Гайд по настройке Beryl AX: VPN и OpenWrt

Актуально на октябрь 2026 года: заводская прошивка GL.iNet 4.9.0, OpenWrt 25.12.5.

Настройка Beryl AX (GL-MT3000) позволит создать защищённую Wi-Fi-сеть и подключить ноутбук и телефон к VPN. Начнём с выбора прошивки, затем установим чистый OpenWrt, настроим WireGuard, DNS и kill switch — блокировку прямого доступа в интернет при обрыве VPN. Отдельно подключим роутер к Wi-Fi отеля и настроим интернет с телефона через USB, а при необходимости настроим переключатель режимов на корпусе.

Инструкция предполагает удаление заводских настроек и работу через SSH — защищённое подключение к терминалу роутера. Если Вам нужен VPN с минимумом ручных настроек, сначала прочитайте сравнение прошивок ниже.

Зачем VPN-роутер владельцу аппаратного кошелька

Аппаратный кошелёк защищает приватные ключи, а VPN скрывает Ваш домашний или отельный IP-адрес от серверов, к которым обращается приложение кошелька. При этом сами адреса кошельков в запросах остаются видимыми. Проверка данных перед подписанием на аппаратном кошельке и защита seed-фразы нужны независимо от VPN.

При таком подключении администратор отельной сети видит соединение с VPN-сервером, но не содержимое туннеля. Посредником, которому Вы доверяете трафик, становится VPN-провайдер; содержимое HTTPS-соединений дополнительно защищено шифрованием между приложением и сайтом. Подробнее об этих границах защиты — в гайде о работе VPN и приватности.

Ноутбук и телефон смогут пользоваться VPN без отдельных клиентов: для VPN-сервиса подключённым устройством будет роутер.

Характеристики Beryl AX и возможности роутера

Для питания нужны 5 В / 3 А на одном USB-C-порту: проверяйте этот режим в характеристиках пауэрбанка. При перепрошивке используйте комплектный адаптер, поскольку перебои питания могут прервать установку.

GL.iNet заявляет до 300 Мбит/с через WireGuard и до 150 Мбит/с через OpenVPN. Это результаты тестов заводской прошивки; на чистом OpenWrt скорость будет зависеть от системы, сервера и интернет-канала. На гигабитную скорость через VPN рассчитывать не стоит.

Аккумулятора и мобильного модема нет, поэтому нужны внешнее питание и интернет через Ethernet, Wi-Fi или телефон. Для нескольких проводных устройств понадобится коммутатор, поскольку LAN-порт только один.

Заводская прошивка или чистый OpenWrt

У заводской системы более простая панель и готовые функции для поездок. По данным GL.iNet, версия 4.9.0 для GL-MT3000 основана на OpenWrt 21.02 и компонентах MediaTek SDK; обновления для неё выпускает производитель.

Ниже используем OpenWrt 25.12.5 с ядром Linux 6.12 — актуальный стабильный релиз от 1 июля 2026 года. Для новой установки выбирайте поддерживаемую ветку 25.12.

После перехода на чистый OpenWrt панель GL.iNet заменит LuCI — веб-интерфейс OpenWrt. VPN и функции для поездок придётся настроить заново, а фирменное приложение и облачные сервисы GL.iNet работать не будут. Загрузчик U-Boot остаётся от производителя и нужен для аварийного восстановления.

Для обычных поездок и готового VPN-клиента достаточно заводской прошивки; GoodCloud можно отключить. Чистый OpenWrt выбирайте, если хотите самостоятельно управлять системой и её обновлениями и готовы работать с LuCI и терминалом. Если Вы ещё выбираете устройство, посмотрите сравнение VPN-роутеров GL.iNet для дома и поездок.

Подготовка к настройке Beryl AX

Понадобятся компьютер с Ethernet-портом или USB–Ethernet-адаптером, сетевой кабель и комплектный блок питания. Настраивайте роутер по кабелю: после установки чистого OpenWrt Wi-Fi будет отключён.

Первый вход в панель GL.iNet

Подключите компьютер к LAN-порту, откройте 192.168.8.1 и задайте пароль администратора. Остальные начальные настройки пропустите, поскольку при установке они будут удалены.

Скачайте два файла

В сервисе OpenWrt Firmware Selector найдите GL-MT3000 и скачайте SYSUPGRADE для 25.12.5 или более нового стабильного релиза ветки 25.12. Пример имени файла: openwrt-25.12.5-mediatek-filogic-glinet_gl-mt3000-squashfs-sysupgrade.bin. Файл KERNEL для этой установки не нужен.

На случай восстановления скачайте из центра загрузок GL.iNet для MT3000 стабильную заводскую прошивку, совместимую с U-Boot. Если доступны отдельные файлы для обычного обновления и U-Boot, сохраните именно второй.

Проверьте контрольную сумму

Выполните подходящую команду в папке с образом и сравните результат с SHA256 в Firmware Selector. Суммы должны совпадать полностью; при любом отличии скачайте файл заново. Если Вы выбрали другую версию, подставьте название скачанного файла.

# Windows (PowerShell или cmd)
certutil -hashfile openwrt-25.12.5-mediatek-filogic-glinet_gl-mt3000-squashfs-sysupgrade.bin SHA256
 
# macOS / Linux
shasum -a 256 openwrt-25.12.5-mediatek-filogic-glinet_gl-mt3000-squashfs-sysupgrade.bin

Установка OpenWrt через веб-интерфейс GL.iNet

1. Подключите роутер к комплектному блоку питания, а компьютер — кабелем к LAN-порту.
2. Откройте 192.168.8.1 и перейдите в SYSTEM → Upgrade → Local Upgrade.
3. Выберите скачанный sysupgrade-образ OpenWrt.
4. Отключите Keep Settings. Конфигурация GL.iNet несовместима с чистым OpenWrt, поэтому её сохранение может привести к потере доступа к роутеру после установки.
5. Подтвердите установку. Если панель предупреждает, что образ создан не GL.iNet, проверьте выбранную модель и файл: для официального образа OpenWrt такое сообщение ожидаемо.
6. Дождитесь завершения установки и перезагрузки роутера. В течение этих нескольких минут не отключайте питание.

После перезагрузки откройте 192.168.1.1. Если компьютер не получил новый адрес автоматически, переподключите кабель или перезапустите сетевой адаптер.

Если Local Upgrade отклоняет образ, откройте SYSTEM → Advanced Settings → LuCI → System → Backup / Flash Firmware → Flash new firmware image. Выберите тот же файл и снимите отметку Keep settings.

Первая настройка Beryl AX с OpenWrt

Пароль root и SSH-ключ

Откройте 192.168.1.1, войдите как root без пароля и задайте пароль в System → Administration → Router Password. В SSH Access выберите интерфейс lan, чтобы ограничить доступ локальной сетью.

Для входа через терминал выполните команду ниже. При желании настройте вход по ключу: создайте его на компьютере командой ssh-keygen -t ed25519 и добавьте содержимое файла .pub на вкладке SSH-Keys. Отключайте вход по SSH с паролем только после успешной проверки ключа в новом окне терминала.

ssh [email protected]

В System → System задайте Europe/Kyiv и проверьте синхронизацию времени через NTP: правильное время нужно для журналов и проверки сертификатов.

Wi-Fi

В Network → Wireless откройте Edit для каждого радиомодуля — 2,4 и 5 ГГц:

1. Установите Country Code для страны использования: в Украине — UA. Это определяет разрешённые каналы и мощность.
2. В General Setup задайте имя сети в ESSID и режим Access Point.
3. В Wireless Security выберите WPA2-PSK/WPA3-SAE Mixed Mode и пароль длиной от 12 символов. Этот режим совместим и с устройствами без WPA3.
4. Нажмите Save, включите каждую сеть кнопкой Enable и примените изменения через Save & Apply.

Подключение к интернету без конфликта адресов

Подключите WAN-порт к сети с интернетом; стандартный wan получает адрес по DHCP. LAN и WAN должны находиться в разных подсетях, поэтому, если основной роутер тоже использует 192.168.1.1, измените адрес Beryl AX:

1. В Network → Interfaces → lan → Edit задайте, например, 192.168.77.1 с маской 255.255.255.0, если эта подсеть свободна.
2. Примените изменения, переподключите компьютер и откройте новый адрес 192.168.77.1.
3. Проверьте, получил ли wan адрес и шлюз. При конфликте с отельной сетью так же выберите другую локальную подсеть.

Далее используйте текущий адрес роутера, в том числе для SSH. Аварийный адрес U-Boot остаётся 192.168.1.1.

Пакеты и обновления

В OpenWrt 25.12 пакеты устанавливаются через apk вместо opkg. Все следующие команды выполняйте по SSH на роутере.

Для обновления системы используйте Attended Sysupgrade, доступный в ветке 25.12 по умолчанию: он формирует новый образ с Вашими пакетами. Перед обновлением создавайте резервную копию; одновременное обновление всех пакетов разработчики не рекомендуют.

WireGuard: настройка туннеля

Установите поддержку WireGuard, затем получите конфигурацию у одного из VPN-сервисов ниже:

apk update
apk add luci-proto-wireguard conntrack

luci-proto-wireguard установит поддержку WireGuard в LuCI, а conntrack понадобится для переключения режимов ниже. Перезагрузите роутер через System → Reboot.

Вариант А: Mullvad

В личном кабинете Mullvad откройте генератор WireGuard, выберите Linux, создайте отдельный ключ для роутера, выберите сервер и скачайте .conf. Не используйте этот ключ одновременно на другом устройстве: это будет мешать работе соединения.

Вариант Б: Proton VPN

В личном кабинете Proton VPN откройте Downloads → WireGuard configuration, задайте имя, выберите Router и сервер, скачайте .conf. Конфигурации доступны даже на бесплатном тарифе, но с ограниченным выбором серверов.

Вариант В: собственный VPS

Если у Вас уже есть WireGuard на VPS — арендованном виртуальном сервере, — используйте созданную для роутера конфигурацию .conf. Сервер должен обеспечивать маршрутизацию и выход в интернет; его установка выходит за рамки этого гайда. За обновления VPS отвечаете Вы, а доверие к хостинг-провайдеру по-прежнему необходимо.

Импорт конфигурации в LuCI

1. Откройте Network → Interfaces → Add new interface.
2. Задайте имя wg0, выберите протокол WireGuard VPN и нажмите Create interface.
3. На вкладке General Settings нажмите Load configuration…, вставьте содержимое файла .conf и подтвердите импорт. LuCI заполнит ключи, адрес интерфейса и параметры VPN-сервера на вкладке Peers.
4. В Peers оставьте Allowed IPs 0.0.0.0/0, включите Route Allowed IPs и задайте Persistent Keep Alive 25. Удалите ::/0, если он есть: далее настраиваем клиентов только для IPv4.
5. На вкладке Firewall Settings создайте новую зону с именем vpn.
6. Сохраните настройки кнопкой Save и примените их через Save & Apply.

Endpoint должен содержать IP-адрес сервера, а не домен: иначе после блокировки DNS вне VPN роутер может не определить адрес, необходимый для запуска туннеля. Проверьте это и после импорта конфигурации.

Kill switch: блокировка трафика вне VPN

Оставим для локальных устройств только выход через vpn, чтобы они теряли доступ к интернету при остановке туннеля.

1. Откройте вкладку Zones в Network → Firewall.
2. Для зоны vpn задайте Input — reject, Output — accept, Forward — reject и включите Masquerading и MSS clamping. В Covered networks должен быть wg0.
3. В настройках зоны lan, в поле Allow forward to destination zones, оставьте только vpn, удалив wan.
4. Примените изменения через Save & Apply. На время настройки оставьте Software flow offloading и Hardware flow offloading отключёнными, чтобы ускорение не влияло на проверку блокировки.

Эти правила ограничивают трафик подключённых устройств. Сам роутер сохраняет выход к VPN-серверу для восстановления туннеля; его DNS-запросы ограничим отдельно.

DNS без утечек

DNS преобразует имена сайтов в IP-адреса. Настроим его через туннель и заблокируем обычные DNS-запросы самого роутера через WAN.

1. Откройте Network → Interfaces → wan → Edit → Advanced Settings и снимите отметку Use DNS servers advertised by peer. Повторите это для wan6.
2. В wg0 → Advanced Settings → Use custom DNS servers задайте IPv4-адрес DNS из своего .conf: обычно 10.64.0.1 для Mullvad или 10.2.0.1 для Proton. Удалите лишние адреса.
3. Клиенты должны получать DNS автоматически от роутера. В Network → DHCP and DNS удалите сторонние адреса из поля DNS forwards и примените изменения.

Добавьте через SSH правило, которое запрещает DNS-запросы роутера через WAN на TCP/UDP-порту 53, оставляя туннель доступным. Для этой схемы порт WireGuard в Endpoint должен отличаться от 53. В прямом режиме скрипт ниже будет временно отключать правило.

uci set firewall.block_wan_dns=rule
uci set firewall.block_wan_dns.name='Block-router-DNS-outside-VPN'
uci set firewall.block_wan_dns.dest='wan'
uci set firewall.block_wan_dns.proto='tcp udp'
uci set firewall.block_wan_dns.dest_port='53'
uci set firewall.block_wan_dns.family='any'
uci set firewall.block_wan_dns.target='REJECT'
uci set firewall.block_wan_dns.enabled='1'
uci commit firewall
/etc/init.d/firewall reload

Если адрес DNS Вашего VPN попадает в диапазон внешней сети, например 10.0.0.0/8, добавьте в Network → Routing → Static IPv4 Routes маршрут: интерфейс wg0, Target — адрес DNS с /32, Gateway оставьте пустым.

Для проверки настроек роутера временно отключите Secure DNS / DNS over HTTPS в браузере и на устройстве: другой DNS-сервис в результатах сам по себе не доказывает утечку вне VPN.

IPv6 в этой конфигурации

В этой схеме отключаем интернет через IPv6, чтобы он не обходил IPv4-туннель:

1. В Network → Interfaces остановите wan6 кнопкой Stop и отключите Bring up on boot в его настройках.
2. В lan → DHCP Server → IPv6 Settings отключите RA-Service, DHCPv6-Service и NDP-Proxy. В Advanced Settings самого lan отключите IPv6 assignment, убрав длину префикса, и примените изменения.
3. Переподключите клиентские устройства, чтобы обновить параметры. Локальные IPv6-адреса могут остаться, но выхода в интернет через IPv6 быть не должно.

Проверка

Проверяя настройки Beryl AX, оставьте на тестовом устройстве только подключение через этот роутер, отключив мобильные данные, другие сети и VPN. В Status → WireGuard проверьте, недавно ли обновлялся Latest Handshake и растут ли счётчики трафика. На ipleak.net IPv4 должен принадлежать VPN-серверу, а доступ через IPv6 — отсутствовать.

На dnsleaktest.com проверьте, соответствует ли DNS выбранному сервису. Затем в Network → Interfaces остановите wg0: новые сайты должны перестать открываться, а панель роутера — остаться доступной. Восстановите туннель через Restart и повторите тесты. В тесте WebRTC проверяйте публичные IP-адреса; локальный адрес сам по себе не свидетельствует об утечке.

Роутер в поездке: Wi-Fi отеля и интернет с телефона

Подключение к Wi-Fi отеля через travelmate

Travelmate управляет подключением к Wi-Fi в поездках и повторно подключается к сохранённым сетям. Установите пакет:

apk update
apk add luci-app-travelmate

1. В Services → Travelmate → Interface Wizard создайте trm_wwan в зоне wan. Не добавляйте разрешение lan → wan: выход клиентов должен оставаться через vpn.
2. На вкладке Wireless Stations нажмите Scan для нужного радиомодуля, выберите сеть отеля, введите пароль и сохраните настройки.
3. Включите travelmate на вкладке General Settings и нажмите Save & Apply.
4. В Network → Interfaces → trm_wwan → Advanced Settings снимите отметку Use DNS servers advertised by peer, как ранее для wan.

Чтобы распределить нагрузку между радиомодулями, можно использовать разные диапазоны: например, к отелю подключиться на 5 ГГц, а свои устройства — на 2,4 ГГц. На одном радиомодуле обе сети будут делить канал.

Как открыть страницу авторизации при включённом kill switch

Если отель требует авторизации в браузере, VPN не заработает до её завершения. Настроив переключатель из следующего раздела, временно включите прямой режим и откройте HTTP-страницу, например example.com, чтобы вызвать страницу входа. Авторизуйтесь и верните VPN. В travelmate оставьте собственное управление VPN отключённым, чтобы оно не конфликтовало со скриптом.

Интернет с телефона через USB

Установите пакеты для своего телефона:

# Android
apk add kmod-usb-net-rndis kmod-usb-net-cdc-ncm
 
# iPhone
apk add kmod-usb-net-ipheth usbmuxd libimobiledevice

1. Подключите телефон к USB-A роутера кабелем с поддержкой передачи данных. На Android включите USB-модем, на iPhone — режим модема.
2. В Network → Interfaces → Devices найдите новое устройство: обычно usb0 на Android или eth1 на iPhone, но имя может отличаться.
3. Нажмите Add new interface и создайте интерфейс usbwan: протокол DHCP client, сетевое устройство из предыдущего шага, зона межсетевого экрана — wan. В Advanced Settings снимите отметку Use DNS servers advertised by peer.
4. Для iPhone запустите usbmuxd через SSH и подтвердите на телефоне «Доверять этому компьютеру». Добавьте usbmuxd в System → Startup → Local Startup перед exit 0, чтобы служба запускалась после перезагрузки.

Переключатель на корпусе: VPN или прямое подключение

Двухпозиционный переключатель, обозначенный в OpenWrt как BTN_0, можно настроить для VPN или временного прямого доступа, необходимого для авторизации в отеле. В прямом режиме WireGuard будет отключаться, а для DNS-запросов будут использоваться серверы внешней сети. Для постоянного VPN без авторизаций этот раздел можно пропустить.

Перед выполнением сохраните изменения в LuCI и резервную копию через System → Backup / Flash Firmware. Скрипты рассчитаны на имена интерфейсов и правил именно из этого гайда.

mkdir -p /etc/hotplug.d/button
echo 'logger "button $BUTTON: $ACTION"' > /etc/hotplug.d/button/00-log
logread -f

uci set firewall.lan_wan_bypass=forwarding
uci set firewall.lan_wan_bypass.src='lan'
uci set firewall.lan_wan_bypass.dest='wan'
uci set firewall.lan_wan_bypass.enabled='0'
uci set firewall.block_wan_dns.enabled='1'
uci commit firewall
/etc/init.d/firewall reload

cat > /usr/bin/vpnmode << 'EOF'
#!/bin/sh
set -eu

vpn_mode="${1:-}"
case "$vpn_mode" in
  on|boot) vpn_wg_disabled=0; vpn_bypass=0; vpn_peerdns=0; vpn_dns_block=1 ;;
  off)     vpn_wg_disabled=1; vpn_bypass=1; vpn_peerdns=1; vpn_dns_block=0 ;;
  *) echo 'usage: vpnmode on|off|boot' >&2; exit 1 ;;
esac

mkdir /tmp/vpnmode.lock 2>/dev/null || {
  logger -t vpnmode 'Mode change already in progress'
  exit 1
}
trap 'rmdir /tmp/vpnmode.lock' EXIT
trap 'exit 1' HUP INT TERM

uci set network.wg0.disabled="$vpn_wg_disabled"
uci set firewall.lan_wan_bypass.enabled="$vpn_bypass"
uci set firewall.block_wan_dns.enabled="$vpn_dns_block"
for vpn_uplink in wan wan6 trm_wwan usbwan; do
  if uci -q get "network.$vpn_uplink" >/dev/null; then
    uci set "network.$vpn_uplink.peerdns=$vpn_peerdns"
  fi
done
uci commit network
uci commit firewall

if [ "$vpn_mode" = boot ]; then
  rm -f /tmp/vpnmode-ready
  exit 0
fi

if [ "$vpn_mode" = on ]; then
  /etc/init.d/firewall reload
  conntrack -F >/dev/null 2>&1
  /etc/init.d/network reload
  ifup wg0
else
  /etc/init.d/network reload
  /etc/init.d/firewall reload
  conntrack -F >/dev/null 2>&1
fi
/etc/init.d/dnsmasq restart
touch /tmp/vpnmode-ready
logger -t vpnmode "mode $vpn_mode"
EOF
chmod +x /usr/bin/vpnmode

cat > /etc/hotplug.d/button/10-vpnmode << 'EOF'
[ "$BUTTON" = "BTN_0" ] || exit 0
[ -e /tmp/vpnmode-ready ] || exit 0
case "$ACTION" in
  pressed)  /usr/bin/vpnmode on ;;
  released) /usr/bin/vpnmode off ;;
esac
EOF

cat > /etc/init.d/vpnmode-boot << 'EOF'
#!/bin/sh /etc/rc.common
START=18

start() {
  /usr/bin/vpnmode boot
}
EOF
chmod +x /etc/init.d/vpnmode-boot
/etc/init.d/vpnmode-boot enable

/usr/bin/vpnmode on

for vpn_file in \
  /usr/bin/vpnmode \
  /etc/init.d/vpnmode-boot \
  /etc/rc.d/S18vpnmode-boot \
  /etc/hotplug.d/button/10-vpnmode \
  /etc/rc.local; do
  grep -qxF "$vpn_file" /etc/sysupgrade.conf 2>/dev/null || \
    echo "$vpn_file" >> /etc/sysupgrade.conf
done

Как вернуть заводскую прошивку

Вернуть заводскую прошивку или восстановить роутер с недоступной панелью можно через аварийный веб-интерфейс U-Boot, если загрузчик исправен. Настройки и установленные пакеты будут удалены.

1. Отключите питание роутера, подключите компьютер к LAN-порту и отсоедините остальные сетевые кабели. Зажмите Reset и, удерживая кнопку, снова подключите питание.
2. Для Beryl AX отпустите Reset, когда после шести синих вспышек индикатор загорится белым. В разных партиях цвет или последовательность могут отличаться: ориентируйтесь также на изменение мигания по инструкции производителя.
3. Задайте для Ethernet-адаптера компьютера статический адрес 192.168.1.2, маску 255.255.255.0 и шлюз 192.168.1.1.
4. Откройте http://192.168.1.1 в Chrome или Firefox, чтобы перейти к странице U-Boot.
5. Выберите скачанный образ GL.iNet, совместимый с U-Boot, и нажмите Update firmware. Не отключайте питание до завершения установки и перезагрузки.
6. Верните на компьютере автоматическое получение IP-адреса. После восстановления панель GL.iNet снова будет доступна по адресу 192.168.8.1.

Если OpenWrt загружается, а проблема только в настройках, их можно сбросить: на включённом роутере удерживайте Reset более пяти секунд, отпустите и дождитесь перезагрузки. На роутере останется OpenWrt с начальной конфигурацией, без пароля и с отключённым Wi-Fi.

Настройка Beryl AX: типичные ошибки

Роутер не отвечает после установки. Проверьте новый адрес 192.168.1.1 и переподключите кабель. Если Вы оставили Keep Settings включённым и доступ не восстановился, воспользуйтесь U-Boot и повторите установку без старых настроек.

U-Boot не открывается. Проверьте LAN-порт, статический адрес компьютера 192.168.1.2 и момент отпускания Reset. Временно отключите VPN или прокси на компьютере и попробуйте Chrome или Firefox.

Нет Wi-Fi. Подключитесь по кабелю, настройте защиту и включите сети в Network → Wireless.

WireGuard включён, но сайты не открываются. Проверьте Latest Handshake, Route Allowed IPs, принадлежность wg0 к зоне vpn, Masquerading и MSS clamping. Если IP-адреса доступны, а имена сайтов — нет, проверьте DNS и маршрут к нему.

Тест показывает другой DNS. Проверьте Secure DNS на устройстве, поле DNS forwards и отключение DNS от внешних сетей. В VPN-режиме правило block_wan_dns должно оставаться включённым.

Не открывается авторизация отеля. Временно перейдите в прямой режим, авторизуйтесь и верните VPN.

Кому подойдёт Beryl AX с OpenWrt

Самостоятельная настройка Beryl AX с чистым OpenWrt подойдёт тем, кто готов поддерживать конфигурацию VPN и сети. Для обычных поездок проще оставить заводскую панель GL.iNet, в которой уже есть WireGuard и функции для путешествий.

О защите самих активов читайте в материалах о хранении криптовалюты на аппаратном кошельке или бирже и распространённых схемах криптомошенничества.