WireGuard на Cudy WR3000: один туннель для нужных устройств дома

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

У домашнего интернета постепенно появляется расписание. Утром он нужен ноутбуку для работы, вечером — телевизору, а ночью холодильник, возможно, обсуждает с кем-то температуру. Когда VPN требуется только части этой компании, устанавливать приложения на каждое устройство неудобно. Cudy WR3000 может взять эту работу на себя: подключиться к вашему WireGuard-серверу и отправлять через него трафик выбранных клиентов.

Но сначала полезно договориться, что именно мы строим. Cudy будет клиентом, VPS — сервером и точкой выхода в интернет. Для начала подключим один компьютер. Так проще заметить ошибку, а семья не узнает о ваших сетевых экспериментах по внезапно остановившемуся фильму.

Две версии WR3000 и одна важная наклейка

Название на коробке — начало знакомства, но не паспорт устройства. Посмотрите аппаратную версию на нижней наклейке и установленную прошивку в панели. У WR3000 1.0 и WR3000 2.0 разные аппаратные платформы; прошивки нельзя переставлять между ними ради появления нужной кнопки.

В характеристиках WR3000 V1 производитель указывает WireGuard-клиент и оговорку о VPN-функциях: прошивка должна быть новее 1.16.1. WR3000 V2 также имеет штатный WireGuard Client, однако та же минимальная версия для него не заявлена. Проверяйте обновления именно своей ревизии в центре загрузок Cudy.

Инструкция сверена с документацией 22 октября 2026 года. Мы используем штатную систему Cudy. Если вы установили OpenWrt, меню будет другим — для него есть отдельное руководство. Наличие обычного WireGuard не доказывает поддержку AmneziaWG: профиль с дополнительными параметрами Amnezia сюда автоматически не подходит.

Cudy должен работать шлюзом для тестового компьютера. Если он только раздаёт Wi-Fi в режиме точки доступа, а маршрутизацией занимается другой роутер, одна настройка VPN на Cudy ещё не меняет путь этого компьютера.

Подготовим выход, а не только вход в туннель

На стороне VPS нужен работающий WireGuard с доступом в интернет для клиентов: пересылкой пакетов, разрешающими правилами и NAT либо иной согласованной схемой обратной маршрутизации. Само рукопожатие с сервером — ещё не готовый интернет. Это как попасть в вестибюль вокзала: билет на поезд от этого не появляется.

Чтобы не начинать с установки серверной части, можно заказать VPS MAATRIX с WireGuard. Выберите США, Великобританию или Францию под свои сервисы и задержку. После подготовки сервера получите отдельный клиентский .conf для роутера. Если сервер настраиваете самостоятельно, пригодится руководство по WireGuard на VPS.

В профиле должны быть согласованы клиентский адрес, ключи, адрес VPS и UDP-порт. Для маршрута всего IPv4-трафика обычно используется AllowedIPs = 0.0.0.0/0. Это не разрешение всем домашним устройствам пользоваться VPN: список устройств на Cudy настраивается отдельно.

Не подставляйте случайный DNS или адрес из чужого примера. Не запускайте тот же профиль одновременно на телефоне и роутере: один пир может начать переключаться между ними. Телефону вне дома выдайте самостоятельное подключение. Домашнему роутеру для исходящего туннеля не нужен отдельный публичный IP; он требуется доступному снаружи серверу.

Сначала оставим себе дорогу назад

Подключитесь к Cudy локально, лучше по кабелю. Откройте cudy.net или фактический адрес шлюза; заводской адрес обычно 192.168.10.1. Сохраните резервную копию настроек и запишите текущие DNS и IPv6. Проверка исходного внешнего IPv4 тоже пригодится: позднее будет с чем сравнить результат.

Убедитесь, что домашняя и туннельная подсети не пересекаются. Если обе называются, например, 192.168.10.0/24, настройка превращается в переписку двух квартир с одинаковым адресом. Исправлять нужно адресный план одной стороны, а не добавлять маршруты наугад.

Временно прекратите параллельные загрузки на тестовом компьютере и выключите на нём собственный VPN. Наша задача — увидеть работу Cudy, без помощи другого туннеля или браузерного прокси.

Загружаем профиль и назначаем первый компьютер

В руководстве Cudy нужная страница находится в General Settings → VPN. В прежних версиях название протокола может быть короче, но нужен именно клиентский режим.

1. Включите VPN и выберите WireGuard Client.
2. В Default Rule задайте Ban all devices: пока никто не должен автоматически уйти в новый маршрут.
3. Загрузите .conf через Browse. Проверьте импортированные Interface и Peer: адреса, DNS, ключ сервера, Endpoint и порт.
4. Выберите VPN kill switch в VPN Policy, если нужен запрет прямого выхода при обрыве. Заполните Preferred DNS, а Alternate DNS — только при необходимости, адресами из согласованной конфигурации.
5. Примените настройки через Save & Apply.

Опция Site-to-Site относится к связи сетей между собой. Для обычного выхода домашних устройств в интернет через VPS не включайте её просто потому, что она находится рядом.

Теперь откройте System Status → Devices и включите VPN у одного тестового компьютера. Производитель описывает такой выбор в пояснении к правилам клиента. Проверьте его локальный IP и MAC-адрес, особенно если используете телефон с частным адресом Wi-Fi. Нужен фактический адрес в этой сети, а не похожее имя соседа по списку.

Три проверки вместо любования зелёным значком

Откройте страницу проверки внешнего IPv4 на выбранном компьютере. Адрес должен соответствовать выходу VPS. Затем проверьте устройство, которому VPN не назначен: оно должно остаться на прежнем маршруте. Если адреса одинаковы, сначала разберитесь с назначением клиента и его шлюзом.

Следующая проверка — обычные сайты и разрешение имён. Команда nslookup example.com помогает увидеть, отвечает ли DNS. Домашний адрес роутера в результате не означает ошибку: Cudy может выступать посредником. Но это также не доказательство, что дальнейший DNS-запрос ушёл через туннель. Для такой проверки используйте тест DNS и при необходимости диагностику на сервере. Защищённый DNS браузера учитывайте отдельно.

Наконец, проверьте IPv6. Рабочий IPv4-туннель не перекрывает автоматически другой протокол. Если в вашем профиле нет полноценной поддержки IPv6, а устройство получает глобальный IPv6 от провайдера, часть соединений может идти напрямую. Для режима без обхода настройте согласованный IPv6-туннель либо ограничьте прямой IPv6 в используемой сети. Сначала сохраните прежние параметры; не объявляйте отсутствие утечек по одному совпавшему IPv4.

Параметры находятся в Advanced Settings → Network → IPv6; их описывает руководство Cudy. Если обычный интернет провайдера независимо работает по IPv4, для первоначальной проверки можно временно отключить IPv6 и переподключить клиентов. При DS-Lite или MAP-E сначала выясните схему провайдера: отключение IPv6 может лишить сеть и IPv4-доступа. Изменение этого раздела касается сети в целом, а не только выбранного VPN-клиента.

После этого откройте нужный ИИ-сервис и выполните реальное действие: войдите в аккаунт, отправьте запрос. VPS меняет сетевой маршрут, но не заменяет подписку и требования сервиса к аккаунту.

Что произойдёт, если сервер перестанет отвечать

Kill switch лучше проверить заранее. Для проверки реального обрыва можно временно заблокировать на своём VPS только входящий UDP-порт этого WireGuard, сохранив доступ по SSH и возможность отменить правило. Если сервером управляет поддержка, попросите провести короткий согласованный тест. Это отличается от выключения VPN в панели: намеренное отключение может менять саму политику маршрутизации.

Во время недоступности туннеля выбранный компьютер не должен открывать новые интернет-соединения напрямую. Проверяйте и IPv4, и IPv6; уже загруженная страница может просто остаться в памяти браузера. После восстановления порта убедитесь, что связь вернулась.

Если выполнять такой тест пока неудобно, не считайте защиту от обрыва проверенной. Название настройки — полезная подсказка, но результат на вашей прошивке важнее названия.

Когда соединение упрямится

Если обмен с VPS не начинается, сверяйте Endpoint, UDP-порт и ключи. Изменение одного символа в ключе — не косметика. Если туннель работает, но сайты нет, проверьте DNS, назначение устройства и пересылку на VPS. Если загружаются маленькие страницы, а большие зависают, исследуйте размер пакетов и маршрут; универсального «магического MTU» для всех линий нет.

Не включайте сразу Domain и Remote Subnet вместе с другими экспериментами. Сначала добейтесь простого выхода одного устройства через сервер. Выбор доменов — отдельная задача: сайты используют несколько имён, API и CDN, поэтому одного адреса главной страницы часто недостаточно.

Возвращаем обычный интернет без заводского сброса

Локально откройте панель, отключите назначение VPN у тестового устройства, затем отключите сам клиент. Восстановите изменённые DNS и IPv6, если меняли их, и проверьте исходный внешний адрес. Если действует блокировка прямого выхода, снимите её осознанно в рамках возврата к прежней схеме.

Когда всё работает, добавьте остальные нужные устройства и проверьте сохранение настроек после перезапуска. Запишите имя профиля, локацию сервера и список клиентов. Через полгода эта короткая заметка объяснит сеть лучше, чем воспоминание «кажется, тут была какая-то галочка». Роутер снова займётся пакетами, а вы сможете заняться тем, ради чего вообще понадобился интернет.

Если сервер использует другой протокол, воспользуйтесь инструкцией OpenVPN для Cudy WR3000. Возможности других моделей собраны в каталоге домашних VPN-роутеров.