WireGuard-клиент на Cudy WR3000: VPN для выбранных устройств дома

MAATRIX · Обновлено 24 октября 2026

Роутер Cudy WR3000 может подключаться к вашему WireGuard-серверу на VPS и направлять через него трафик только тех устройств, которые вы выберете. Остальная домашняя сеть продолжит работать через провайдера. В этой статье описана настройка в штатной прошивке Cudy: подготовка профиля, импорт, назначение устройств, проверка адреса, DNS, IPv6 и поведения при обрыве.

Роли распределяются так. Cudy работает клиентом и сам устанавливает исходящее соединение. VPS работает сервером и точкой выхода в интернет. Для начала через туннель стоит пустить один компьютер. Ошибку на нём проще найти, и сбой не затронет остальных пользователей сети.

Определите ревизию роутера и версию прошивки

Под названием WR3000 выпускаются разные аппаратные ревизии. Номер ревизии указан на наклейке снизу корпуса, а версия прошивки отображается в веб-панели. WR3000 V1 и WR3000 V2 собраны на разных платформах и используют разные прошивки. Прошивка от одной ревизии не подходит для другой, даже если в ней есть нужная функция.

На странице WR3000 V1 производитель указывает поддержку WireGuard-клиента. Там же сказано, что для VPN-функций нужна прошивка новее 1.16.1. На странице WR3000 V2 штатный WireGuard Client тоже заявлен, но такой минимальной версии для неё не приводится. Обновления скачивайте в центре загрузок Cudy строго для своей ревизии. Названия пунктов меню и набор опций в разных версиях прошивки могут отличаться. Если какого-то пункта из этой статьи у вас нет, сверьтесь с документацией к вашей версии.

Если на роутере стоит OpenWrt, меню будет совсем другим. Для этого случая есть отдельное руководство по WireGuard на OpenWrt.

Ещё одно условие касается схемы сети. Cudy должен быть шлюзом для тестового компьютера. Если WR3000 работает точкой доступа, а маршрутизацией занимается другой роутер, настройка VPN на Cudy не изменит путь трафика этого компьютера.

Подготовьте сервер и отдельный профиль для роутера

Установить связь с сервером недостаточно. Чтобы клиенты получили доступ в интернет, на VPS должны быть включены пересылка пакетов, разрешающие правила файрвола и NAT, либо другая заранее продуманная схема обратной маршрутизации. Если сервер вы настраиваете сами, пригодится руководство по установке WireGuard на VPS.

Создайте для роутера отдельного пира и отдельный файл .conf. Один и тот же профиль нельзя одновременно использовать на роутере и на телефоне: сервер будет принимать соединение то от одного устройства, то от другого, и связь станет нестабильной. Телефону для работы вне дома нужен собственный профиль.

Типичный клиентский профиль выглядит так. Ключи и адреса ниже вымышлены, их нужно заменить данными со своего сервера:

[Interface]
PrivateKey = <ROUTER_PRIVATE_KEY>
Address = 10.8.0.2/32
DNS = <DNS_FROM_SERVER_CONFIG>

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Строка AllowedIPs = 0.0.0.0/0 направляет в туннель весь IPv4-трафик тех устройств, которые вы назначите. Какие именно это будут устройства, решает отдельная настройка в панели Cudy, а не этот параметр. DNS указывайте из конфигурации своего сервера, а не из чужого примера. IPv6 в туннеле требует отдельной поддержки и на сервере, и в прошивке роутера, поэтому подробнее о нём сказано ниже.

Профиль AmneziaWG с дополнительными параметрами обфускации этому клиенту не подходит. Если удалить из такого файла лишние строки, он не превратится в профиль обычного WireGuard: серверная сторона Amnezia продолжит ждать свой формат. Для штатного клиента Cudy нужен сервер с обычным WireGuard.

В руководстве Cudy по VPN описаны и сервер, и клиент. Требование публичного IP-адреса относится к режиму VPN Server, когда к роутеру подключаются извне. В нашей схеме роутер сам подключается к VPS, поэтому публичный IP нужен серверу, а домашнему подключению он не требуется.

Сохраните текущие настройки и проверьте адресацию

Подключитесь к роутеру локально, лучше по кабелю. Откройте cudy.net или фактический адрес шлюза. Заводской адрес обычно 192.168.10.1, но его могли изменить. Сделайте резервную копию конфигурации и запишите текущие настройки DNS и IPv6. Откройте на тестовом компьютере любой сервис проверки IP и запишите внешний IPv4-адрес, а если он есть, и IPv6. Эти значения понадобятся для сравнения.

Затем убедитесь, что домашняя подсеть и адреса туннеля не пересекаются. Если в обеих используется, например, 192.168.10.0/24, маршрутизация будет работать неправильно. Исправьте адресный план одной из сторон, а не добавляйте маршруты наугад.

На время проверки отключите на тестовом компьютере собственный VPN-клиент и браузерные прокси, а также остановите крупные загрузки. Так вы будете видеть работу именно роутера.

Импортируйте профиль в WireGuard Client

По документации Cudy нужная страница находится в разделе General Settings → VPN. В старых прошивках название пункта может быть короче, но нужен именно клиентский режим WireGuard.

1. Включите VPN и выберите протокол WireGuard Client.
2. В поле Default Rule выберите Ban all devices. Так ни одно устройство не перейдёт на новый маршрут, пока вы не назначите его вручную.
3. Нажмите Browse и загрузите файл .conf. После импорта проверьте поля Interface и Peer: адрес клиента, DNS, публичный ключ сервера, Endpoint и порт.
4. Если в разделе VPN Policy вашей прошивки есть вариант VPN kill switch, выберите его, когда нужно запретить назначенным устройствам прямой выход в интернет при обрыве туннеля. Если такого пункта нет, считайте, что защиты от обрыва в вашей версии прошивки нет.
5. В поле Preferred DNS укажите адрес из конфигурации сервера. Alternate DNS заполняйте только при необходимости и только адресами из той же конфигурации.
6. Нажмите Save & Apply.

Опция Site-to-Site нужна для связи двух сетей между собой. Для выхода домашних устройств в интернет через VPS её включать не требуется.

Назначьте VPN одному тестовому устройству

Откройте System Status → Devices и включите переключатель VPN у одного компьютера. Этот порядок описан в пояснении Cudy к правилам VPN-клиента.

Перед включением сверьте локальный IP и MAC-адрес устройства с тем, что показывает сам компьютер. Имена в списке бывают похожими, и включить VPN соседнему устройству легко по ошибке. Телефоны и ноутбуки с функцией частного MAC-адреса в Wi-Fi могут выглядеть в списке как новое устройство после переподключения. Для них проверяйте адрес, который используется в этой сети прямо сейчас.

Проверьте внешний IP, DNS и IPv6

Внешний IPv4

Откройте сервис проверки IP на тестовом компьютере. Адрес должен совпадать с внешним адресом VPS. Затем выполните ту же проверку на устройстве, которому VPN не назначен: у него должен остаться адрес провайдера. Если оба устройства показывают одинаковый адрес, проверьте назначение в списке устройств и убедитесь, что компьютер действительно использует Cudy как шлюз.

DNS

Сначала убедитесь, что имена вообще разрешаются: откройте несколько сайтов или выполните nslookup example.com. Если в ответе указан адрес роутера, это нормально, потому что Cudy может пересылать запросы дальше. Однако по этому ответу нельзя понять, ушёл ли следующий запрос через туннель.

Онлайн-тест DNS показывает, какой резолвер обработал запрос. Маршрут, по которому запрос до него дошёл, тест не показывает. Поэтому одно знакомое или незнакомое имя резолвера ещё не говорит об утечке. Сравните результат с тем DNS, который задан в профиле. Если нужна точность, посмотрите на сервере, приходят ли DNS-запросы через туннель. Учтите, что в браузере может быть включён собственный защищённый DNS: тогда браузер обращается к резолверу напрямую, минуя настройки роутера.

IPv6

Туннель для IPv4 не закрывает IPv6. Если профиль и сервер не поддерживают IPv6, а провайдер выдаёт устройству глобальный IPv6-адрес, часть соединений пойдёт напрямую. Проверьте на тестовом компьютере, какой IPv6-адрес видит сервис проверки. Если это адрес провайдера, есть два варианта: настроить IPv6 в туннеле на сервере и в профиле (при условии, что ваша прошивка Cudy это поддерживает) или ограничить прямой IPv6 в домашней сети.

Настройки IPv6 находятся в Advanced Settings → Network → IPv6, они описаны в руководстве Cudy по сетевым настройкам. Если IPv4 у провайдера работает независимо от IPv6, на время проверки можно отключить IPv6 и переподключить клиентов. Перед этим запишите прежние параметры. Если провайдер использует DS-Lite или MAP-E, сначала уточните схему подключения: при таких технологиях отключение IPv6 может оставить сеть и без IPv4. Изменения в этом разделе затрагивают всю домашнюю сеть, а не только устройства, назначенные в VPN.

После этих проверок откройте сервис, ради которого настраивался туннель, и выполните в нём обычное действие, например войдите в аккаунт или отправьте запрос. VPS меняет только сетевой маршрут. Подписку, требования к аккаунту и прочие правила сервиса он не заменяет. Обходить любые ограничения такая схема тоже не обязана.

Проверьте поведение при обрыве туннеля

Если вы включили kill switch, проверьте его работу на практике. Выключать VPN в панели роутера для этого не подходит: при ручном отключении меняется сама политика маршрутизации, и проверка покажет не то, что нужно. Ближе к реальному сбою другой способ: временно закройте на VPS входящий UDP-порт этого WireGuard. Доступ к серверу по SSH при этом должен сохраниться, и правило должно легко отменяться. Если сервером управляет поддержка, договоритесь с ней о коротком тесте.

Пока порт закрыт, назначенный компьютер не должен устанавливать новые соединения напрямую. Ранее открытая страница для такой проверки не годится, потому что браузер может показать её из кеша. Откройте новый сайт в приватном окне, обновите страницу проверки IP с другого сервиса и посмотрите, не появился ли адрес провайдера ни по IPv4, ни по IPv6. Затем откройте порт и убедитесь, что туннель восстановился сам и назначенное устройство снова выходит в интернет через VPS.

Если пока провести такой тест не получается, считайте защиту от обрыва непроверенной. На поведение конкретной прошивки нужно смотреть по результату теста, а не по названию опции.

Найдите причину, если связь не работает

Если соединение с VPS не устанавливается, проверьте Endpoint, UDP-порт и оба ключа. Ошибка даже в одном символе ключа делает обмен невозможным. Проверьте также, открыт ли этот порт на сервере и у хостинг-провайдера.

Если туннель поднят, но сайты не открываются, проверяйте по порядку: DNS в профиле и в поле Preferred DNS, назначение устройства, затем пересылку пакетов и NAT на сервере. Если небольшие страницы загружаются, а крупные зависают, проблема может быть в размере пакетов на конкретной линии. Подбирайте MTU постепенно: одного значения, которое подходит всем подключениям, нет.

Правила по доменам и удалённым подсетям (Domain и Remote Subnet) включайте только после того, как одно устройство стабильно выходит в интернет через сервер. Маршрутизация по доменам требует отдельной работы: сайт обычно использует несколько имён, API и CDN, и одного адреса главной страницы для этого недостаточно.

Верните прежнюю схему или подключите остальные устройства

Откатить настройку можно без сброса к заводским параметрам. Подключитесь к панели локально, снимите назначение VPN с тестового устройства и отключите клиент WireGuard. Если вы меняли DNS и IPv6, верните записанные значения. Если был включён kill switch, отключите его вместе с клиентом, чтобы устройства не остались без доступа в интернет. После этого проверьте, что внешний адрес снова совпадает с исходным.

Если всё работает, назначьте VPN остальным нужным устройствам и повторите для них проверку адреса. Затем перезагрузите роутер и убедитесь, что клиент и назначения сохранились. Запишите имя профиля, локацию сервера и список назначенных устройств: так через несколько месяцев будет проще разобраться в настройке.

Если на сервере работает OpenVPN, воспользуйтесь инструкцией по OpenVPN для Cudy WR3000. Настройки для других моделей собраны в каталоге домашних VPN-роутеров.