Cudy TR3000 и AmneziaWG: настройка защищённого VPN на OpenWrt

Обзор Cudy TR3000: почему он подходит для VPN

Cudy TR3000 — это компактный дорожный роутер с поддержкой Wi-Fi 6 (AX3000), двухъядерным процессором MediaTek MT7981B с частотой 1,3 ГГц, 512 МБ оперативной памяти и 128 МБ флеш-накопителя. Устройство оснащено портом WAN 2,5 Гбит/с, портом LAN 1 Гбит/с, USB 3.0 и питанием через USB-C (5 В, 3 А), что позволяет использовать его в поездках с пауэрбанком.

Благодаря мощному процессору и поддержке OpenWrt, TR3000 способен обрабатывать VPN-трафик на скоростях до 330–500 Мбит/с при использовании WireGuard и около 100 Мбит/с с OpenVPN. Это делает его отличным выбором для организации безопасного интернет-соединения для всех устройств в поездке или дома.

Важно отметить, что существует две аппаратные ревизии TR3000: с 128 МБ и 256 МБ флеш-памяти. Версия с 256 МБ продаётся отдельно как TR3000-256MB, и прошивки для неё несовместимы с обычной моделью. При покупке обращайте внимание на маркировку.

Определение ревизии устройства перед прошивкой

С конца 2025 года в рознице (например, в DNS) появилась новая ревизия Cudy TR3000 с другим чипом флеш-памяти — F50L1G41LC вместо старого. Стандартные прошивки OpenWrt для старых устройств не устанавливаются на новую ревизию, поэтому важно правильно определить версию.

Самый простой способ — посмотреть серийный номер на наклейке снизу роутера. Формат: TR3000XXXXYYYYY, где XXXX — номер недели производства. Если номер недели 2543 или больше (то есть устройство произведено после 43-й недели 2025 года), то это новая ревизия с чипом F50L1G41LC. Для неё требуется специальная промежуточная прошивка (intermediate).

Если вы купили роутер в магазине DNS после октября 2025 года, почти наверняка это новая ревизия. Проверяйте серийный номер перед началом прошивки, чтобы избежать проблем.

Также на сайте Cudy есть отдельная папка с прошивками для версии с 256 МБ флеш-памяти — не используйте её для обычного TR3000. К счастью, если загрузить неправильную прошивку через веб-интерфейс, она будет автоматически отклонена, и роутер не выйдет из строя.

Подготовка к прошивке: что понадобится

Перед началом прошивки убедитесь, что у вас есть:

• Роутер Cudy TR3000 (нужной ревизии)
• Компьютер или ноутбук с браузером
• Сетевой кабель для подключения к роутеру (хотя можно и по Wi-Fi, но надёжнее по кабелю)
• Файлы прошивок: промежуточная (intermediate) и финальная OpenWrt
• Доступ в интернет для скачивания пакетов

Для новой ревизии (SN 2543+) нужны файлы:

• cudy_tr3000-v1-sysupgrade_20251112_release.bin — промежуточная прошивка
• openwrt-24.10.5-mediatek-filogic-cudy_tr3000-v1-squashfs-sysupgrade.bin — финальная OpenWrt

Эти файлы можно скачать с официального сайта Cudy (Google Drive) или с зеркал на Яндекс.Диске. Для старых ревизий подойдут стандартные прошивки OpenWrt с официального сайта.

Рекомендуется также сохранить заводскую прошивку на случай возврата к стоковому состоянию. Инструкции по восстановлению обычно есть на форумах, например на 4PDA.

Пошаговая прошивка OpenWrt 24.10 на Cudy TR3000

Прошивка выполняется в два этапа: сначала устанавливается промежуточная прошивка, затем финальная OpenWrt.

Шаг 1: Установка промежуточной прошивки

1. Подключитесь к роутеру по Wi-Fi или кабелю. Заводской адрес веб-интерфейса — 192.168.10.1.
2. Откройте браузер, перейдите на 192.168.10.1, введите логин и пароль (обычно admin/admin или указаны на наклейке).
3. Найдите раздел Upgrade (Обновление) и загрузите файл промежуточной прошивки (например, cudy_tr3000-v1-sysupgrade_20251112_release.bin).
4. Дождитесь перезагрузки. После перезагрузки адрес останется 192.168.10.1, но интерфейс изменится — это нормально.

Шаг 2: Установка OpenWrt

1. Снова зайдите в веб-интерфейс по адресу 192.168.10.1.
2. Перейдите в System → Backup / Flash Firmware → Flash new firmware.
3. Загрузите файл финальной прошивки OpenWrt (например, openwrt-24.10.5-...-sysupgrade.bin).
4. Важно: снимите галочку "Keep settings" (Сохранить настройки), чтобы избежать конфликтов конфигурации.
5. Нажмите Flash и дождитесь завершения. После перезагрузки роутер будет доступен по адресу 192.168.1.1, логин root, пароль пустой.

Теперь у вас установлена чистая OpenWrt, готовая к дальнейшей настройке.

Установка AmneziaWG на роутер

AmneziaWG — это модифицированная версия WireGuard, которая добавляет обфускацию трафика, что помогает обходить блокировки VPN. Установка на OpenWrt выполняется с помощью скрипта.

1. Подключитесь к роутеру по SSH: ssh root@192.168.1.1 (пароль пустой).
2. Выполните команду:

sh <(wget -O - https://raw.githubusercontent.com/Slava-Shchipunov/awg-openwrt/refs/heads/master/amneziawg-install.sh)

Скрипт автоматически определит архитектуру роутера, скачает и установит необходимые пакеты. После завершения модуль AmneziaWG появится в LuCI (веб-интерфейсе OpenWrt) в разделе Network → Interfaces.

Для настройки потребуется конфигурационный файл от VPN-сервера с поддержкой AmneziaWG. Обычно такие конфиги предоставляют VPN-провайдеры, поддерживающие этот протокол. Стандартные WireGuard-конфиги также работают, но без обфускации.

После добавления интерфейса AmneziaWG вы сможете направлять через него трафик всех устройств или выбранных клиентов.

Установка Podkop для управления трафиком

Podkop — это инструмент для управления трафиком на уровне роутера на базе sing-box. Он предоставляет веб-интерфейс в LuCI и позволяет гибко настраивать маршрутизацию, проксирование и фильтрацию.

При установке Podkop на TR3000 может возникнуть ошибка нехватки места на /overlay, даже если фактически места достаточно. Это связано с особенностью работы opkg, который заранее суммирует размер всех зависимостей. Решение — устанавливать пакеты через ipk-файлы напрямую.

Порядок установки:

1. Скачайте ipk-файлы с GitHub или зеркала:

• podkop-v0.7.14-r1-all.ipk
• luci-app-podkop-v0.7.14-r1-all.ipk
• luci-i18n-podkop-ru-0.7.14.ipk (русский язык, опционально)

1. В веб-интерфейсе LuCI перейдите в System → Software → Upload Package.
2. Загрузите файлы в указанном порядке: сначала основной пакет, затем веб-интерфейс, затем локализацию.
3. При установке основного пакета зависимость bind-dig будет скачана автоматически из репозитория — убедитесь, что роутер имеет доступ в интернет.
4. После установки обновите страницу LuCI — в меню Services появится раздел Podkop.

Podkop позволяет настраивать проксирование через различные протоколы, включая VLESS, Trojan, Shadowsocks и другие, а также управлять правилами маршрутизации для отдельных устройств.

Отключение IPv6 для предотвращения утечек

При использовании VPN важно отключить IPv6, иначе трафик может утекать в обход туннеля, раскрывая ваш реальный IP-адрес. На OpenWrt это делается через командную строку.

Подключитесь по SSH и выполните следующие команды:

uci set network.wan.ipv6=0
uci set network.lan.ipv6=0
uci commit network
uci set dhcp.lan.ra=disabled
uci set dhcp.lan.dhcpv6=disabled
uci set dhcp.lan.ndp=disabled
uci commit dhcp
uci delete network.lan.ip6assign
uci commit network
/etc/init.d/odhcpd stop
/etc/init.d/odhcpd disable
/etc/init.d/network restart
/etc/init.d/dnsmasq restart

После выполнения команд в LuCI строка IPv6 может остаться как undefined/0 — это нормально, адрес не назначен и трафик не идёт.

Дополнительно можно отключить IPv6 на уровне ядра:

echo 'net.ipv6.conf.all.disable_ipv6=1' >> /etc/sysctl.conf
echo 'net.ipv6.conf.default.disable_ipv6=1' >> /etc/sysctl.conf
sysctl -p

Это гарантирует, что IPv6 полностью отключён и весь трафик идёт только через VPN-туннель.

Настройка VPN-клиента и маршрутизации

После установки AmneziaWG и Podkop необходимо настроить VPN-подключение.

Для AmneziaWG:

1. В LuCI перейдите в Network → Interfaces и нажмите Add new interface.
2. Выберите тип AmneziaWG (или WireGuard, если используете стандартный протокол).
3. Вставьте содержимое конфигурационного файла от провайдера (обычно это ключи, адрес, DNS).
4. Сохраните и активируйте интерфейс.

Для Podkop:

1. Перейдите в Services → Podkop.
2. Добавьте прокси-сервер, указав протокол, адрес, порт и учётные данные.
3. Настройте правила маршрутизации: можно направить весь трафик через VPN или только для определённых устройств/доменов.
4. Активируйте конфигурацию.

Важно проверить, что весь трафик идёт через туннель. Для этого можно использовать сервисы определения IP-адреса (например, 2ip.ru) до и после включения VPN. Также убедитесь, что DNS-запросы не утекают — в настройках VPN укажите DNS-серверы провайдера или используйте DoH/DoT.

Расширение памяти и альтернативные прошивки

Стандартная OpenWrt на TR3000 оставляет около 40 МБ свободного места на /overlay. Этого достаточно для базовых пакетов, но для установки большого количества приложений может не хватить. Существуют сборки с расширенной разметкой (U-Boot layout), которые увеличивают доступное пространство до ~90–95 МБ.

Например, на 4PDA можно найти сборки OpenWrt 24.10.4 и 25.12.5 с поддержкой U-Boot layout. Установка таких прошивок требует изменения разметки, что делается специальными скриптами. После этого становится доступно значительно больше места для пакетов.

Также существуют сборки с поддержкой USB-модемов (для 4G/5G-интернета), сборки ImmortalWrt с проприетарными драйверами Wi-Fi от MediaTek (padavanonly) и даже прошивка Keenetic 5.1.2 с рабочими портами.

Если вы планируете использовать роутер как NAS или устанавливать много пакетов, рассмотрите вариант с расширенной разметкой. Однако помните, что такие прошивки неофициальные, и при их использовании вы теряете гарантию.

Частые проблемы и их решение

Проблема: Не устанавливается OpenWrt на новую ревизию.

Убедитесь, что вы используете промежуточную прошивку от 20251112 или новее. Старые версии не поддерживают чип F50L1G41LC.

Проблема: Ошибка нехватки места при установке Podkop.

Используйте установку через ipk-файлы, а не через opkg install. Это обходит баг с подсчётом зависимостей.

Проблема: VPN не работает или медленный.

Проверьте, что IPv6 отключён, и что вы используете правильные DNS-серверы. Также убедитесь, что процессор не перегружен — на TR3000 скорость WireGuard ограничена ~330–500 Мбит/с.

Проблема: Роутер не загружается после прошивки.

Если роутер "окирпичился", можно восстановить его через UART. На плате есть тестпоинты для подключения адаптера (RX, TX, GND). Параметры соединения: 115200, 8N1. Инструкции по восстановлению есть на 4PDA и OpenWrt Forum.

Проблема: Не работает USB-модем.

Убедитесь, что прошивка поддерживает модемы. Некоторые сборки OpenWrt включают необходимые драйверы, другие — нет. Проверьте список пакетов и установите нужные.

Вопросы и ответы