Если что-то не так

Большинство затруднений видно прямо в веб-интерфейсе. Начните с колокола уведомлений вверху экрана, затем загляните во встроенную диагностику и журнал событий. Если продукт ещё не установился или установка зависла — начинайте с раздела «Установка зависла или идёт слишком долго» ниже.

Установка зависла или идёт слишком долго

Установщик предупреждает об этом сам: «Установка пакета занимает до 5 мин». Пять минут — это норма, особенно на роутере с медленным USB-накопителем: пакет весит 20–40 МБ, его нужно скачать, проверить по контрольной сумме и распаковать. На этом этапе делать ничего не нужно.

Если прошло больше десяти минут и на экране ничего не меняется — откройте второе окно SSH (первое не закрывайте) и посмотрите, жив ли процесс и чем он занят:

ps w | grep -i install      # процесс установки ещё работает?
top -bn1 | head -12         # ест процессор, ждёт диск или спит
df -h / /opt /tmp           # свободное место: система и накопитель
free -m                     # свободная память

Живой процесс, который что-то делает, — повод подождать ещё. Чтобы это было видно наверняка, посмотрите, чем процесс занят и растут ли счётчики:

ps w | grep -i install              # номер процесса (PID) — в первом столбце
cat /proc/<PID>/wchan               # чего он ждёт: сеть, диск или ввод
cat /proc/<PID>/io                  # read_bytes и write_bytes — замерьте дважды

Если за 5–10 минут read_bytes или write_bytes выросли — установка идёт, просто медленно: так ведут себя слабые флешки. Если счётчики стоят, а в wchan видно ожидание диска (ext4, jbd2, usb) — дело в накопителе. Если процесса нет, а установка «стоит», прервите её сочетанием Ctrl+C: это безопасно, установщик убирает за собой временные файлы. Дальше начинайте заново — и сразу с журналом, как описано ниже.

Что проверять по шагам

1. Свободное место — самая частая причина. Продукту нужно: свежая установка — 161–169 МБ на aarch64 и armv7, 279 МБ на mipsel; при обновлении — до 238–356 МБ, потому что прежняя версия сохраняется для отката. Посмотрите df -h / (встроенная память) и df -h /opt (накопитель, на котором живёт Entware) и освободите место: старые архивы, логи, ненужные пакеты. Заполненный накопитель — это не зависание: установка ждёт место, которого нет. На OpenWrt после освобождения места перезагрузите роутер — так свободное место становится видно системе.

2. Интернет и DNS. Убедитесь, что роутер видит сеть и умеет разрешать имена:

ping -c 3 1.1.1.1           # есть ли связь по адресу
nslookup kvaspro.su         # отвечает ли сервер имён

Если по адресу связь есть, а по имени — нет, виноват DNS: каждый запрос «залипает» на десятки секунд, и установка выглядит зависшей. На время установки можно вернуть DNS провайдера или указать публичный (1.1.1.1, 8.8.8.8): на Keenetic — в разделе сетевых настроек, на OpenWrt — серверы имён в настройках интерфейса. После установки верните свои значения.

3. Часы роутера. Если время сбито, проверка сертификатов при скачивании падает, и установка может стоять на месте. Посмотрите date — часы должны совпадать с реальными. На OpenWrt время подтягивается службой sysntpd; после появления сети оно приходит само, но сразу после включения питания его может ещё не быть.

4. Накопитель. Медленный или повреждённый USB-накопитель (особенно USB 2.0 и дешёвые флешки) растягивает установку на минуты, а при ошибках файловой системы — на неопределённое время. Посмотрите dmesg | tail -20: ошибки ввода-вывода означают, что дело в накопителе — попробуйте другой. Ошибки вида I/O error, ext4-fs error или Read-only file system говорят, что накопитель пора проверять и менять.

5. Прошлая попытка и блокировка пакетного менеджера. Иногда остаётся «залипший» процесс или файл блокировки от прерванной установки. Посмотрите:

ps w | grep -iE 'kvaspro|opkg|apk|install'
ls -l /usr/lib/opkg/lock            # Entware и OpenWrt 24.10 и старше
ls -l /lib/apk/db/lock              # OpenWrt 25.12 и новее

Файл блокировки лежит во флеш-памяти и переживает перезагрузку, поэтому «сам» он не исчезнет. Удаляйте его только убедившись, что процессов установки нет. Если процесс есть, но работа не идёт, снимите его (kill <номер>); если процесс не реагирует — помогает перезагрузка.

6. Свободная память. free -m: если памяти почти не осталось, система может прерывать установку (срабатывает защита от нехватки памяти — в журнале это видно как Out of memory: Killed process). Перезагрузите роутер, закройте тяжёлые задачи и попробуйте снова. На роутерах с малым объёмом памяти помогает ключ --staging <каталог>: установщик распакует архив на диск, а не в память.

7. Обрыв сеанса SSH. Если связь с роутером пропала (Wi-Fi, мобильная сеть), терминал молчит, а установка может спокойно идти дальше. Зайдите вторым сеансом и посмотрите ps w: если процесс жив — не запускайте второй установщик, дождитесь окончания первого.

Если сеть работает с ограничениями

Бывает так: интернет вроде есть, обычные сайты открываются, а нужный сервер не отвечает. Для установки это чаще всего хранилище Entware — bin.entware.net: с него берётся сам Entware, и доступ к нему ограничивают не только провайдеры (он бывает недоступен из отдельных сетей и стран). Признак: связь до других узлов есть, а скачивание с этого адреса стоит и заканчивается таймаутом.

Проверить просто — попробуйте открыть адрес хранилища из браузера или командой wget -S --spider https://bin.entware.net/ на роутере. Дальше есть три попытки, от самой дешёвой к самой надёжной.

1. Дополнительные DNS-серверы. Пропишите на роутере публичные серверы имён — например, Яндекс (77.88.8.8) или Google (8.8.8.8); на Keenetic порядок описан в справке «Дополнительные DNS-серверы». Помогает это не всегда: если ограничение не в именах, а в самом доступе к узлу, смена DNS ничего не изменит — но попытка дешёвая, и её стоит сделать первой.

2. Попробуйте другого провайдера. Самый быстрый способ понять, в провайдере ли дело, — раздать интернет с телефона и подключить роутер к этой сети, временно отключив основное подключение. На Keenetic это описано в справке «Подключение роутера к Интернету через другую сеть Wi-Fi (Wireless ISP)»; на OpenWrt то же самое делается подключением к гостевой сети телефона в разделе беспроводных сетей.

3. Возьмите файл с зеркала. У хранилища Entware есть зеркала, и путь на них такой же, как на основном сайте — <платформа>/installer/<платформа>-installer.tar.gz. Одно из проверенных зеркал — Национальный университет Нанкина: mirrors.nju.edu.cn/entware. Например, для MIPS с прямым порядком байт установщик лежит здесь: mirrors.nju.edu.cn/entware/mipselsf-k3.4/installer/mipsel-installer.tar.gz. Скачанный архив ставится так же, как обычный: файл кладут на накопитель и запускают из него.

4. Пусть это сделают установщик и продукт сами. Если пакеты не скачиваются, а интернет работает, установщик умеет заменить адрес хранилища в /opt/etc/opkg.conf на зеркало mirrors.nju.edu.cn (по защищённому https), обновить список пакетов и повторить загрузку: ничего делать руками не нужно, и на экране видно, что именно он сделал.

Но сегодня эта замена не делается — и это защита, а не поломка. Замена возможна только при включённой проверке подписи пакетов — строке option check_signature 1 в /opt/etc/opkg.conf: с ней opkg сверяет пакеты с ключом раздачи, и чужой адрес не может подсунуть свои. Подписей у раздачи Entware сегодня нет (Packages.sig на основном адресе отвечает «файл не найден»), поэтому замена адреса на зеркало не делается ни установщиком, ни продуктом: оба называют причину и советуют поставить пакеты вручную или вернуть доступ к основному адресу хранилища. Строку option check_signature 1 включать не нужно — без файла подписи opkg перестанет обновлять списки пакетов. Запасное зеркало включится само, когда раздача начнёт публиковать подписи пакетов: тогда замена пройдёт без вашего участия.

Когда замена состоится (или если вы сделали её вручную по рецепту 3 выше), прежний файл сохраняется рядом под именем /opt/etc/opkg.conf.kvaspro-orig (тем же именем пользуется и сам продукт), и дальше адрес возвращает продукт Квас Про: пока прежнее хранилище не отвечает, он берёт нужные пакеты с запасного зеркала, а как только прежнее хранилище снова отвечает — сам возвращает исходный адрес. Вмешательство человека не требуется, и видно это в панели: в «Диагностике» появляется строка с адресом зеркала и датой, когда продукт на него перешёл, и она исчезает после возврата.

Вернуть адрес вручную нужно только в одном случае — если адрес был заменён, а продукт с устройства уже удалён:

mv /opt/etc/opkg.conf.kvaspro-orig /opt/etc/opkg.conf && opkg update

Замену, сделанную продуктом или вами, установщик не трогает: он лишь сообщает, что адрес уже заменён, и оставляет файл как есть.

Вернуть адрес важно потому, что зеркало — сторонний узел: пока адрес указывает на него, пакеты ставятся с него.

Повторите установку с журналом

Журнал — это то, что позволяет найти причину, а не угадывать её. Установщик и так работает в строгом режиме и останавливается на первой ошибке; ключ --verbose добавляет показ каждой выполняемой команды, а --log-file пишет всё в файл. Полезные ключи:

Ключи передаются установщику после sh -s --, например: curl -fsSL https://kvaspro.su/install.sh | sh -s -- --verbose --log-file /tmp/kvaspro-install.log

Что прислать разработчику

Пришлите журнал установки и короткую справку о роутере — этого хватает, чтобы понять причину:

cat /tmp/kvaspro-install.log        # журнал установки (или путь, который напечатал установщик)
df -h                               # свободное место
free -m                             # память
cat /etc/openwrt_release            # версия OpenWrt и строка DISTRIB_ARCH (на OpenWrt)
opkg print-architecture             # архитектура: на Entware и OpenWrt 24.10 и старше
apk --print-arch                    # архитектура: на OpenWrt 25.12 и новее
logread | tail -100                 # системный журнал (сохраните до перезагрузки)

Куда отправлять — Как сделать: отправить разработчику ошибку. Если продукт уже установлен и панель открывается, удобнее кнопка «Сообщить о проблеме» на экране диагностики: она сама соберёт нужное и вырежет личные данные.

Если не помогло: установка начисто

Ключ --clean удаляет прежнюю установку вместе с настройками и ставит продукт заново — это помогает, когда прежняя версия осталась «полуживой».

Если и это не помогло, а прошивка роутера давно не обновлялась, разумно поставить продукт на новую систему: сохраните настройки, прошейте свежий образ OpenWrt (или включите Entware заново на Keenetic) и установите Квас Про на чистую прошивку. Так уходит большая часть загадочных случаев — старые пакеты, повреждённая файловая система и остатки прежних установок.

Колокол уведомлений

Значок колокольчика в правом верхнем углу — первое место, куда стоит посмотреть. Квас Про сам собирает туда сигналы о проблемах: ядро не работает, сетевой экран в ограниченном режиме, соединение легло, ни одно защищённое соединение не отвечает, не обновился фильтр «Россия», нет доступа в интернет, устройство осталось вне правил из-за сменившегося адреса, и так далее.

• Клик по уведомлению сразу открывает нужный экран или вкладку — не нужно искать проблему самим.
• У критических состояний есть готовое действие: например, у состояния «соединение не отвечает» — «перезапустить соединение», а у разошедшегося адреса устройства — «Обновить адрес».
• Один факт — одно уведомление. «Адрес устройства разошёлся с записью» (правила не действуют, нужно действие) и «устройство не в сети» (просто выключено или ушло — это сведение, а не ошибка) — разные записи. Участие устройств, включённое автоматически, колокол не тревожит: об этом говорит «Диагностика» и подсказка в строке клиента.
• Те же сигналы видно не только в колоколе: в правой панели «Монитора», в разделе «Диагностика» (отдельной проверкой с кнопкой «Исправить») и на странице «Соединение».
• Как только причина устраняется, уведомление гаснет само — вручную ничего отмечать не нужно.
• Если уведомления выключены в настройках, панель колокольчика честно об этом предупредит.

Встроенная диагностика

На экране «Обслуживание → Диагностика» Квас Про прогоняет набор проверок и показывает их статусы — это следующее место, куда стоит заглянуть. Если проверка не прошла:

• рядом с ней — подсказка простыми словами, что случилось;
• кнопка «Исправить» — Квас Про сначала попробует настроить всё сам (безопасная автопочинка), а если нужно — откроет мастер с готовым решением;
• если самостоятельно не получается — там же кнопка «Сообщить о проблеме»: соберёт диагностику, счётчики и короткий хвост системного журнала (личные данные — токены, ключи, пароли — вырезаются автоматически) и подготовит отчёт для разработчика. Пошагово — Как сделать: отправить разработчику ошибку.

Перезагрузка роутера из панели

Кнопка перезагрузки — в шапке раздела «Настройки», рядом с кнопкой «на весь экран» (значок питания с подсказкой). Прежде она дублировалась блоком в низу экрана «Диагностика»; этот блок убран, чтобы одно действие не предлагалось дважды — «Диагностика» отвечает на вопрос «что не так», а перезагрузка живёт в настройках. Это крайняя мера: сначала попробуйте «Монитор» и автопочинку проверок.

• Перезагрузка прерывает связь у всех устройств сети — интернет и панель управления пропадут на 1–3 минуты.
• Поэтому действие защищено подтверждением: откроется окно с описанием последствий, и в нём нужно ввести слово ПЕРЕЗАГРУЗИТЬ (подтверждающая кнопка станет активной только после этого). Отмена — безопасный выбор по умолчанию.
• Настройки, списки и соединения при перезагрузке не теряются.
• После нажатия панель честно скажет «Команда принята» и предупредит, что страница станет недоступна; повторное нажатие до перезагрузки заблокировано.
• Если перезагрузка недоступна (панель открыта не на роутере, на устройстве нет штатной команды или служба запущена без прав суперпользователя), кнопка будет неактивна, а причина — написана рядом.

Журнал событий

На «Мониторе» и в разделе «Обслуживание → Журнал» видно, что происходило: запуски ядра, изменения, предупреждения, а также кто и что менял. По записям журнала проще понять, на каком шаге возникла проблема.

Соединение не поднимается

• Проверьте параметры соединения (публичный ключ, адрес и порт сервера) в Соединениях.
• Посмотрите статус и журнал соединения — там будет причина (например, недоступен сервер).
• Для своего сервера (VPS) убедитесь, что доступ по SSH верный и операционная система сервера поддерживается.

Нет доступа в интернет

Если Квас Про обнаруживает, что у роутера пропал доступ в интернет, в колоколе появляется мигающее уведомление «Нет доступа в интернет» — оно не гаснет само, пока сеть не восстановится. Проверьте кабель или сигнал провайдера и WAN-порт роутера; сам Квас Про в этот момент не может ни обновить фильтры — это ожидаемо и пройдёт вместе с восстановлением связи.

Сайт идёт «не туда»

Если сайт открывается напрямую вместо защищённого канала (или наоборот), проверьте белый список и группы: к какой группе и соединению относится домен, нет ли конфликта с фильтрами (вкладка «Конфликты» — там же можно выбрать «Оставить в белом списке» или «Убрать»). Для отдельных устройств — маршрутизацию по клиентам и сетям.

Правила блокировки действуют всегда, независимо от того, работает ли защищённое соединение в этот момент: сайт из списка с правилом «Блокировать» не откроется и при упавшем канале. А вот правило «через туннель» без работающего соединения выполнить нечем — в колоколе появится критическое состояние с кнопкой «перезапустить соединение».

Устройство выпало из правил после смены адреса

Правила привязаны к устройству по MAC-адресу, а не по IP, поэтому обычная смена адреса по DHCP ничего не ломает. Если адрес всё же разошёлся с записью (например, устройство долго было выключено или сеть перестроили), это видно в интерфейсе: у записи появляется пометка о расхождении, а рядом — кнопка «Обновить адрес». Нажмите её: Квас Про перечитает адрес по MAC и переприменит правила. Откройте «Сеть → Клиенты», если подсказки в колоколе уже нет.

Это разные состояния, и путать их не нужно:

• «Адрес устройства разошёлся с записью» — правила построены на устаревшем адресе и не действуют; нужно нажать «Обновить адрес».
• «Устройства не в сети» — устройство просто выключено или ушло; это сведение, а не ошибка. Когда оно вернётся, адрес перечитается сам.

Устройство не попадает под правила

Трафик устройства идёт напрямую, мимо белого списка и блокировок? Смотрите на экран «Сеть → Клиенты»:

• Колонка «Участие» — если стоит «Не участвует», правила на устройство не действуют: включите переключатель «Участие». Устройство, найденное в сети, участвует в маршрутизации автоматически, поэтому «Не участвует» — это всегда ваше решение.
• Действие «Отключить» (и значок питания в строке) пускает трафик устройства напрямую независимо от участия. Если устройство выключено вами, вернуть его — действием «Включить»; само оно не включится.
• Точка состояния в колонке «Соединение» — «Напрямую» означает, что соединение не выбрано или устройство отключено. Это про соединение, а не про участие; отдельной колонки «Статус» в выпуске 1.0.22 нет.
• Проверка «Устройства без маршрутизации» в «Диагностике» называет такие устройства по именам и адресам. Устройства со стороны провайдера в неё не попадают — они идут напрямую по замыслу.

Не хватает ресурсов роутера

Если устройств и соединений много, продукт сообщает о нехватке отдельной записью в «Диагностике» — например, «Не хватает файловых дескрипторов»: запас открытых соединений у процесса заканчивается, новые обращения могут отклоняться (уже установленные соединения при этом не рвутся). Предел поднимается при запуске службы сам, а повторяющиеся сообщения об одном и том же в журнал не сыплются: на один случай — одна запись.

Панель не открывается по адресу роутера

Квас Про отвечает не по адресу роутера, а по своему добавочному адресу в локальной сети — как правило, с последним числом 254 (например 192.168.1.254 вместо 192.168.1.1). Адрес самого роутера обслуживает его собственный веб-интерфейс (LuCI, Keenetic и подобные) на своём порту, и панели Квас Про там нет: открыв http://192.168.1.1, вы попадёте в роутер, а не в Квас Про.

Проверьте по порядку:

1. Посмотрите добавочный адрес своей сети. Установщик печатает его в конце установки, а в работающей панели он виден в «Диагностике», в группе «Сетевой экран» — строка «Добавочный LAN-адрес готов» называет адрес числами. Порт указывать не нужно: по обычному порту 80 панель открывается, по защищённому — тот же адрес по https://.

2. Попробуйте короткое имя. kvaspro.lan, kvas.lan, kvp.lan и их варианты .home ведут на ту же панель. Имя работает, если устройство получает адреса от самого роутера: со своим DNS-сервером, с шифрованным поиском адресов (DoH/DoT) или из другой подсети имя не разрешится, хотя продукт исправен.

3. На macOS разрешите браузеру доступ к локальной сети. Если Chrome или Firefox показывают «Соединение сброшено» (ERR_CONNECTION_RESET, PR_CONNECT_RESET_ERROR) и по имени kvas.lan, и по числовому адресу панели, а Safari при этом открывает — дело не в роутере. macOS с версии 14 спрашивает у приложений разрешение «Локальная сеть», и до ответа система режет приложению доступ к сети роутера. Откройте «Системные настройки» → «Конфиденциальность и безопасность» → «Локальная сеть» и включите нужный браузер; после этого панель открывается сразу. Chrome и Firefox дополнительно применяют собственную политику к локальным именам — по числовому адресу панель открывается и без неё. Разрешение даётся каждой программе отдельно: если открыть панель в Safari, а потом в Chrome, запрос появится дважды. Убедиться, что дело в разрешении, можно так: откройте панель с телефона в той же сети — она откроется; или выполните на Mac в Терминале curl -k https://10.111.1.254/ — если ответ приходит, а браузер показывает сброс, разрешение нужно именно браузеру. Продукт настраивать не нужно.

4. Проверьте, что вы в разрешённой сети. Раздел «Настройки» → «Сеть и фильтры», список «Кто может открыть панель»: с адреса вне списка панель не отвечает. Гостевая сеть в список обычно не входит.

5. Прямой порт приложения не вводите. Адрес вида http://192.168.1.254:7799 не откроется: внутренний порт закрыт снаружи намеренно, панель доступна только без порта.

Панель не пускает без токена

Включённый вход без токена действует не всегда — у него есть условия, и каждое проверяется отдельно. Если панель просит токен, хотя переключатель включён, посмотрите по порядку:

1. Канал не защищён. Вход без токена работает только по https. Если панель открыта по обычному http (например, по адресу вида http://192.168.1.254), токен спросят как прежде — иначе ключ-пароль пошёл бы по сети открытым текстом.
2. Адрес не входит в список «Кто может открыть панель». Послабление выдано ровно перечисленным адресам и подсетям: адрес, которого там нет, страницу входа увидит. С самой коробки (адрес 127.0.0.1) токен спрашивают всегда.
3. Настроен доверенный посредник. Если перед панелью стоит своя переадресация и в настройках задан список доверенных посредников, адрес клиента берётся из заголовка запроса — доверять ему нельзя, поэтому вход без токена не действует.
4. Переключатель выключен. Проверьте его в настройках, в разделе «Сеть и фильтры»: он выключен по умолчанию. Выключенный переключатель закрывает НОВЫЕ такие входы, а уже открытый вход работает до своего срока (час без обращений, не больше двенадцати часов) — из открытой панели выключение не выбрасывает, но следующий заход с этого устройства снова попросит токен.

Подробнее о самом послаблении и его цене — в разделе «Вход без токена с этих адресов». Если ничего из перечисленного не подходит, войдите по токену: он остаётся главным ключом к панели.

После обновления интерфейс или иконка «не меняются»

Иногда после обновления веб-интерфейс или иконка приложения на рабочем столе остаются прежними. Почти всегда дело не в Квас Про, а в трёх слоях кэша на самом устройстве:

1. HTTP-кэш браузера — сохранённые иконка, манифест и ассеты страницы.
2. Сервис-воркер (kvaspro-pwa-v<версия>) — собственный кэш приложения; он обновляется автоматически при росте версии (старый кэш удаляется при следующем запуске).
3. Снимок иконки на рабочем столе — операционная система «фотографирует» иконку в момент добавления приложения на экран «Домой» и сама её не обновляет. Это главная причина, по которой иконка остаётся тёмной после смены на светлую.

Сначала — короткая диагностика

Откройте в приватной вкладке браузера адрес https://<адрес-устройства>/static/icon-apple-180.png:

• иконка светлая — кэш на устройстве, чистите его (шаги ниже);
• иконка тёмная — устройство работает на старом бинарнике Квас Про (иконки вшиты в приложение при сборке). Нужна пересборка и повторная установка Квас Про.

Десктоп-браузер (Chrome, Firefox, Safari)

Веб-интерфейс чаще всего открывают с компьютера — там кэш снимается быстрее:

1. Жёсткое обновление страницы — перезагрузка в обход HTTP-кэша:
   • Windows / Linux: Ctrl + Shift + R;
   • macOS: Cmd + Shift + R.
2. Если не помогло — очистить данные сайта (заодно снимается сервис-воркер): откройте инструменты разработчика (F12) → вкладка Application (в Firefox — Хранилище) → Storage / Хранилище → Очистить данные сайта (Clear site data), затем обновите страницу.
3. После этого браузер заново скачает свежий интерфейс и иконку текущей версии.

iOS (Safari)

1. Удалите иконку Квас Про с экрана «Домой».
2. Откройте Настройки → Safari → Очистить данные сайтов.
3. Зайдите на Квас Про заново и снова добавьте его: «Поделиться» → «На экран „Домой“».

Android (Chrome)

1. Удалите приложение Квас Про.
2. Откройте Настройки сайтов для адреса устройства и нажмите «Очистить и сбросить» (это снимает и сервис-воркер).
3. Зайдите на Квас Про заново и выберите «Установить приложение».

Начать с чистого листа

Если ничего не помогает, в разделе «Настройки → Данные» есть безопасный сброс настроек с подтверждением. Перед сбросом сделайте экспорт настроек, чтобы сохранить точку возврата.