Xiaomi AX3000T с OpenWrt и VLESS: настройка роутера для безопасного интернета

Зачем роутеру VLESS и почему именно Xiaomi AX3000T

Когда VPN настроен на отдельном устройстве, защищён только трафик этого устройства. Смарт-телевизор, игровая приставка, планшет или гостевой ноутбук остаются без защиты. Установка VPN на роутер решает эту проблему: весь трафик домашней сети проходит через защищённый туннель автоматически, без настройки каждого клиента.

VLESS — это современный прокси-протокол, разработанный как облегчённая версия V2Ray. Он отличается минимальными накладными расходами, гибкой настройкой транспорта и хорошей совместимостью с методами маскировки трафика, такими как Reality. В сочетании с OpenWrt VLESS позволяет организовать маршрутизацию, при которой часть трафика (например, российские сайты) идёт напрямую, а остальной — через зашифрованный туннель.

Xiaomi AX3000T — это бюджетный Wi-Fi 6 роутер, который получил широкую поддержку сообщества OpenWrt. Он оснащён двухъядерным процессором и 256 МБ оперативной памяти, что достаточно для работы VLESS на скоростях до 200–300 Мбит/с при правильной настройке. Главное преимущество — цена: за относительно небольшие деньги вы получаете устройство, способное заменить дорогой специализированный VPN-роутер.

Что такое OpenWrt и почему он нужен для VLESS

OpenWrt — это открытая прошивка для роутеров, которая заменяет заводское программное обеспечение. В отличие от проприетарных прошивок, OpenWrt предоставляет полный контроль над устройством: доступ по SSH, пакетный менеджер opkg, гибкую настройку сетевых интерфейсов и возможность установки дополнительных пакетов.

Стоковая прошивка Xiaomi не поддерживает VLESS и другие современные прокси-протоколы. OpenWrt же позволяет установить PassWall или аналогичные пакеты, которые добавляют поддержку VLESS, Shadowsocks, Trojan и других протоколов. Без OpenWrt настройка VLESS на AX3000T была бы невозможна или потребовала бы использования костылей вроде двойного NAT.

Важно понимать: OpenWrt — это не готовая система «всё включено». После установки базовой прошивки вам потребуется настроить подключение к интернету, Wi-Fi и затем установить пакеты для проксирования. Однако сообщество поддерживает множество готовых сборок, которые упрощают процесс.

Выбор прошивки: официальная OpenWrt или сборка с PassWall

Первый шаг — решить, какую прошивку ставить. Официальная OpenWrt с официального сайта openwrt.org — это стабильная база, но в ней нет PassWall. Вам придётся вручную добавлять репозиторий PassWall и устанавливать пакеты. Это даёт больше контроля и гарантирует совместимость с официальной версией.

Альтернатива — использовать готовую сборку, например, от сообщества openwrt-passwall-build. Такие сборки уже включают PassWall и часто другие полезные пакеты. Однако они могут отставать от официальных релизов или содержать нестабильные изменения. Для новичков готовая сборка проще, но для опытных пользователей официальная прошивка с ручной установкой PassWall предпочтительнее.

При выборе сборки обязательно проверяйте, что она собрана именно для вашей ревизии AX3000T. У Xiaomi бывают разные ревизии железа, и прошивка для одной может не работать на другой. Информацию о поддерживаемых ревизиях ищите на странице устройства на openwrt.org.

Подготовка к прошивке: что нужно знать перед началом

Прошивка роутера — ответственная операция, которая может превратить устройство в «кирпич» при ошибке. Перед началом убедитесь, что у вас есть:

• Кабель Ethernet для подключения к роутеру (беспроводное соединение во время прошивки не рекомендуется).
• Запасной доступ в интернет (например, через мобильный телефон) для скачивания прошивки и инструкций.
• Инструкция именно для вашей ревизии AX3000T с openwrt.org. Общей команды для всех моделей Xiaomi нет: где-то нужен даунгрейд заводской прошивки, где-то — использование telnet-эксплойта.

Также важно понимать, что установка OpenWrt аннулирует гарантию Xiaomi. Если роутер сломается, вы не сможете обратиться в официальный сервисный центр. Это осознанный риск, который берут на себя все, кто перепрошивает устройства.

Рекомендуется сделать резервную копию заводской прошивки, если это возможно. В некоторых случаях можно откатиться назад, но не всегда. Лучше перестраховаться.

Пошаговая установка OpenWrt на Xiaomi AX3000T

Процесс установки OpenWrt на AX3000T состоит из нескольких этапов. Сначала нужно получить доступ к роутеру через telnet или SSH. Для этого часто требуется откатить прошивку до версии, в которой есть уязвимость, позволяющая включить telnet. Точные шаги зависят от ревизии и текущей прошивки.

После получения доступа загрузите образ OpenWrt (файл с расширением .bin или .ubi) и запишите его во флеш-память роутера. Обычно это делается через команду mtd write или через веб-интерфейс заводской прошивки, если она позволяет обновление через файл.

После перезагрузки роутер должен запуститься с OpenWrt. По умолчанию LuCI (веб-интерфейс) доступен по адресу 192.168.1.1. Подключитесь к роутеру через Ethernet-кабель, откройте этот адрес в браузере и установите пароль администратора.

Важно: после первой загрузки OpenWrt рекомендуется выполнить сброс настроек (System → Backup / Flash Firmware → Perform reset), чтобы убедиться, что все параметры установлены корректно.

Установка PassWall и настройка VLESS-сервера

Если вы установили официальную OpenWrt, вам нужно добавить репозиторий PassWall. Это делается через SSH. Сначала добавьте публичный ключ репозитория, затем пропишите адреса feed-ов в файл /etc/opkg/customfeeds.conf и выполните opkg update.

После обновления списка пакетов установите luci-app-passwall. На устройствах с 256 МБ RAM, как AX3000T, полная версия PassWall может работать медленно из-за загрузки GeoIP-баз. В этом случае рассмотрите установку облегчённой версии, если она доступна в репозитории.

После установки откройте LuCI: Services → PassWall → Node List → Add. Вставьте вашу ссылку vless:// целиком — PassWall автоматически распознает параметры. Если ссылки нет, заполните поля вручную: Type — Xray, Protocol — VLESS, Transport — XHTTP (или TCP+Reality), TLS Type — Reality, uTLS Fingerprint — chrome.

Затем в Basic Setting → General выберите добавленный сервер как TCP/UDP Node и включите Main Switch. В настройках маршрутизации укажите, какие домены и IP должны идти напрямую (например, geosite:category-ru и geoip:ru), а остальной трафик — через VLESS.

Альтернативный способ: система «Подкоп» для AX3000T

Вместо PassWall можно использовать готовую систему «Подкоп» (Podkop), которая автоматизирует настройку проксирования на OpenWrt. Этот вариант подходит тем, кто не хочет вручную разбираться с репозиториями и конфигурацией.

Установка «Подкопа» выполняется одной командой через SSH:

sh <(wget -O - https://raw.githubusercontent.com/itdoginfo/podkop/refs/heads/main/install.sh)

Скрипт загрузит и установит все необходимые компоненты, настроит базовую конфигурацию. После установки откройте веб-интерфейс «Подкопа», вставьте ссылку на подписку VLESS (обычно это URL, который выдаёт VPN-провайдер) или скопируйте строку vless:// из конфигурации.

«Подкоп» предоставляет готовые списки маршрутизации, которые автоматически обновляются. Вы можете использовать их или настроить свои правила для конкретных доменов. Это удобно для пользователей, которые хотят быстро получить работающую систему без глубокого изучения OpenWrt.

Маршрутизация трафика: как настроить split tunneling

Одна из главных причин использовать роутер с VLESS — возможность гибкой маршрутизации. Вы можете настроить, чтобы трафик к российским сайтам шёл напрямую (это снижает задержки и нагрузку на VPN), а зарубежные ресурсы — через туннель.

В PassWall для этого используются списки geosite и geoip. Например, правило geosite:category-ru направляет все домены, относящиеся к России, напрямую. Аналогично geoip:ru — все IP-адреса, принадлежащие российским сетям. Остальной трафик идёт через VLESS.

В «Подкопе» предустановленные списки уже настроены, но вы можете добавить свои исключения. Например, если какой-то сайт не открывается через VPN, добавьте его домен в список прямых подключений.

Важно помнить: маршрутизация на уровне роутера влияет на все устройства в сети. Если вы хотите, чтобы некоторые устройства всегда ходили через VPN, а другие — напрямую, потребуется настройка по IP-адресам или MAC-адресам, что сложнее.

Диагностика и типичные проблемы

Даже при правильной настройке могут возникнуть проблемы. Самые частые причины неработающего VLESS:

• Устаревшие ключи или неверный UUID в конфигурации.
• Рассинхронизация времени на роутере. VLESS+Reality требует точного времени, иначе соединение не установится. Настройте NTP-синхронизацию.
• Неверный SNI (Server Name Indication). Убедитесь, что SNI соответствует домену, указанному в конфигурации сервера.
• Неправильно выбранный транспорт. Если сервер настроен на XHTTP, а вы указали TCP, соединение не будет работать.

Для диагностики используйте логи PassWall (в LuCI: Services → PassWall → Logs). Также можно проверить соединение с сервером через командную строку, например, с помощью curl или ping.

Если скорость низкая, проверьте, не перегружен ли роутер. На AX3000T при использовании VLESS с шифрованием скорость может быть ограничена 50–80 Мбит/с на слабых моделях, но на AX3000T с двухъядерным процессором обычно выше. Убедитесь, что не включены лишние службы, такие как QoS или файрвол с большим количеством правил.

Ограничения и когда роутер с VLESS не подходит

Роутер с VLESS — это мощный инструмент, но у него есть ограничения. Во-первых, производительность: даже на AX3000T шифрование трафика снижает максимальную скорость. Если ваш тариф превышает 500 Мбит/с, роутер может стать узким местом.

Во-вторых, сложность настройки. Прошивка OpenWrt и установка PassWall требуют технических знаний. Ошибка может привести к потере доступа к роутеру или даже к его поломке.

В-третьих, гарантия. Установка сторонней прошивки аннулирует гарантию Xiaomi. Если роутер выйдет из строя, вы не сможете рассчитывать на бесплатный ремонт.

Наконец, VLESS+Reality не является абсолютной защитой от DPI. Хотя этот протокол устойчив к блокировкам, в некоторых случаях провайдеры могут обнаружить аномалии в трафике. Для максимальной безопасности комбинируйте VLESS с другими методами, например, с использованием доверенных DNS.

Вопросы и ответы