OpenVPN-клиент на Cudy WR3000: подключение к своему серверу и проверка маршрута

MAATRIX · Обновлено 24 октября 2026

Cudy WR3000 может работать OpenVPN-клиентом и направлять в туннель трафик выбранных устройств. Тогда ноутбуку или телевизору не нужно отдельное VPN-приложение: маршрут задаётся на роутере. Ниже описано, как подготовить профиль, настроить клиент в штатной прошивке и проверить внешний IP, DNS, IPv6 и поведение сети при недоступном сервере.

Уточните ревизию роутера и версию прошивки

Ревизия WR3000 указана на наклейке снизу корпуса. От неё зависит, какой файл прошивки подходит. У V1 и V2 файлы разные, поэтому обновлять роутер нужно только образом для своей ревизии. WR3000S и WR3000H — отдельные модели, а не другое написание WR3000. Инструкции и прошивки для них могут отличаться.

Для WR3000 V1 OpenVPN-клиент заявлен в штатной прошивке. Для VPN-функций производитель указывает версию новее 1.16.1. В характеристиках WR3000 V2 OpenVPN Client тоже есть, но минимальная версия прошивки там не названа. Названия пунктов меню и набор опций могут меняться от выпуска к выпуску. Если ваш интерфейс отличается от описания, сверьтесь с документацией Cudy для установленной версии.

В меню VPN у Cudy есть две похожие роли. OpenVPN Client подключает роутер к внешнему серверу, и именно эта роль нужна, чтобы домашние устройства выходили в интернет через VPS. OpenVPN Server работает в обратную сторону: он принимает входящие подключения к домашней сети. Настраивать сервер для этой задачи не нужно, и смешивать две роли не стоит.

Статья относится к заводскому интерфейсу Cudy. Если на роутере установлена OpenWrt, порядок действий другой, он описан в отдельной инструкции по OpenVPN на OpenWrt.

Подготовьте отдельный профиль для роутера

Роутеру нужен файл .ovpn, выпущенный на сервере специально для него. Не используйте профиль, который уже стоит на ноутбуке или телефоне. Два одновременных подключения с одной клиентской идентичностью часто мешают друг другу, а отдельный профиль при необходимости можно отозвать независимо от остальных. Если сервера ещё нет, порядок установки описан в статье об установке OpenVPN на VPS. Профиль WireGuard с расширением .conf для этой настройки не подходит.

Импортёру Cudy проще всего передать объединённый профиль, в котором сертификаты и ключи встроены в текст файла. Ссылка на внешний путь вроде C:\Users\Admin\client.key на роутере работать не будет, потому что такого файла там нет. Упрощённо структура объединённого профиля выглядит так:

client
dev tun
proto udp
remote 203.0.113.10 1194
remote-cert-tls server
<ca>
СЕРТИФИКАТ_CA_ВАШЕГО_СЕРВЕРА
</ca>
<cert>
СЕРТИФИКАТ_КЛИЕНТА_ROUTER
</cert>
<key>
ПРИВАТНЫЙ_КЛЮЧ_КЛИЕНТА_ROUTER
</key>
<tls-crypt>
СТАТИЧЕСКИЙ_TLS_КЛЮЧ
</tls-crypt>

Это иллюстрация, а не шаблон для копирования. Адрес 203.0.113.10 взят из документационного диапазона, вместо заглушек в реальном файле будут ваши данные. Состав директив задаёт сервер. Если в профиле есть <tls-auth> вместо <tls-crypt>, оставьте его как есть. Блок CA, проверку подлинности сервера и TLS-ключи из профиля удалять нельзя, даже если без них импорт проходит легче. Именно они не дают роутеру подключиться к чужому серверу.

Логин и пароль нужны только тогда, когда сервер настроен на проверку пользователя. Обычно это видно по строке auth-user-pass в профиле. В эти поля вводятся VPN-реквизиты. Пароль панели Cudy и данные администратора VPS туда не подходят и для этой настройки вообще не требуются.

Заранее выясните, для чего выпущен профиль. Для выхода в интернет через VPS сервер должен передавать клиенту маршрут по умолчанию, пересылать его трафик и выполнять NAT. Профиль, сделанный только для доступа к удалённой подсети, например к офисному NAS, создаст рабочий туннель, но внешний IP браузера при этом не изменится.

Файл .ovpn с приватным ключом храните вместе с другими секретами. Пересылать его через общие чаты нельзя.

Сохраните исходное состояние сети

Перед изменениями откройте панель роутера по адресу cudy.net или по адресу шлюза. На заводских настройках это обычно 192.168.10.1. Сделайте резервную копию конфигурации и запишите текущий внешний IPv4 и IPv6 тестового компьютера. Эти значения понадобятся для сравнения.

Проверьте, что домашняя подсеть не совпадает с подсетью VPN и с сетями, которые сервер передаёт как маршруты. При перекрытии адресов часть трафика уйдёт не туда, а локальные устройства могут стать недоступны.

Для первого теста лучше всего подходит ноутбук, подключённый кабелем. На нём стоит отключить собственные VPN-приложения и прокси, иначе результат проверки покажет их работу, а не работу роутера. Телефон тоже можно использовать, но с выключенной мобильной передачей данных, чтобы он не уходил в сотовую сеть. Настраивайте роутер, находясь рядом с ним, и в такое время, когда кратковременный обрыв соединений никому не помешает.

Включите OpenVPN Client и назначьте одно устройство

Нужный раздел находится в General Settings → VPN. Порядок импорта описан в официальной документации Cudy.

1. Включите VPN и выберите тип OpenVPN Client.
2. В поле Default Rule установите Ban all devices. Пока туннель не проверен, ни одно устройство не будет отправлено в него автоматически.
3. Кнопкой Browse загрузите подготовленный .ovpn. Сверьте показанный адрес сервера с ожидаемым. Логин и пароль заполняйте, только если их требует сервер.
4. В VPN Policy для первой проверки не добавляйте правила по доменам и подсетям. Значение Disable там отключает дополнительную политику, а сам клиент продолжает работать.
5. Нажмите Save & Apply и дождитесь, пока статус покажет установленное соединение.

Затем откройте System Status → Devices и включите VPN для тестового ноутбука. Переключатель действует на конкретное устройство, поэтому сверьте MAC-адрес и локальный IP в списке с сетевыми настройками ноутбука. Если ноутбук использует случайный MAC для Wi-Fi, адрес в списке может отличаться от адреса сетевой карты. Это ещё одна причина начинать с кабеля.

Режим Site-to-Site нужен для объединения двух сетей. Для выхода в интернет через VPS он не требуется и открывает серверной стороне доступ к домашним адресам, поэтому оставьте его выключенным.

Проверьте внешний IPv4 и маршрут

На назначенном ноутбуке откройте любой сервис определения внешнего IP. Должен отображаться адрес VPS. Установленный туннель сам по себе ещё не означает, что трафик в него идёт: соединение может быть поднято, а пакеты продолжат уходить через провайдера.

Если адрес не изменился, проверяйте по порядку. Сначала посмотрите, включён ли VPN именно для этого устройства в Devices. Затем убедитесь, что ноутбук действительно получает адрес и шлюз от Cudy, а не от другого роутера или точки доступа. После этого стоит выяснить, рассчитан ли серверный профиль на полный выход в интернет.

Полный маршрут IPv4 в OpenVPN обычно задаётся директивой redirect-gateway, часто с флагом def1. С этим флагом клиент добавляет два более узких маршрута, которые перекрывают маршрут по умолчанию, а исходный шлюз провайдера не удаляет. Подробности есть в справочнике OpenVPN. Эта информация нужна, чтобы понять поведение клиента. Дописывать директиву в профиль наугад не следует: она должна соответствовать настройкам сервера и поддерживаться клиентом в прошивке Cudy.

Когда внешний адрес уже серверный, проверьте доступ к локальным устройствам, например к принтеру или NAS. Если они пропали, обычно дело в перекрытии подсетей или в маршрутах, переданных сервером.

Проверьте DNS

DNS превращает имена сайтов в адреса. Выполните на ноутбуке nslookup example.com. Если при работающем туннеле запрос завершается тайм-аутом, проблема в разрешении имён, и сайты не будут открываться даже при правильном маршруте. Если ответ приходит от домашнего роутера, это ещё ничего не говорит о дальнейшем пути запроса. Роутер пересылает его вышестоящему серверу, и важно, какому именно и по какому маршруту.

Онлайн-тест DNS показывает, какой резолвер в итоге обработал запрос. Путь пакета до этого резолвера тест не показывает. Поэтому одного имени провайдера или публичного DNS в результатах мало, чтобы делать вывод об утечке. Сравните результаты с выключенным и включённым VPN для устройства. При сомнениях посмотрите на VPS, приходят ли туда DNS-запросы от роутера. Отдельно учитывайте, что браузер с включённым DNS over HTTPS может обращаться к своему серверу независимо от настроек системы и роутера.

Если импорт не проходит из-за DNS-директив, не удаляйте их из профиля. Лучше получить на сервере совместимый вариант или задать DNS в предусмотренных полях Cudy. Указанный DNS-сервер должен быть доступен по тому маршруту, который вы выбрали.

Проверьте IPv6

IPv6 проверяется отдельно от IPv4. Если сайт поддерживает IPv6, а провайдер выдаёт такие адреса, приложение может пойти к нему напрямую в обход туннеля, хотя проверка IPv4 показывает адрес сервера. Откройте сервис, который отдельно показывает внешний IPv6, и сравните результат с записанным до настройки.

Если туннель не переносит IPv6, а нужна строгая схема, есть два пути: ограничить прямой IPv6 в домашней сети или настроить его поддержку и на сервере, и на клиенте. В штатной панели параметры находятся в Advanced Settings → Network → IPv6, см. документацию Cudy. Перед изменениями запишите текущие значения.

Для проверки IPv6 можно временно выключить, если IPv4 у провайдера работает независимо от него. После этого переподключите ноутбук к сети и повторите тест. Если провайдер использует DS-Lite или MAP-E, IPv4 зависит от IPv6, и без уточнения у провайдера отключать его нельзя. Эта настройка общая для всей сети и затронет все домашние устройства, а не только назначенные в VPN.

Включите kill switch и проверьте обрыв

Когда маршрут, DNS и IPv6 проверены, можно настроить поведение при сбое. Если назначенные устройства не должны выходить в интернет напрямую при падении туннеля, выберите в VPN Policy вариант VPN kill switch, если этот пункт есть в вашей версии прошивки. Если его нет, автоматическая блокировка прямого выхода этой инструкцией не обеспечивается. Документация Cudy требует при этом заполнить Preferred DNS. Резервный DNS указывайте, только понимая, по какому маршруту к нему пойдут запросы. Правила Domain и Remote Subnet в той же политике определяют, что отправлять в туннель, и защиту при обрыве не заменяют. Сохраните настройки и убедитесь, что при работающем туннеле всё открывается как прежде.

Для проверки нужно сделать недоступным сервис OpenVPN на сервере, сохранив административный доступ к VPS. Если вы управляете сервером сами, остановите только службу OpenVPN. Если сервер обслуживает провайдер, договоритесь с поддержкой о временной остановке этой службы. Передавать кому-либо пароль root для этого не нужно. Пока сервис остановлен, откройте на назначенном ноутбуке сайт, который на нём раньше не открывался, или запустите проверку внешнего IP в приватном окне. Обновление уже открытой страницы для такой проверки не подходит: браузер может показать её из кеша.

Если новый сайт открылся напрямую через провайдера, проверьте, распространяется ли политика на это устройство, нет ли прямого IPv6 и не подключён ли ноутбук одновременно к другой сети. Выключение VPN в панели Cudy для этой проверки не годится: это ручная смена режима, после которой прошивка может штатно вернуть обычный интернет. После теста запустите службу на сервере и убедитесь, что роутер переподключился сам.

Найдите причину ошибки по симптому

Если что-то не работает, начните со статуса подключения и сообщения об ошибке. Это быстрее, чем перебирать настройки подряд.

Ошибку сертификата нельзя исправлять отключением проверки: так роутер начнёт доверять любому серверу. Сначала посмотрите на системное время роутера, потому что при неверной дате сертификат считается ещё не действующим или уже истёкшим. Транспорт тоже меняется только согласованно: если переключить на роутере UDP на TCP, а сервер продолжает слушать UDP, соединение не установится. Сам профиль удобно проверить отдельным OpenVPN-клиентом на компьютере. На время такой проверки отключите клиент на Cudy, чтобы не было двух подключений с одним сертификатом.

Подключите остальные устройства и подготовьте откат

После успешных проверок добавляйте устройства по одному в System Status → Devices. Если через туннель должна работать вся сеть, измените Default Rule, понимая, что это затронет и новые устройства. Для каждого важного сценария проверьте реальное приложение. Для сервисов ИИ мало того, что открылась главная страница: нужно войти в аккаунт, отправить запрос и убедиться, что работает нужная функция. Затем перезагрузите роутер и убедитесь, что туннель поднимается сам, назначения сохраняются, а локальная панель доступна.

Чтобы вернуть обычное подключение, снимите VPN с устройств, отключите клиент и kill switch, верните прежние настройки DNS и IPv6. Сброс к заводским настройкам для этого обычно не нужен. Сохраните рабочую конфигурацию отдельно от исходной копии и подпишите обе так, чтобы их можно было различить через несколько месяцев.

Если вы выбираете между протоколами, есть руководство по WireGuard на Cudy WR3000. Другие модели и способы подключения собраны в каталоге роутеров для VPN.