OpenVPN на Xiaomi и Redmi с OpenWrt: второй роутер для отдельной рабочей сети

MAATRIX · Обновлено 24 октября 2026

Если не хочется перестраивать всю домашнюю сеть ради нескольких рабочих устройств, Xiaomi или Redmi с OpenWrt можно подключить вторым роутером. Основная сеть продолжит работать как раньше, а отдельный Wi-Fi будет выходить в интернет через OpenVPN-сервер на вашем VPS. Клиентские приложения на устройствах этой сети не понадобятся: туннель поднимает сам роутер.

Инструкция рассчитана на роутер, где уже установлена совместимая сборка OpenWrt, например на подготовленный AX3000T (RD03/RD23) или Redmi AX6000. Заводская прошивка MIWiFi здесь не рассматривается: это другая система с другими настройками. Если вы только планируете переход, начните с отдельной статьи о подготовке модели, прошивки и резервных копий. Универсального способа прошивки для всех AX3000T или всех Redmi нет. Например, образы RD03/RD23 не подходят для AX3000T RD03v2, а Redmi AX6000 нельзя путать с Xiaomi AX6000.

Подключите роутер за основным и выделите ему свою подсеть

Соедините кабелем LAN-порт домашнего маршрутизатора с WAN-портом роутера с OpenWrt. В этой схеме WAN получает адрес по DHCP от основного роутера. Подключение к провайдеру остаётся на прежнем устройстве, поэтому переносить PPPoE и пароль от провайдера не нужно.

Локальная сеть OpenWrt не должна пересекаться ни с домашней сетью, ни с подсетью VPN. Допустим, основная сеть использует 192.168.31.0/24. Тогда для второго роутера можно выбрать 192.168.50.0/24 с адресом 192.168.50.1. Это только пример: сверьте адреса со своей сетью и с тем, что выдаёт VPN-сервер.

Адрес задаётся в Network → Interfaces → LAN. После сохранения обновите DHCP-аренду на компьютере и откройте LuCI по новому адресу. Не восстанавливайте на этом роутере архив настроек с другого Xiaomi: в нём могут оказаться чужие назначения портов и радиоинтерфейсы, которых у этой модели нет.

Настройте отдельный Wi-Fi и сохраните рабочее состояние

В Network → Wireless задайте имя сети, например Work-VPN, надёжный пароль и страну, в которой роутер реально используется. Привяжите беспроводную сеть к интерфейсу LAN этого роутера. Отдельное имя сети само по себе не изолирует её от остальных домашних устройств. Если нужна именно изоляция, понадобятся дополнительные правила firewall.

Фирменный Xiaomi Mesh и управление через Mi Home после перехода на OpenWrt не стоит считать сохранёнными функциями, и восстанавливать их одновременно с настройкой VPN не нужно. Сначала проверьте интернет на ноутбуке, подключённом кабелем, затем по Wi-Fi от второго роутера. Запишите внешний IPv4, который ноутбук получает без VPN, и сохраните архив настроек через System → Backup / Flash Firmware. К этому рабочему состоянию можно будет вернуться, если что-то пойдёт не так.

Подготовьте профиль OpenVPN

Для роутера скачайте с VPS отдельный клиентский файл .ovpn. Пароль root от сервера и данные личного кабинета в настройки VPN-клиента переносить не нужно: сертификатный профиль содержит всё необходимое для подключения.

Откройте файл в текстовом редакторе и проверьте, что сертификаты и ключи встроены в него, а не указаны путями к файлам на другом компьютере. Обычно рабочий профиль выглядит примерно так (адрес взят из документационного диапазона, содержимое ключей заменено заглушками):

client
dev tun
proto udp
remote 203.0.113.10 1194
nobind
persist-key
persist-tun
remote-cert-tls server
verify-x509-name SERVER_NAME_PLACEHOLDER name
<ca>
-----BEGIN CERTIFICATE-----
CA_CERTIFICATE_PLACEHOLDER
-----END CERTIFICATE-----
</ca>
<cert>
CLIENT_CERTIFICATE_PLACEHOLDER
</cert>
<key>
CLIENT_PRIVATE_KEY_PLACEHOLDER
</key>
<tls-crypt>
TLS_CRYPT_KEY_PLACEHOLDER
</tls-crypt>

Набор директив зависит от настроек сервера: вместо tls-crypt может использоваться tls-auth, а строки verify-x509-name может не быть. Важно другое: строки, отвечающие за проверку сервера (ca, remote-cert-tls server, verify-x509-name, если она есть), удалять нельзя. Сохраните оригинал файла и не публикуйте его: профиль позволяет подключаться от имени этого клиента.

Если в remote указано доменное имя, а не IP-адрес, роутеру придётся разрешать его через DNS до того, как поднимется туннель. Для роутера надёжнее указать числовой IPv4 сервера. Почему это важно, станет понятно в разделе про блокировку выхода без VPN.

Установите пакеты с учётом ветки OpenWrt

Менеджер пакетов зависит от версии системы, поэтому сначала посмотрите её в Status → Overview. Нужны пакеты openvpn-openssl и luci-app-openvpn. Их можно установить через System → Software или из консоли.

В ветке 25.12 используется apk:

apk update
apk add openvpn-openssl luci-app-openvpn

В ветке 24.10 используется opkg:

opkg update
opkg install openvpn-openssl luci-app-openvpn

Ставьте пакеты только из репозитория своей ветки. Если подтянуть отдельный системный компонент из другой версии ради одной зависимости, можно получить систему, которая работает до первого обновления или перезагрузки.

Импортируйте профиль и создайте интерфейс туннеля

После обновления страницы в LuCI появится раздел VPN → OpenVPN. Импортируйте файл под именем maatrix_work и в его копии на роутере замените строку dev tun на:

dev tun_work

Постоянное имя устройства нужно, чтобы привязать к туннелю интерфейс и зону firewall. В Network → Interfaces добавьте интерфейс ovpn_work с протоколом Unmanaged и устройством tun_work. Адрес на этом интерфейсе назначает сам OpenVPN, поэтому DHCP-клиент здесь не нужен. Официальное описание этого порядка есть в руководстве OpenWrt OpenVPN client using LuCI.

Отметьте профиль как Enabled и убедитесь в System → Startup, что служба openvpn запускается при загрузке. Подключаться пока рано: сначала настройте firewall.

Создайте зону firewall для VPN и разрешите выход из LAN

В Network → Firewall добавьте зону vpn и укажите в ней сеть ovpn_work. Параметры зоны:

• Input — Reject, Output — Accept, Forward — Reject;
• Masquerading включён, чтобы серверу не требовался маршрут к вашей подсети 192.168.50.0/24;
• MSS clamping включён, чтобы избежать проблем с крупными пакетами в туннеле;
• в настройках перенаправления разрешено направление lan → vpn.

Общее правило vpn → lan создавать не нужно: ответы на соединения, открытые из LAN, firewall пропускает и так. Существующие правила и зоны меняйте вручную и точечно. Сбрасывать конфигурацию firewall к значениям по умолчанию не нужно. Подробнее эта модель разобрана в универсальной статье об OpenVPN на OpenWrt.

Проверьте маршрут через туннель и маршрут к самому серверу

Чтобы через VPN выходила вся сеть второго роутера, должна действовать директива:

redirect-gateway def1

Она может быть записана в профиле или приходить от сервера. Если её нет ни там, ни там, добавьте строку в копию профиля на роутере. Профили с route-nopull или особыми фильтрами маршрутов не переделывайте вслепую: возможно, они предназначены только для доступа к офисной сети, а не для выхода в интернет.

Запустите профиль и проверьте маршруты:

ip -4 route
ip -4 route get 203.0.113.10
ip -4 route get 1.1.1.1

Во второй команде вместо 203.0.113.10 подставьте реальный публичный IPv4 вашего VPS. Путь к нему должен идти через WAN и шлюз основного роутера. Если он уходит в tun_work, туннель пытается проходить сам через себя. Произвольный внешний адрес в третьей команде, наоборот, должен идти через tun_work. Директива def1 добавляет два маршрута 0.0.0.0/1 и 128.0.0.0/1 и отдельный маршрут к серверу через прежний шлюз. Это поведение описано в руководстве OpenVPN 2.6.

Подготовьте время и DNS к запуску без туннеля

У сертификатов есть срок действия, поэтому роутер с неверными часами может не подключиться к серверу. Так бывает, например, после отключения питания. В System → System → Time Synchronization включите NTP-клиент и добавьте числовой адрес сервера времени, например 162.159.200.1 из документации Cloudflare. Тогда часы синхронизируются, даже пока DNS недоступен.

Чтобы запрос к NTP шёл мимо туннеля, в Network → Routing добавьте статический маршрут к этому адресу с маской /32 через интерфейс WAN и шлюз основного роутера. Шлюз должен быть вашим реальным, например 192.168.31.1 для сети из примера.

Теперь DNS. В Network → DHCP and DNS укажите в DNS forwardings IPv4-адрес DNS-сервера из профиля или из рекомендаций провайдера VPS и включите Ignore resolve file, чтобы роутер не использовал DNS, полученный от основного роутера. Клиентам по DHCP по-прежнему выдаётся адрес OpenWrt. Если DNS-сервер доступен только внутри VPN, он начнёт отвечать лишь после подключения, и для этого случая числовые remote и NTP особенно важны.

Отключите IPv6 в рабочей сети, если туннель его не передаёт

Если профиль и сервер не настраивают IPv6, устройства с IPv6-адресом могут выходить в интернет напрямую. В настройках интерфейса LAN на вкладке DHCP Server отключите RA и DHCPv6, уберите раздачу IPv6-префикса и выключите интерфейс WAN6, если он не нужен. После этого переподключите клиентов, чтобы они забыли старые адреса. Основной домашний роутер эти изменения не затрагивают.

Разберите ошибки по журналу

Сообщения OpenVPN видны в Status → System Log. Из консоли их удобно смотреть так:

logread -e openvpn
ip address show dev tun_work

По тексту ошибки обычно понятно, куда смотреть дальше:

• ошибка проверки сертификата — время на роутере, срок действия сертификатов и блок ca;
• AUTH_FAILED — данные авторизации и политика сервера;
• тайм-аут без ответа — адрес, порт и протокол в remote, а также маршрут к серверу через WAN.

Протокол меняйте только вместе с настройкой сервера: если сервер слушает UDP, переключение клиента на TCP ничего не даст. Если пакет OpenVPN отвергает какую-то директиву, выясните, какая версия у вас установлена, и подберите совместимую конфигурацию. Набор поддерживаемых параметров различается между версиями. Отключать проверку сертификата сервера или TLS-защиту ради совместимости нельзя.

Проверьте внешний IP, DNS и IPv6 с клиента

На ноутбуке, подключённом к Work-VPN, откройте любой сервис определения IP. Должен отображаться адрес VPS, а не тот, что вы записали до настройки. Затем выполните DNS-тест. Учтите, что он показывает, какой резолвер обработал запрос, а не путь, по которому запрос до него дошёл. Поэтому по одному лишь названию резолвера нельзя делать вывод об утечке: сравнивайте результат с адресом, который вы указали в forwardings, и с маршрутами на роутере. На тестах IPv6 при отключённой раздаче не должно быть внешнего IPv6-адреса.

Скорость сначала измеряйте по кабелю, потом по Wi-Fi. Обозначение вроде AX6000 относится к классу беспроводного интерфейса и ничего не говорит о скорости OpenVPN. Её ограничивают шифрование на процессоре роутера, радиоканал, сервер и маршрут до него. Для рабочих задач полезнее проверить, как проходят реальные действия: длинный ответ сервиса или загрузка документа.

Запретите выход в интернет без VPN и проверьте обрыв

Если рабочая сеть не должна выходить в интернет при отключённом туннеле, удалите в firewall перенаправление lan → wan, оставив lan → vpn, и убедитесь, что других разрешающих правил из LAN в WAN нет. Простое исчезновение маршрута без такого запрета защитой не является: при падении туннеля трафик может уйти через WAN.

Собственные DNS-запросы роутера идут отдельно. Чтобы обычный DNS и DoT не уходили мимо туннеля, можно создать исходящее правило без source-зоны: destination wan, протоколы TCP и UDP, порты 53 и 853, действие Reject. Если VPN-сервер сам принимает соединения на порту 53 или 853, выше запрета нужно узкое разрешение для исходящего трафика к IP сервера на этот порт, иначе заблокируется сам туннель. Такое правило не перекрывает DoH на порту 443 и другие службы роутера. И именно из-за него доменное имя в remote перестанет разрешаться до подключения, поэтому в профиле нужен числовой адрес. Границы этого способа описаны в разделе о проверке отказа.

Теперь проверьте обрыв. Остановите профиль и попробуйте открыть на ноутбуке сайт, который вы ещё не посещали, или новое соединение в приватном окне. Страница из кеша браузера ничего не доказывает. Новое соединение должно не установиться. Затем запустите профиль, убедитесь, что доступ вернулся, перезагрузите роутер и повторите проверки IP, DNS и обрыва. После перезагрузки туннель должен подняться сам.

Перед строгой проверкой обрыва учтите таблицу установленных соединений и flow offloading: изменение пересылки LAN → WAN не обязательно сразу остановит уже существующие сеансы. Для проверки начните новые соединения с тестового устройства, а при необходимости временно отключите ускорение потоков и завершите его старые сеансы. Отдельно проверьте IPv6 и собственные запросы роутера.

Если нужно вернуть всё назад

Чтобы откатить изменения, остановите профиль, восстановите перенаправление lan → wan, удалите добавленное DNS-правило и верните прежние настройки DNS и IPv6. Можно и просто восстановить архив, сохранённый перед настройкой VPN. Основная домашняя сеть всё это время работает независимо, поэтому все эксперименты затрагивают только устройства в Work-VPN. Если вы ещё выбираете протокол, сравните этот вариант с WireGuard на тех же роутерах или посмотрите инструкции для других моделей.