OpenVPN на Xiaomi и Redmi с OpenWrt: отдельный роутер для работы через VPS

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

Менять весь домашний интернет ради одного рабочего сценария не всегда хочется. У телевизора всё настроено, у умной лампы хрупкое душевное равновесие, а у семьи нет желания участвовать в вечернем сетевом эксперименте. В такой ситуации Xiaomi или Redmi с OpenWrt удобно поставить вторым роутером: обычная сеть живёт своей жизнью, а отдельный Wi-Fi обслуживает устройства, которым нужен OpenVPN.

Ниже именно такой сценарий. Подключим подготовленный AX3000T RD03/RD23 или Redmi AX6000 к существующему интернету, загрузим профиль собственного VPS и проверим запуск после перезагрузки. OpenVPN будет работать на роутере, поэтому клиентские приложения на каждом устройстве этой сети не понадобятся.

Два роутера — две понятные сети

Инструкция начинается с уже установленной OpenWrt. Заводская панель Xiaomi и OpenWrt не являются разными оформлениями одного приложения. Если переход только планируется, сначала нужна подготовка модели, прошивки и резервных копий. Для AX3000T RD03v2 образы MediaTek RD03/RD23 не подходят; Redmi AX6000 также нельзя подменять просто «Xiaomi AX6000».

Соедините LAN-порт действующего домашнего маршрутизатора с WAN подготовленного устройства. Для этого простого варианта WAN OpenWrt получает адрес по DHCP. Домашний провайдер остаётся подключён к прежнему роутеру, и переносить PPPoE с его паролем не нужно.

Локальной сети OpenWrt нужен отдельный диапазон. Например, если основная сеть — 192.168.31.0/24, новая может быть 192.168.50.0/24, а адрес OpenWrt — 192.168.50.1. Сверьте эти адреса с реальной сетью и VPN-подсетью: пример не резервирует диапазон специально для вашего дома.

В Network → Interfaces → LAN задайте выбранный адрес, сохраните изменение, обновите DHCP-адрес компьютера и зайдите в LuCI по новому адресу. Не копируйте весь старый архив с другого Xiaomi: вместе с ним можно получить чужие назначения портов и несуществующие радиоинтерфейсы.

Отдельный Wi-Fi — это удобство, а не автоматическая изоляция

В Network → Wireless задайте понятное имя сети, например Work-VPN, пароль и фактическую страну эксплуатации. Беспроводную сеть привяжите к LAN этого второго роутера. Сам факт разных SSID не гарантирует изоляцию от остальных домашних устройств: для гостевого режима нужны дополнительные правила доступа.

Не восстанавливайте фирменный Xiaomi Mesh попутно с OpenVPN. Сначала проверьте один ноутбук кабелем, затем Wi-Fi напрямую от нового маршрутизатора. После OpenWrt прежнее управление через Mi Home и привычная фирменная Mesh-схема не считаются сохранёнными возможностями.

Убедитесь, что без VPN интернет работает. Запишите внешний IPv4 ноутбука и сохраните архив через System → Backup / Flash Firmware. Теперь есть известное рабочее состояние. В администрировании оно играет ту же роль, что закладка в длинной книге: можно вернуться к нужному месту, не перечитывая всё заново.

Получаем профиль и устанавливаем клиент

В MAATRIX можно заказать VPS с готовым OpenVPN в доступной локации США, Великобритании или Франции. Скачайте отдельный .ovpn для роутера. Это сертификатный профиль; пароль root и пароль личного кабинета не нужно переносить в поля VPN-клиента.

Проверьте, что сертификаты и ключи встроены в файл, а не указаны путями к папкам чужого компьютера. Сохраните оригинал. Профиль даёт доступ от имени клиента, поэтому его не стоит прикладывать целиком к публичной переписке.

В System → Software установите openvpn-openssl и luci-app-openvpn. Для системы 25.12 команды такие:

apk update
apk add openvpn-openssl luci-app-openvpn

Если у вас ветка 24.10 с opkg, используйте её собственный менеджер и репозиторий:

opkg update
opkg install openvpn-openssl luci-app-openvpn

Не обновляйте отдельные системные компоненты из чужой ветки ради одной зависимости. Сначала выясняют версию системы, затем подбирают пакеты — в обратном порядке получается коллекция совпадений, а не рабочая платформа.

Даём подключению постоянное имя

После обновления страницы LuCI появится VPN → OpenVPN. Импортируйте файл под именем maatrix_work. В клиентской копии замените dev tun на:

dev tun_work

Так firewall будет знать конкретное устройство туннеля. В Network → Interfaces добавьте ovpn_work: протокол Unmanaged, устройство tun_work. Адрес ему назначает OpenVPN, поэтому запуск DHCP-клиента на этом интерфейсе не нужен. Установка OpenVPN через LuCI.

Поставьте отметку Enabled у импортированного профиля и проверьте в System → Startup, что служба openvpn включена для запуска при загрузке. Перед первым подключением завершите настройку firewall. В отдельной зоне vpn укажите сеть ovpn_work, значения Input — Reject, Output — Accept, Forward — Reject. Включите Masquerading и MSS clamping; разрешите lan → vpn.

Готовому клиентскому серверу тогда не требуется знать маршрут к вашей новой домашней подсети. Общее разрешение vpn → lan не создавайте: ответы на инициированные соединения отслеживаются автоматически. Подробное объяснение этой модели есть в универсальной статье OpenVPN на OpenWrt.

Две дороги: к серверу и через сервер

Для выхода всей новой LAN через VPN должна применяться директива:

redirect-gateway def1

Она может уже быть в профиле или приходить от сервера. Если её нет, добавьте в клиентскую копию. Не изменяйте профиль с route-nopull и специальными фильтрами, пока не выяснили их назначение: возможно, это конфигурация исключительно для доступа к офисной сети.

После подключения проверьте таблицу и два направления:

ip -4 route
ip -4 route get 203.0.113.10
ip -4 route get 1.1.1.1

Во второй команде должен быть настоящий публичный IPv4 VPS. Путь к нему остаётся через WAN и первый домашний роутер. Обычный внешний адрес должен идти через tun_work. redirect-gateway def1 создаёт два более точных маршрута и сохраняет дорогу к самому серверу; это поведение описано в руководстве OpenVPN.

Часы и DNS должны пережить отключение света

Сертификат имеет срок действия, поэтому неверное время может помешать подключению. В System → System → Time Synchronization включите NTP-клиент. Для старта без DNS можно использовать доступный числовой NTP-адрес, например 162.159.200.1 из документации Cloudflare.

В Network → Routing добавьте к выбранному серверу времени маршрут /32 через WAN и настоящий шлюз первой домашней сети. Это позволит выставить часы до готовности VPN. Не используйте приведённый в чужом примере шлюз, если ваш первый маршрутизатор имеет другой адрес.

Для туннеля также удобен числовой IPv4 в remote. В Network → DHCP and DNS задайте рабочий IPv4 DNS из профиля в DNS forwardings и включите Ignore resolve file. Клиентам оставьте DNS-адрес OpenWrt по DHCP. Если DNS-сервис находится только внутри VPN, его доступность проверяется после подключения.

При отсутствии IPv6 в профиле отключите для новой LAN раздачу внешнего префикса, RA и DHCPv6, а ненужный WAN6 — выключите. Переподключите клиентов. Исходный домашний роутер при этом продолжает обслуживать свою отдельную сеть; здесь меняются параметры второго устройства.

Что говорят ошибки и что не говорит скорость Wi-Fi

Запустите профиль и посмотрите Status → System Log. Через SSH пригодятся:

logread -e openvpn
ip address show dev tun_work

Ошибка сертификата отправляет нас к времени, срокам и доверенному центру. AUTH_FAILED — к параметрам авторизации и серверной политике. Тайм-аут — к адресу, порту и транспорту. Менять UDP на TCP без изменения сервера бессмысленно: собеседник не обязан открыть другой вход из вежливости.

Проверки личности сервера и TLS-защиту не отключайте. Если импорт отвергает параметр, нужна совместимая конфигурация, а не укороченная до молчания ошибка.

После подключения проверьте IP с ноутбука, DNS и загрузку файла. Скорость сначала измеряйте кабелем. Надпись AX6000 относится к беспроводному классу, а не к обещанию такого результата OpenVPN. Радиоканал, шифрование, сервер и маршрут способны ограничивать соединение независимо. Для работы с ИИ полезнее проверить реальный длинный ответ и отправку документа, чем коллекционировать максимумы теста скорости.

Оставляем предсказуемое поведение при отказе

Если эта рабочая сеть должна прекращать внешний доступ без VPN, удалите разрешение lan → wan, сохранив lan → vpn, и проверьте остальные разрешающие правила. Остановите профиль и попробуйте открыть новое соединение с ноутбука. Простая потеря маршрута без firewall-ограничения не является запретом обхода.

DNS самого роутера — отдельный поток. Для обычного DNS/DoT можно создать выходное правило без source-зоны: destination wan, TCP/UDP, порты 53 и 853, действие Reject. Оно не блокирует произвольный DoH на 443 и другие службы OpenWrt. Пошаговый пример и границы такого ограничения приведены в разделе проверки отказа.

Перезагрузите второй роутер и повторите проверку. Для отката из его LAN остановите профиль, восстановите lan → wan, уберите добавленное DNS-правило и верните прежние DNS/IPv6-настройки. А основной домашний Wi-Fi всё это время остаётся отдельным привычным маршрутом. Именно в этом удобство второго устройства: эксперимент получает собственную комнату, не занимая весь дом.