KeeneticOS. Реализация Microsoft встроена в Windows.

А на Mikrotik есть SSTP? Там тоже свой SSTP?

Да, на Mikrotik (в RouterOS) есть SSTP. Он поддерживается уже много лет и отлично работает.

И да, там тоже "свой SSTP". Точно так же, как и Keenetic, компания Mikrotik написала свою собственную программную реализацию протокола SSTP, чтобы он работал в их операционной системе RouterOS. Эта реализация также полностью совместима со стандартом Microsoft.

Протокол (стандарт) один - его придумала Microsoft. А вот реализаций (программ, которые этот протокол используют) много.

В чем главная фишка SSTP?

Главная фишка SSTP - это его способность маскироваться под обычный HTTPS-трафик.

1 . Обход блокировок (Firewall/DPI): Это его основное преимущество. SSTP инкапсулирует VPN-трафик в HTTPS (SSL/TLS) соединение. Большинство межсетевых экранов (файрволов) и систем глубокого анализа пакетов (DPI - Deep Packet Inspection) пропускают HTTPS-трафик, так как это стандартный протокол для защищенных веб-сайтов (банков, магазинов, почты и т.д.). Для DPI трафик SSTP выглядит как обычный HTTPS.

• В отличие от OpenVPN, который может быть настроен на любой порт и легко идентифицируется DPI, если не применять обфускацию, SSTP по умолчанию "выглядит" как веб-трафик.

• WireGuard хоть и быстр, но его трафик также может быть идентифицирован DPI, если не использовать маскировку.

2 . Надежное шифрование: SSTP использует SSL/TLS для шифрования, что обеспечивает высокий уровень безопасности. Это те же криптографические стандарты, что используются для защиты банковских транзакций в интернете.

3 . Встроенная поддержка в Windows: Поскольку SSTP разработан Microsoft, он встроен во все современные версии Windows, что делает его очень простым в настройке для клиентов на Windows — не требуется установка дополнительного ПО.

4 . Удобство для администраторов (Windows-среда): Для организаций, полностью построенных на инфраструктуре Windows Server (Active Directory, RRAS), SSTP является естественным выбором для удаленного доступа, так как он легко интегрируется с этими системами.

Как работает SSTP?

1 . Инкапсуляция в HTTPS:

• SSTP устанавливает VPN-туннель через протокол HTTPS. Это означает, что он использует TCP-порт 443 (стандартный порт для HTTPS).

• Когда вы подключаетесь к SSTP-серверу, ваш клиент инициирует обычное HTTPS-соединение. Внутри этого HTTPS-соединения SSTP создает свой собственный туннель.

2 . SSL/TLS Handshake:

• Как и любое HTTPS-соединение, SSTP сначала выполняет SSL/TLS "рукопожатие" (handshake), чтобы установить защищенный канал. На этом этапе клиент и сервер обмениваются сертификатами (обычно сервер отправляет свой сертификат клиенту, чтобы клиент мог убедиться в подлинности сервера) и договариваются о параметрах шифрования.

• Это ключевой момент для обхода DPI: на данном этапе трафик выглядит идентично обычному HTTPS.

3 . Аутентификация и туннель:

• После установления защищенного TLS-канала, внутри него происходит аутентификация пользователя (по логину/паролю или другим методам).

• После успешной аутентификации устанавливается сам VPN-туннель, и весь сетевой трафик клиента начинает проходить через этот защищенный туннель.

SSTP является одним из наиболее эффективных протоколов для обхода DPI и файрволов, которые блокируют VPN-трафик. Его главный козырь - использование стандартного порта 443 и маскировка под HTTPS. Это делает его очень полезным в сетях с жесткими ограничениями или в странах, где VPN-трафик активно блокируется.

Золотое правило обновления OpenWrt: "Обновлять прошивку без сохранения настроек всех настроек". Иначе могут возникать различные проблемы и конфликты.

Вот полезная инструкция для тех, кто столкнется с такой же проблемой.

Симптомы(Это означает, что проблема на 100% в настройках роутера.):

• На компьютере ошибка "Не удается связаться с DNS-сервером".

• В интерфейсе OpenWrt (Network -> Interfaces) на wan-интерфейсе есть исходящие пакеты (TX), но нет входящих (RX: 0 B (0 Pkts.)).

• Если подключить кабель провайдера напрямую к компьютеру - интернет есть.

Небольшая инструкция:

1. Скачайте нужный файл прошивки с официального сайта OpenWrt. (Используйте образ Sysupgrade образ можно использовать с веб-интерфейсом LuCI или в терминале.)

2. Зайдите в System -> Backup / Flash Firmware.

3. Загрузите прошивку. В процессе обновления НИ в коем случае НЕ отключайте питание.

4. В процессе обновления ОБЯЗАТЕЛЬНО снимите галочку "Keep settings" (Сохранить настройки).

5. Роутер перезагрузится с настройками по умолчанию. (нужно будет настроить всё с нуля)

Это устраняет 90% всех проблем, связанных с обновлением, включая "призрачные" интерфейсы вроде br-wan, ошибки со значками из-за установки различных сторонних пакетов и прочее.

Защита по MAC-адресу (Media Access Control address) у провайдера - это мера безопасности, при которой провайдер разрешает доступ в интернет только устройствам с определенным, заранее зарегистрированным MAC-адресом (обычно это MAC-адрес вашего первого роутера или сетевой карты компьютера).

Этот механизм называется привязкой по MAC-адресу и используется для:

• Идентификации абонента: Устройство с привязанным MAC-адресом однозначно идентифицирует вас в сети провайдера.

• Ограничения несанкционированного доступа: Это предотвращает возможность подключения к вашей линии интернета других пользователей, например, соседей, если они просто воткнут кабель в свой роутер или компьютер.

При замене роутера на новый у него, естественно, будет другой MAC-адрес. Провайдер "видит" новый, незарегистрированный MAC-адрес и блокирует ему доступ к сети, поскольку считает его чужим или неавторизованным устройством. Поэтому интернет не появляется.

Какие настройки нужно изменить у провайдера?

Чтобы получить доступ в интернет с новым роутером, нужно, чтобы провайдер внес изменения в свою систему. Есть два основных способа:

1 . Сброс/Изменение привязки MAC-адреса у провайдера

• Вам нужно сообщить провайдеру (по телефону, в личном кабинете или чате) новый MAC-адрес WAN-порта вашего нового роутера.

• Провайдер удалит старый MAC-адрес из своей системы и зарегистрирует (пропишет) новый MAC-адрес вашего роутера. После этого ваш новый роутер получит доступ к сети.

2 . Клонирование MAC-адреса на новом роутере

• В этом случае вы сами в настройках нового роутера (в разделе WAN или Интернет, функция называется "Клонировать MAC-адрес" или "MAC Clone") прописываете MAC-адрес старого роутера или компьютера, который был привязан изначально.

• Новый роутер начнет "притворяться" старым устройством, используя его MAC-адрес. Поскольку для провайдера адрес не изменился, доступ в интернет восстанавливается без обращения в техподдержку.