WireGuard на Xiaomi AX3000T и Redmi AX6000 с OpenWrt: собираем домашний VPN

MAATRIX · Обновлено 22 октября 2026 · 6 мин чтения

После перехода на OpenWrt знакомый роутер будто получает новую профессию. Корпус тот же, антенны на месте, но вместо нескольких готовых переключателей появляется целый сетевой кабинет. Здесь легко почувствовать себя капитаном корабля — особенно пока не выяснилось, что Internet и Interface отличаются не только количеством букв.

Для WireGuard весь кабинет осваивать не понадобится. Соберём один понятный путь: домашние устройства → Xiaomi или Redmi с OpenWrt → VPS → интернет. Особое внимание уделим тому, что меняется именно после перепрошивки: назначению портов, прежнему Xiaomi Mesh, двум радиодиапазонам и проверке скорости. Рабочий туннель должен вписаться в дом, а не заставить дом приспосабливаться к туннелю.

Здесь OpenWrt уже должна работать

Статья рассчитана на AX3000T RD03/RD23 с MediaTek или Redmi AX6000, где уже установлена подходящая OpenWrt. Штатная панель Xiaomi не подходит для этих шагов. Для RD03v2 нельзя брать образ от RD03: это другая аппаратная платформа, не заявленная как официально поддерживаемая в актуальной карточке OpenWrt.

Если систему ещё предстоит установить, сначала прочитайте подготовку Xiaomi и Redmi к OpenWrt. Здесь прошивка и загрузчик не меняются. Устанавливать VPN поверх неизвестного состояния роутера — всё равно что красить дверь, не проверив, куда она открывается.

В LuCI посмотрите Status → Overview, а по SSH сохраните сведения:

ubus call system board
ip -4 route
df -h /overlay

Проверьте модель, выпуск системы и свободное место. Доступ по кабелю и обычный интернет должны работать до VPN. В System → Backup / Flash Firmware скачайте архив настроек на компьютер. Его нельзя оставлять единственной копией на самом роутере.

Сначала приводим домашнюю сеть в порядок

В Network → Interfaces убедитесь, что WAN смотрит к провайдеру, а LAN обслуживает домашние устройства. После смены прошивки ориентируйтесь на фактические интерфейсы и подключённый кабель, а не на воспоминание о старой панели. Для PPPoE проверьте именно логический интерфейс провайдера.

Если Xiaomi стоит за другим роутером, подсети WAN и LAN не должны совпадать. Например, при внешней домашней сети 192.168.31.0/24 для новой LAN можно выбрать свободную 192.168.50.0/24. Это пример: сперва исключите пересечение с вашей сетью и адресами VPN.

Привычный фирменный Mesh не следует считать автоматически сохранённым после OpenWrt. Проверяйте прямое подключение к перепрошитому устройству, затем отдельно занимайтесь дополнительными точками доступа. Для начала нужен один работающий участок, а не реконструкция всей домашней радиосистемы одновременно.

VPS выдаёт профиль, роутер получает свою личность

В MAATRIX можно развернуть VPS с готовым WireGuard и скачать клиентский .conf. При выборе США, Великобритании или Франции эта локация становится местом выхода трафика. Для работы ИИ нужно дополнительно проверить условия сервиса и аккаунта: география сервера не заменяет подписку и не гарантирует допуск.

Создайте роутеру самостоятельный профиль. Домашним телефонам за его Wi-Fi ключи не нужны; независимому приложению на телефоне вне дома нужен другой peer. Один ключ на двух одновременно работающих клиентах вызывает смену адреса участника на сервере и странные разрывы. Это не особенно загадочная блокировка, а спор двух устройств за одну сетевую личность.

Не публикуйте .conf целиком. Оригинал сохраните отдельно, а параметры переносите из выданного файла: внутренний адрес, маску, ключи, Endpoint, порт, DNS и дополнительный PresharedKey при его наличии.

Устанавливаем обычный WireGuard

В System → Software обновите список пакетов и установите wireguard-tools и luci-proto-wireguard из репозитория своего выпуска. Для OpenWrt 25.12 пакетный менеджер — apk, для 24.10 — opkg. Различия выпусков OpenWrt.

Через SSH используйте только подходящий вариант:

# OpenWrt 25.12
apk update
apk add wireguard-tools luci-proto-wireguard

# OpenWrt 24.10
opkg update
opkg install wireguard-tools luci-proto-wireguard

Ошибка зависимости от ядра требует проверки прошивки и репозитория. Принудительно подставлять чужой модуль нельзя. Обычный WireGuard также не принимает профиль AmneziaWG вместо своего: для него есть отдельная инструкция.

Создаём туннель и оставляем ему выход наружу

В Network → Interfaces → Add new interface создайте wg_home с протоколом WireGuard VPN. Импортируйте файл, если форма предлагает импорт, либо заполните его значения вручную.

1. В настройках интерфейса укажите клиентский PrivateKey и IPv4 из Address вместе с маской.
2. Добавьте peer: PublicKey сервера, Endpoint и порт, PresharedKey при его наличии.
3. Для полного IPv4-туннеля задайте Allowed IPs 0.0.0.0/0 и включите Route Allowed IPs.
4. Сохраните значение Keepalive из профиля. Не генерируйте новый ключ поверх выданного без изменения сервера.
5. В дополнительных параметрах задайте метрику VPN 20, WAN — 100.

Перед включением запишите путь к реальному публичному IPv4 VPS:

ip -4 route get 203.0.113.10

Замените демонстрационный адрес своим. В Network → Routing → Static IPv4 Routes закрепите этот адрес маршрутом /32 через настоящий WAN и показанный шлюз. Для PPPoE используйте соответствующий интерфейс без выдуманного Ethernet-шлюза. После подключения путь к VPS должен остаться через провайдера: зашифрованные пакеты нельзя отправлять внутрь того же туннеля, который они создают.

Открываем дорогу домашним устройствам

Сам интерфейс не заменяет firewall. В Network → Firewall → Zones создайте зону vpn, включите в неё wg_home и задайте:

Masquerading позволяет использовать готовый клиентский профиль без настройки на сервере маршрутов к вашей LAN. Ответы на запросы пропускаются как часть установленных соединений; общее разрешение vpn → lan не требуется. Зачем нужны отдельная зона и маршруты, подробнее разобрано в полной инструкции WireGuard на OpenWrt.

Пока оставьте lan → wan. Сначала проверим работоспособность, затем выберем поведение при аварии. Если у вас есть гостевая сеть или отдельная VLAN, она не наследует разрешения LAN автоматически.

DNS и IPv6 проверяются отдельно

Для начальной IPv4-схемы используйте числовой IPv4 VPS в Endpoint. В Network → DHCP and DNS укажите рабочий IPv4 DNS из профиля в DNS forwardings и включите Ignore resolve file, чтобы не добавлялся резолвер провайдера. Клиентам по DHCP выдаётся адрес самого роутера как DNS.

Проверьте, не включён ли в браузере собственный DoH и не используется ли на роутере отдельный DNS-фильтр. Это дополнительные участники схемы, а не повод менять все настройки одновременно. Начните с понятного системного DNS, затем возвращайте дополнительные службы по одной.

Если сервер не поддерживает IPv6, отключите выдачу внешнего IPv6-префикса, RA и DHCPv6 для охватываемой LAN. Отключите WAN6, если он обслуживает только эту сеть. Переподключите клиентов и убедитесь, что прежний IPv6 больше не позволяет выходить напрямую. Согласованная поддержка IPv6 потребует настройки обеих сторон.

Измеряем Xiaomi, а не надпись на коробке

Включите интерфейс, проверьте wg show, затем внешний IPv4 на ноутбуке в LAN. Он должен соответствовать VPS. Первый тест выполните кабелем; второй — по 5 ГГц рядом с роутером; третий — в обычном рабочем месте. Так станет понятно, где ограничение: в туннеле, радиоканале или связи между точками.

Маркировки AX3000 и AX6000 не являются обещанием скорости шифрованного соединения. Сравнивайте загрузку процессора, задержку при передаче файла и стабильность. Аппаратное ускорение обычной маршрутизации не следует считать автоматическим ускорением WireGuard. Если позже включаете SQM, учитывайте его несовместимость с hardware flow offloading, отмеченную OpenWrt.

При зависании больших загрузок проверьте MTU из профиля и меняйте по одному параметру. Плохой сигнал в дальнем углу квартиры уменьшением MTU не лечится, хотя иногда создаёт ощущение бурной технической деятельности.

Закрываем обход и сохраняем результат

Если LAN не должна выходить напрямую при сбое, удалите разрешение lan → wan, оставив lan → vpn, и проверьте прочие разрешающие правила. При остановленном туннеле новые внешние соединения клиентов должны перестать открываться. Доступ к локальной панели сохраните.

Это ограничивает пересылаемый трафик; запросы самого роутера требуют отдельного внимания. Для запрета его обычного DNS и DoT через WAN можно добавить:

uci set firewall.wg_home_dns=rule
uci set firewall.wg_home_dns.name='Block-router-DNS-on-WAN'
uci set firewall.wg_home_dns.dest='wan'
uci set firewall.wg_home_dns.proto='tcp udp'
uci set firewall.wg_home_dns.dest_port='53 853'
uci set firewall.wg_home_dns.target='REJECT'
uci commit firewall
service firewall restart

Правило не охватывает произвольный DoH на 443 и другие службы. После настройки повторите тест с перезагрузкой. Для отката из LAN остановите wg_home, восстановите lan → wan, удалите добавленное DNS-правило и верните прежние DNS/IPv6-параметры. Сохраните рабочий архив. Хорошо, когда новыми возможностями роутера можно пользоваться, не вспоминая каждый день, как героически вы их включали.