← Практика · 6 октября 2026

Настройка Keenetic и Netcraze нейросетью: реальный кейс

Как Claude Code настроил два роутера Keenetic/Netcraze: отдельные LAN-порты, защищённый канал к своему серверу, API RCI и kill switch.

11 минут чтениясети

Можно ли объяснить нейросети задачу голосом с телефона, а затем получить настроенную сеть в двух разных местах? В этом кейсе именно так и произошло. Владелец общался с агентом Claude Code через мессенджер, а тот работал в терминале на сервере: изучал конфигурацию, выполнял команды, читал журналы и проверял соединения.

Задача была конкретной. Определённое оборудование, подключённое кабелем, должно выходить в интернет только через защищённый туннель к собственному серверу. Если туннель перестаёт работать, доступ прекращается полностью. Остальная домашняя сеть, включая Wi-Fi, должна продолжать работать как раньше.

Настройка роутера Keenetic нейросетью оказалась полноценной инженерной работой. По дороге встретились двойной NAT, несовместимые конфигурации, нестабильное соединение с дата-центром и нехватка памяти. Ниже — как агент справился с этими ограничениями и какую роль во всём процессе сохранил человек.

Что за роутеры Keenetic и Netcraze

Keenetic знаком многим как «Кинетик». В поиске встречается и ошибочное написание «Кенетик». С Netcraze похожая история: название пишут как «Неткрейз», иногда — «Неткрейс». За запросами с разным написанием часто стоит одна задача: разобраться с привычным роутером и его настройками.

В России компания, ранее представлявшая Keenetic, с 2025 года начала поставлять оборудование под брендом Netcraze. Об этом сказано в официальном сообщении компании. Поэтому вопрос «Keenetic Netcraze — это одно и то же?» закономерен: пользователи узнают знакомую платформу, интерфейс и принципы настройки.

Для описанного сценария подходы действительно близки: сегменты, компоненты, политики подключений, CLI. В документации встречаются названия KeeneticOS и NDMS. Но совместимость конкретных функций всё равно нужно проверять по модели, версии системы и установленным компонентам. Переносить прошивку или конфигурацию между устройствами только по сходству названий нельзя.

Есть уточнение и по облаку. Знакомый пользователям KeenDNS у Netcraze представлен сервисом CrazeDNS. Используются, в частности, имена вида *.netcraze.club и *.crazedns.ru; эти домены перечислены в документации Netcraze. Дальше под удалённым доступом через KeenDNS будем понимать и соответствующий сценарий CrazeDNS.

Что может нейросеть-агент — и чего не может

Обычный чат отвечает на вопросы. Агент с доступом к терминалу может выполнять работу: отправлять запросы, запускать диагностические инструменты, создавать небольшие программы и проверять результаты.

В этом случае Claude Code работал на сервере. Владелец передавал указания с телефона голосом и текстом. Для доступа к роутеру он предоставил облачное имя и учётные данные. Дальше агент самостоятельно исследовал доступные способы управления.

Фраза «ИИ настроил роутер» здесь означает несколько последовательных действий:

• выяснил модель, версию системы и устройство сети;
• нашёл рабочий способ удалённого подключения;
• подготовил изменения портов, сегментов и маршрутизации;
• проверял ответы роутера и журналы ошибок;
• менял решение, если первоначальная схема не работала.

При этом нейросеть не видит, куда физически вставлен кабель, если человек этого не сообщил. Не может добавить устройству память или гарантировать качество связи провайдера. Может неправильно понять ответ API или предложить команду от другой версии прошивки.

Поэтому связка «нейросеть — настройка сети» работает при наличии обратной связи. У команды должен быть проверяемый результат, у изменения — понятная цель, у рискованного шага — способ восстановления. Владелец по-прежнему определяет задачу и проверяет работу оборудования на месте.

Кейс по шагам: от облачного имени до двух работающих площадок

1. Найти доступ за двойным NAT

Первый роутер находился за другим роутером провайдера. Получался двойной NAT: входящее подключение извне нельзя было просто направить к нужному устройству.

SSH снаружи был недоступен. Доступный облачный путь позволял работать с веб-интерфейсом, поэтому агент исследовал его HTTP API.

Это важная особенность удалённой настройки роутера через KeenDNS: доступ к веб-панели не означает, что через тот же адрес автоматически доступны SSH и любые другие службы. Нужно выяснить, какой канал действительно работает.

Агент подключился к RCI — интерфейсу управления по пути /rci/. Разобрался с авторизацией и написал небольшую утилиту для отправки управляющих запросов. Через неё выполнялись команды CLI, а действия и ответы записывались в журнал.

Так появился повторяемый способ управления: можно было отправить команду, увидеть результат и затем проверить изменённую конфигурацию.

2. Выделить оборудование в отдельный сегмент

Владелец хотел направить через защищённый канал только устройства на определённых кабельных портах.

Агент выделил нужные LAN-порты в отдельный VLAN и связал их с самостоятельным сегментом Bridge. Для сегмента настроил собственный DHCP, чтобы подключённое оборудование автоматически получало адреса из своей подсети.

Отдельная сеть для портов Keenetic удобна тем, что правило привязано к месту подключения. Устройство вставили в выбранный порт — оно оказалось в нужном сегменте. При замене оборудования не обязательно заново составлять список отдельных клиентов.

Wi-Fi и остальные порты сохранили прежнюю схему работы. Это было одним из главных условий: изменение маршрута для специального оборудования не должно менять поведение всей домашней сети.

Выделенные порты живут в своём сегменте и выходят только через туннель, домашняя сеть работает как раньше.

3. Настроить kill switch

Затем агент создал отдельную политику доступа в интернет — ip policy. В неё включил только VPN-интерфейс и назначил политику выделенному сегменту.

Здесь принципиальна разница между высоким приоритетом VPN и единственным разрешённым подключением. При обычном резервировании роутер может переключить клиента на другой доступный канал. В этой задаче такое поведение недопустимо.

Для выбранного оборудования требовалась строгая логика:

• защищённый канал работает — трафик идёт через него;
• защищённый канал недоступен — выхода в интернет нет;
• домашние устройства продолжают пользоваться своим подключением.

Так устроен kill switch Keenetic в рассматриваемой схеме. Однако одной записи в политике недостаточно для заявления об отсутствии утечек: отдельно проверяют DNS, IPv6 и возможные дополнительные маршруты.

4. Разобраться с конфигурациями AmneziaWG

Сначала агент попробовал присланные настройки AmneziaWG. Соединение не устанавливалось: рукопожатия не было.

По результатам разбора в кейсе обнаружилась несовместимость версий. Конкретная установленная прошивка 5.1 поддерживала первую версию AmneziaWG, а присланные конфигурации были обозначены как версия 3.1.

Это наблюдение относится к проверенной сборке и конкретным файлам. При повторении настройки нужно отдельно сверять возможности прошивки, формат конфигурации и версию протокола: номер приложения сам по себе ещё не описывает совместимость.

Агенту пришлось отказаться от первоначального варианта и строить соединение с собственным VPN-сервером.

5. Проверить, что происходит между дата-центром и провайдером

После развёртывания сервера возникла следующая проблема: соединения устанавливались, но через несколько секунд обрывались.

Для диагностики агент использовал tcpdump на сервере. Захват пакетов помог увидеть фактическое поведение соединений. Проверки с разными протоколами дали основание для практического вывода: соединения к определённому дата-центру нестабильны у этого провайдера.

Схему перестроили. Роутер стал подключаться по OpenConnect к промежуточному серверу в российском дата-центре. Оттуда трафик направлялся через туннель WireGuard к основному серверу.

Получилась цепочка:

Выделенные устройства
        ↓
Keenetic / Netcraze
        ↓ OpenConnect
Промежуточный сервер в российском дата-центре
        ↓ WireGuard
Основной сервер → интернет

Дополнительный узел усложнил обслуживание, зато позволил использовать рабочий маршрут. При такой архитектуре защиту от прямого выхода нужно предусматривать и на промежуточном сервере: отказ второго туннеля тоже не должен создавать запасной путь для трафика оборудования.

Итоговая цепочка: обе площадки подключаются по OpenConnect к промежуточному серверу, дальше — WireGuard до основного.

6. Найти команды OpenConnect и освободить память

OpenConnect доступен как встроенный компонент системы. Его устанавливают через изменение набора компонентов, что описано в официальной инструкции Netcraze.

Синтаксис части управляющих команд агент уточнил необычным способом: прочитал JavaScript веб-интерфейса самого роутера. Так он нашёл используемые интерфейсом команды, включая openconnect upstream и authentication identity.

На второй площадке обнаружилось аппаратное ограничение. Более простой роутер не смог установить компонент: в журнале появилась ошибка 507 insufficient storage.

Агент определил причину, удалил ненужный для этой задачи компонент классификации трафика и повторил установку. После освобождения места OpenConnect удалось добавить. Такой подход согласуется с устройством системы: производитель предупреждает, что не все сочетания компонентов помещаются на каждой модели.

Перед перезагрузками агент предупреждал владельца, сохранял резервные копии и продолжал журналировать работу. Для дополнительной проверки решений обращался за вторым мнением к GPT.

В результате оба роутера обслуживали выделенные порты через защищённый канал с предусмотренной защитой от прямого выхода. Владелец проверил работу с ноутбука.

Техническая часть: API RCI, сегменты, ip policy и OpenConnect

Как агент управлял роутером через RCI

Keenetic API RCI использует HTTP-запросы, пути /rci, методы GET и POST и представление данных в JSON. Производитель описывает этот механизм в документации по доступу к API.

Например, запрос состояния системы имеет вид:

GET /rci/show/system

В описанном кейсе агент реализовал авторизацию веб-сеанса с challenge и хешами MD5/SHA-256. Общая последовательность: получить параметры авторизации, вычислить ответ с использованием учётных данных, создать сессию и отправлять дальнейшие запросы с её cookie.

Этот механизм нельзя автоматически переносить на любой способ доступа. Например, отдельный HTTP Proxy роутера использует Digest-аутентификацию. Клиент должен ориентироваться на фактические ответы устройства.

Утилита агента связывала команды, запросы и результаты. Именно здесь начиналась автоматизация настройки Keenetic: повторные операции выполнялись одинаково, ошибки сохранялись, состояние можно было сравнить до и после изменения.

Как политика связана с сегментом

Ниже — сокращённый пример для новой отдельной политики, существующего сегмента Bridge1 и уже настроенного VPN-интерфейса OpenConnect0:

ip policy Policy1
 no permit auto
 permit global OpenConnect0
 exit
ip hotspot policy Bridge1 Policy1

Имена условные. Перед применением нужно проверить, что Policy1 свободна, а интерфейсы существуют. Эти строки не создают VLAN, DHCP или VPN и не являются готовой конфигурацией роутера.

Команда permit global разрешает политике использовать определённое подключение. no permit auto отключает автоматическое добавление новых подключений. Синтаксис описан в справочнике CLI Keenetic.

Для настройки VPN на Keenetic для отдельных устройств можно назначать политику конкретным клиентам. В этом кейсе удобнее оказалось назначить её целому кабельному сегменту.

При этом VLAN разделяет локальные сети, а правила межсетевого экрана определяют, какие соединения между ними разрешены. Если нужна изоляция оборудования от домашней сети, её проверяют отдельно от выбора интернет-подключения.

Что важно в OpenConnect и проверке результата

В конфигурации OpenConnect фигурируют адрес сервера, параметры аутентификации и состояние интерфейса. Например, отдельная команда задания имени пользователя выглядит так:

interface OpenConnect0 authentication identity USER_PLACEHOLDER

Это фрагмент, а не инструкция запуска туннеля. Параметры openconnect upstream, проверку сертификата и остальные настройки нужно сверять с установленной версией системы.

После проверки конфигурацию сохраняют:

system configuration save

При приёмке проверяют несколько режимов: работающий канал, отключённый OpenConnect, разорванный WireGuard между серверами и восстановление соединений. Дополнительно смотрят DNS и IPv6. Если IPv6 не включён в защищённую схему, для выделенного сегмента не должно оставаться независимого выхода через него.

При обрыве туннеля у выделенного оборудования интернета нет, а домашняя сеть продолжает работать.

Безопасность: на каких условиях агенту можно доверить роутер

Доступ к роутеру даёт возможность менять работу всей сети. Поэтому доверие должно опираться на наблюдаемые действия и ограничения.

В этом кейсе полезными мерами стали резервные копии, журнал операций, предупреждения перед перезагрузкой и дополнительное обсуждение решений с другой моделью. Второе мнение помогает обнаружить ошибку, но окончательное подтверждение даёт поведение сети.

Для такой работы нужны понятные правила:

• Определить границы задачи. Указать порты и устройства, которые можно менять, и функции, которые должны продолжать работать.
• Сохранить конфигурацию заранее. Копия должна быть доступна владельцу даже при потере удалённого соединения.
• Проверять изменения небольшими шагами. После каждого этапа читать состояние устройства и журнал.
• Защитить секреты. Пароли, ключи и cookie не должны попадать в обычные отчёты или публикуемые логи.
• Завершить доступ после работ. Удалить временную учётную запись либо сменить переданный пароль, завершить доступные активные сессии.

Административные права для изменения компонентов и сети могут быть необходимы. Но это не повод передавать агенту дополнительные аккаунты или бессрочно сохранять доступ.

Нужно учитывать и среду, где запущена модель: какие данные отправляются внешнему сервису, где хранятся история и журналы. Удобство общения через мессенджер не отменяет контроля над учётными данными.

Сколько времени заняло по сравнению с ручной настройкой

Хронометраж по журналам агента:

• Первый роутер, базовая часть — около часа в первый день: разобраться с доступом через облако, написать утилиту для API, выделить порты в отдельный сегмент с политикой. Здесь же выяснилось, что присланные конфигурации AmneziaWG несовместимы с прошивкой.
• Поиск рабочего канала — примерно два с половиной часа во второй день: свой VPN-сервер, диагностика обрывов через tcpdump, переход на OpenConnect, промежуточный сервер и туннель WireGuard между дата-центрами. Сюда же входят две перезагрузки роутера.
• Второй роутер — около 20 минут от получения доступа до работающего туннеля, вместе с неожиданной нехваткой памяти под компонент.

Опытный сетевой инженер сделал бы базовую часть примерно так же быстро. Но поиск причины обрывов и чтение JavaScript веб-интерфейса ради синтаксиса команд вручную обычно растягиваются на вечер или два. Главный выигрыш агента в том, что владелец всё это время не сидел за компьютером: он ставил задачу голосом с телефона и в нужный момент проверял результат ноутбуком.

Длительность перезагрузок, установки компонентов и проверки устойчивости соединения от нейросети не зависит. Для оценки сроков конкретной настройки сначала нужны модель роутера, версия системы и схема доступа.

FAQ

Keenetic и Netcraze — одно и то же?

Для многих пользовательских задач это близкие устройства с общей технологической основой и знакомыми принципами настройки. Однако бренд не гарантирует полного совпадения аппаратной части и функций. Проверять нужно конкретную модель и прошивку.

Подойдёт ли инструкция, если я ищу «Netcraze роутер настройка»?

Да, описанные принципы полезны и для Netcraze: выделенный сегмент, политика подключений и защищённый канал. Названия пунктов меню и доступность компонентов могут различаться.

Можно ли настроить роутер нейросетью без SSH?

Да. В кейсе агент управлял устройством через веб-доступ и RCI. Для этого заранее должны работать удалённый доступ и авторизация с необходимыми правами.

Claude Code запускается прямо на роутере?

В описанной схеме Claude Code работал на отдельном сервере. Роутер получал управляющие запросы и выполнял свои штатные команды. Мощный процессор для запуска нейросети самому роутеру не требовался.

Можно направить через туннель только несколько LAN-портов?

Да. Порты выделяют в отдельный сегмент и назначают ему политику доступа. Остальным портам и Wi-Fi оставляют прежние настройки. Доступ между сегментами регулируют отдельно.

Что произойдёт, если VPN перестанет работать?

При правильно настроенном и проверенном kill switch выбранные устройства потеряют интернет. Домашняя сеть продолжит работать через своё подключение. В схеме с промежуточным сервером проверяют отказ каждого туннеля.

Достаточно ли передать нейросети пароль?

Для безопасного результата нужны ещё постановка задачи, резервная копия, контролируемая среда выполнения и проверка на месте. Пароль открывает доступ, но не заменяет инженерную проверку.

Нужна похожая настройка?

Если нужно выделить оборудование в отдельную сеть, организовать защищённый канал к своему серверу или настроить Keenetic/Netcraze на нескольких площадках — есть услуга удалённой настройки роутера, либо напишите нам через контакты.

Для первого сообщения достаточно модели роутера, версии системы и описания задачи: какие устройства должны работать через туннель и что должно происходить при его отключении. Пароли заранее присылать не нужно.

На ikorg.ru можно обратиться также по разработке сайтов, автоматизации и внедрению нейросетей в рабочие процессы. Этот кейс показывает один из практических сценариев: агент выполняет техническую работу, а результат проверяется на реальном оборудовании.