VLESS на OpenWrt: как поднять на Xiaomi AX3000T и не утечь мимо туннеля

Xiaomi AX3000T на маркетплейсах стоит заметно дешевле Keenetic Giga, а после перепрошивки понимает VLESS Reality так же, как Happ на телефоне. Поэтому запрос «vless openwrt» за два года из гиковского превратился в бытовой: люди покупают роутер специально под это. Проблем у схемы две — прошивка и DNS. С обеими справляются за вечер, если знать, где подвох.

Почему именно OpenWrt

Заводские прошивки почти у всех брендов дают только классические протоколы — WireGuard, OpenVPN, L2TP. В России их давят первыми, и раздел «VPN» в панели превращается в декорацию. OpenWrt — это обычный Linux для роутера с пакетным менеджером, и на него встают те же ядра, что внутри телефонных клиентов: Xray и sing-box. Значит, VPN на OpenWrt — это не «какой-то свой протокол роутера», а ваш обычный ключ VLESS, только для всего дома.

Цена вопроса — ответственность. Обновления, совместимость пакетов и восстановление после неудачного эксперимента ложатся на вас, а не на производителя. Если хочется «включил и забыл», честнее взять Keenetic — его путь описан в статье «VPN на роутере Keenetic».

Какое железо брать

Главное — процессор и память, а не антенны. Шифрование всего трафика семьи нагружает CPU, а ядру sing-box или Xray нужны место во флеше и оперативка. Из того, что реально покупают:

• Xiaomi AX3000T — двухъядерный ARM, 256 МБ ОЗУ, поддерживается OpenWrt. Самый частый выбор.
• Cudy TR3000 и WR3000 — Cudy сам выкладывает сборки OpenWrt для многих моделей, шить проще.
• GL.iNet — прошивка из коробки построена на OpenWrt, перепрошивать ничего не нужно.

Если дома уже стоит TP-Link Archer, проверьте сначала его: часть ревизий шьётся под OpenWrt, и как это понять по наклейке, разобрано в статье «VPN на роутере TP-Link».

Чего брать не стоит: старые одноядерные роутеры с 8–16 МБ флеша. OpenWrt на них встанет, а sing-box — нет, и вы получите роутер, который умеет всё, кроме того, ради чего его шили.

VPN на роутер Xiaomi: перепрошивка AX3000T

Родная прошивка Xiaomi в глобальной версии VPN-клиента почти не даёт, поэтому VPN на роутер Xiaomi — это почти всегда история про OpenWrt. У AX3000T несколько аппаратных вариантов, и поздним нужна свежая версия OpenWrt — поэтому начинайте со страницы модели на openwrt.org, а не со случайного видео. Там же описано, как открыть SSH на заводской прошивке и какой образ шить.

До прошивки сделайте одно: сохраните резервную копию разделов. Это пять минут, и это единственный способ вернуть роутер к жизни без программатора, если что-то пошло не так. После прошивки панель LuCI открывается на 192.168.1.1 — первым делом задайте пароль root.

Чем открыть ключ: Podkop, Passwall или голый sing-box

Вариантов три, и выбирать стоит по тому, сколько вы готовы настраивать руками.

Podkop — самый короткий путь для обычного дома. Он работает на sing-box, ставится одной командой из README проекта и умеет главное: пускать в туннель только заблокированные домены по готовым спискам. Вставили ссылку VLESS, отметили списки — YouTube, Discord и Instagram идут через VPN, банк и Госуслуги остаются на российском IP.

Passwall и Passwall2 — на Xray, с богатым интерфейсом в LuCI. Настроек больше, гибкости тоже, а вот разбираться дольше. Их выбирают те, кому нужны несколько серверов, балансировка и свои правила.

Голый sing-box с собственным конфигом — для тех, кто хочет понимать каждую строку. Из чего собран конфиг, зачем режим TUN и как устроены правила маршрутизации, подробно разобрано в статье «Sing-box: настройка конфига».

Самая частая поломка VLESS на OpenWrt — не туннель, а DNS. Туннель поднят, IP чужой, а провайдер по-прежнему видит, какие сайты вы открываете, и подменяет ответы.

Где течёт DNS и как это проверить

По умолчанию роутер отдаёт устройствам DNS провайдера или свой dnsmasq, который ходит к провайдеру. Если клиент VLESS этого не перехватывает, запросы к заблокированным доменам идут мимо туннеля — и часть сайтов просто не резолвится, хотя «VPN включён». Podkop и sing-box умеют отвечать на DNS сами и отправлять запросы через туннель — эту опцию нужно включить, а не надеяться на значения по умолчанию.

Проверка простая: с телефона в домашнем Wi-Fi откройте проверку IP и DNS. IP должен быть адресом сервера, а DNS-резолверы — не провайдерскими. Как читать результат, разобрано в заметке «Как проверить, что VPN работает».

Настройка VLESS на OpenWrt по шагам

1. Сверьте модель и аппаратную ревизию с openwrt.org, сохраните резервную копию разделов.
2. Прошейте OpenWrt, задайте пароль root, обновите список пакетов.
3. Поставьте Podkop (или Passwall, или sing-box) и вставьте ссылку VLESS.
4. Включите DNS через туннель и выберите, что идёт в VPN: всё или только списки.
5. Проверьте IP и DNS с любого устройства в сети.

Что здесь даёт VIPASS

Клиентам на OpenWrt нужен ровно один формат — ссылка VLESS Reality, и VIPASS выдаёт именно её, на личный сервер. Один клиент — один выделенный IP: через роутер ходит вся семья, и на общем сервере, где адрес делят сотни чужих людей, это быстро заканчивается капчами и вечерними просадками. Устройств у подписки неограниченно, поэтому тот же ключ работает и в Happ на телефоне. А если Podkop или прошивка встанут колом, VIP-поддержка 24/7 поможет разобраться.

Попробовать можно через @vipass_robot в Telegram — бесплатно, за 2 минуты, карта не нужна. Если вы ещё выбираете роутер, сравнение моделей — в общей инструкции «Как настроить VPN на роутере».

Частые вопросы