Разберём сценарий удалённого доступа к своим домашним сервисам. В примере OpenWrt имеет LAN 192.168.10.0/24, Home Assistant находится на 192.168.10.20:8123, а телефон подключается через мобильную сеть. Эти адреса нужно заменить своими.

Что именно делает subnet router

Обычный узел Tailscale доступен по собственному адресу tailnet. Subnet router дополнительно передаёт трафик к устройствам, на которые клиент Tailscale не установлен: NAS, принтеру или локальному серверу.

Для этого должны совпасть три условия: маршрут объявлен и принят, политика tailnet разрешает соединение, firewall OpenWrt пропускает пересылку к целевому устройству. Галочка Online подтверждает только присутствие узла в сети.

Exit node — отдельная функция для направления интернет-трафика клиента. Для доступа к своей LAN объявлять маршрут по умолчанию не требуется. Различия и ограничения описаны в документации subnet routers.

До установки: адреса, версия и способ аварийного входа

Скачайте backup конфигурации OpenWrt и оставьте возможность локального подключения по кабелю. Первую настройку маршрутов удобнее делать дома, а не после отъезда.

Проверьте версию, место и существующие маршруты:

ubus call system board df -h ip -4 route 

Если дома и в удалённой сети один диапазон 192.168.1.0/24, доступ может уходить не туда. Для первого теста используйте мобильную сеть телефона. Постоянное решение — продуманная адресация без пересечений, а не набор всё более широких маршрутов.

Если на роутере уже используется PBR, учтите его правила отдельно. Материал о раздельной маршрутизации OpenWrt объясняет, почему разные устройства и назначения могут получать разные пути.

Установите пакет и подключите сам роутер

Используйте репозитории своей сборки. В OpenWrt 25.12+ пакетный менеджер — apk, в 24.10 — opkg; в производных прошивках проверьте фактический менеджер. Документация apk описывает современный синтаксис.

Для apk:

apk update apk add tailscale 

Для opkg:

opkg update opkg install tailscale 

Затем:

service tailscale enable service tailscale start tailscale up --accept-dns=false tailscale status 

Откройте выданную ссылку авторизации и подключите роутер к своей tailnet. Не публикуйте её в журнале диагностики. Параметр accept-dns=false в этой схеме сохраняет собственную DNS-настройку OpenWrt, чтобы не смешивать запуск туннеля и смену DNS.

Проверьте установленную версию и доступность обновлений. Пакет в конкретной ветке OpenWrt может отставать от upstream; отсутствие ошибок установки не доказывает актуальность версии.

Объявите только нужную домашнюю подсеть

Сначала убедитесь, что Linux forwarding включён:

sysctl net.ipv4.ip_forward 

Для работы IPv4 subnet router ожидается значение 1. На обычном OpenWrt-маршрутизаторе пересылка, как правило, уже включена. Если это специальная сборка или устройство в роли точки доступа, настройте постоянное включение forwarding по документации своей системы и повторите проверку после reboot.

На подключённом узле объявите свою подсеть:

tailscale set --advertise-routes=192.168.10.0/24 

В панели Tailscale откройте роутер и подтвердите объявленный маршрут. Объявление и одобрение — разные действия. Не путайте их с разрешением доступа: принятый маршрут сообщает, куда отправлять трафик, но не определяет, кому это разрешено.

У клиента тоже должна быть включена работа с subnet routes. В Linux для этого обычно требуется:

sudo tailscale set --accept-routes=true 

Эту команду выполняют на Linux-клиенте, а не на домашнем роутере ради объявления его LAN. Порядок включения и одобрения маршрутов приведён в инструкции Tailscale.

Разрешите ровно нужный доступ

Начните с одного назначения: Home Assistant 192.168.10.20, TCP 8123, только для своей административной учётной записи или группы. В политике tailnet добавьте соответствующее разрешение и проверьте существующие широкие правила: точечное правило не отменяет уже разрешённый доступ «ко всему».

В OpenWrt выделите tailscale0 в отдельный unmanaged-интерфейс и отдельную firewall-зону, если ваша пакетная конфигурация ещё не создала нужные объекты. До добавления проверьте текущие интерфейсы и зоны, чтобы не сделать дубликаты.

Сохраните запрет по умолчанию на вход к самому роутеру и на forwarding из этой зоны. Затем создайте отдельное правило пересылки: источник — зона Tailscale, назначение — LAN, адрес 192.168.10.20, TCP-порт 8123, действие Accept. Глобальный forwarding Tailscale → LAN для этого теста не нужен.

LuCI и SSH самого роутера относятся к input, а соединение с сервером за ним — к forward. Поэтому правило доступа к LuCI не открывает автоматически NAS.

Tailscale использует SNAT для subnet routes по умолчанию. Не отключайте его в первой настройке: без SNAT устройствам LAN потребуется обратный маршрут к адресам tailnet. Детали поведения приведены в документации subnet routers.

Проверка с телефона вне домашнего Wi-Fi

Отключите Wi-Fi телефона, включите Tailscale и откройте http://192.168.10.20:8123. Сначала используйте IP: имя nas.lan добавляет ещё один слой DNS-диагностики.

Успешный результат — открывается именно нужный сервис. Ping может быть запрещён отдельно, поэтому не делайте вывод о доступности TCP только по ICMP.

На роутере для диагностики пригодятся:

tailscale status tailscale netcheck logread -e tailscale 

Также проверьте доступ к Home Assistant из обычной домашней LAN. Если сервис не работает локально, subnet router это не исправит.

Роутер виден, а LAN недоступна: порядок поиска

1. Маршрут: объявлена верная подсеть и одобрена в панели? Нет ли опечатки в маске?
2. Клиент: приняты subnet routes? Не совпадает ли удалённая LAN с домашней?
3. Права tailnet: разрешены этот пользователь, адрес и порт? Нет ли другого профиля входа?
4. OpenWrt: существует интерфейс tailscale0, включён forwarding, правило относится к правильным зонам?
5. Целевой сервер: сервис слушает LAN-адрес и разрешает соединения в своём firewall?
6. Обратный путь: не отключён ли SNAT без соответствующих маршрутов?

Если соединение работает, но медленно, проверьте тип пути: прямое соединение и ретрансляция могут давать разную задержку. Не открывайте LuCI на WAN для «ускорения» — это другой маршрут доступа, который не устраняет причину.

Если IP работает, а имя нет, настройте DNS отдельно. MagicDNS даёт имена узлам tailnet и не превращает автоматически все имена домашнего dnsmasq в доступные удалённому клиенту.

Если хотите пользоваться домашним DNS-фильтром удалённо, сначала настройте и проверьте его в LAN по инструкции AdGuard Home на OpenWrt. Затем отдельно настройте DNS клиента и разрешения к DNS-серверу: объявление subnet route не переключает DNS автоматически.

Что оставить после успешного теста

Расширяйте список разрешённых сервисов по одному. Для домашнего роутера полезно заранее проверить локальные настройки по руководству Routerich AX3000 на OpenWrt, если используется эта модель.

Проверьте автозапуск после перезагрузки, срок действия ключа узла и способ его повторной авторизации. Сохраните локальный способ входа. Итоговая рабочая конфигурация — та, где вы можете объяснить каждый объявленный маршрут и каждое разрешённое направление, а удалённый телефон открывает нужный сервис без публикации панели на WAN.

Соберём локальный Assist на русском языке, начиная с телефона и одной лампы. Покупать голосовую колонку для первой проверки не нужно. Основной сценарий рассчитан на Home Assistant OS, где речевые компоненты устанавливаются через каталог приложений.

Из чего складывается ответ

Команда проходит несколько этапов: микрофон → распознавание речи (STT) → обработка намерения → действие → синтез ответа (TTS). Wake word запускает прослушивание на совместимом устройстве, но не заменяет остальные этапы.

Для выбранной схемы используем Whisper для речи в текст, встроенный агент Home Assistant для команд и Piper для ответа. Это локальные компоненты; внешний LLM или облачная речь для включения света не обязательны. Разные варианты представлены в руководстве по локальному Assist.

Локальность нужно проверять по всей цепочке. Если Assist работает дома, но сама лампа управляется только через облачную интеграцию, потеря интернета всё равно может нарушить сценарий.

Чтобы локальная речь не заканчивалась обращением лампы к облаку, проверьте варианты локальных Wi-Fi-интеграций Home Assistant. Поддержка зависит от устройства; наличие Wi-Fi само по себе локального управления не гарантирует.

Шаг 1. Добейтесь выполнения текстовой команды

Откройте Assist в интерфейсе HA и введите: «Включи свет на кухне». Пока текст не работает, к микрофону переходить рано.

Выберите одну лампу, проверьте управление её карточкой, назначьте комнату и разрешите доступ к ней для Assist. Дайте понятное имя и при необходимости псевдоним. Сущность light.kitchen_ceiling может иметь русское отображаемое имя — переименовывать технический entity_id ради разговорной фразы не требуется.

Не открывайте Assist сразу все устройства. Для первого теста хватит лампы и датчика температуры. Проверьте также обратную команду «Выключи свет на кухне» и запрос температуры.

Если на панели устройств нет, сначала настройте их интеграцию. Для Zigbee это отдельный этап, разобранный в сравнении ZHA и Zigbee2MQTT. Речевая модель не исправляет потерянную связь с координатором.

Рекомендации по именам, комнатам и псевдонимам приведены в Best practices with Assist.

Шаг 2. Выберите модель для русского языка

У Whisper есть многоязычные модели и английские варианты с суффиксом .en. Для русского выбирайте многоязычную модель, а не .en. Начать можно с небольшой модели и затем сравнить точность на своих командах.

Большая модель не всегда улучшает бытовой результат: задержка может оказаться важнее точности распознавания длинного текста. Запишите одинаковые десять коротких команд, прогоните их несколько раз и считайте именно успешные действия, а не впечатление от одного ответа.

Speech-to-Phrase рассчитан на ограниченный набор команд и может быть быстрее, но доступность нужного языка и поддерживаемых фраз проверяйте для конкретной версии. Для этой инструкции базовый путь — Whisper. Список моделей и языков доступен в репозитории Whisper.

В Piper выберите доступный голос ru_RU и прослушайте образец. Если нужного голоса нет в установленной версии, сначала проверьте пакет и список голосов; смена языка Assist сама по себе голос не скачивает.

Шаг 3. Соберите конвейер в HAOS

Установите и запустите приложения Whisper и Piper. Затем в Settings → Devices & services добавьте обнаруженные службы Wyoming. Они связывают речевые компоненты с Home Assistant.

В Settings → Voice assistants создайте помощника:

• язык: русский;
• Conversation agent: Home Assistant;
• Speech-to-text: Whisper, русский язык;
• Text-to-speech: Piper, русский голос.

Запустите Assist из Companion app на телефоне и произнесите те же команды, которые уже сработали текстом. Проверяйте отдельно: что распознано, какое действие выполнено и услышали ли вы ответ.

Home Assistant Container не имеет каталога приложений HAOS. В таком случае Whisper и Piper запускаются отдельными службами, а Wyoming подключается по сети. Не ищите отсутствующий пункт меню и не ставьте второй Home Assistant ради него.

Шаг 4. Добавляйте wake word после проверки речи

Голосовому спутнику нужны поддерживаемая прошивка, микрофон, динамик, питание и стабильная сеть. Возможность распознавать ключевую фразу локально на устройстве зависит от конкретного спутника; в других схемах её обрабатывает сервер, например openWakeWord.

Выберите установленный русский конвейер для спутника. Не создавайте новый облачный pipeline по невнимательности в мастере устройства. Проверьте ручной запуск кнопкой, затем активацию wake word.

Если кнопкой работает, а ключевой фразой нет, STT, обработка команды и TTS уже прошли проверку. Ищите проблему в активации: модель wake word, шум, дистанция или выбранный режим спутника.

Разместите устройство в стороне от вентилятора и телевизора. Проверьте одинаковую фразу рядом, с обычного места в комнате и на фоне разговора. Усиление микрофона не является универсальным лечением: вместе с голосом оно усиливает шум.

Как понять, где теряются секунды

В настройках голосового помощника откройте отладку последнего запуска. Она помогает увидеть этапы pipeline; порядок описан в диагностике Assist.

Текст распознан неверно: сравните запись с телефона и со спутника, проверьте язык и модель. Не меняйте автоматизацию, если до неё дошла другая фраза.

Текст правильный, действие не найдено: проверьте exposed entities, имя, псевдоним и комнату. Убедитесь, что выбран встроенный агент Home Assistant, если рассчитываете на его стандартные команды.

Лампа включилась быстро, ответ пришёл поздно: отдельно проверьте TTS и воспроизведение. Увеличение мощности STT этот участок не ускорит.

Долгая пауза до появления текста: попробуйте меньшую многоязычную модель или перенесите STT на более производительный сервер. Не обещайте себе мгновенный ответ на любом одноплатнике — измерьте задержку своей установки.

Что реально стоит отдавать голосу

Хороший старт — свет, температура и несколько сцен с однозначными названиями. Для «ночного режима» сначала настройте и проверьте сам сценарий кнопкой; идеи действий можно взять из подборки автоматизаций Home Assistant, адаптируя сущности и условия под свой дом.

Не разрешайте открытие замков и ворот в первом тестовом наборе. Wake word не удостоверяет личность: его может произнести гость или телевизор. Для действий с последствиями нужен отдельный продуманный контроль доступа.

Перед окончательной настройкой выключите доступ в интернет на тестовом участке, сохранив LAN, и повторите простые локальные команды. Если они перестали работать, найдите облачный компонент цепочки. После этого верните обычную сеть.

Результат первого вечера — не «замена всех голосовых помощников», а несколько русских команд, которые предсказуемо выполняются с выбранного устройства. Именно такую систему удобно расширять.

Соберём первый сценарий Frigate + Home Assistant: одна RTSP-камера, распознавание person и проверочное уведомление внутри HA. Затем ограничим события нужной зоной. Конфигурация ниже — стартовый пример для своей камеры, а не готовый профиль под любую модель.

Что делает каждый компонент

Камера отдаёт видеопоток. Frigate получает кадры и распознаёт объекты. MQTT передаёт состояния и события. Интеграция Frigate добавляет их в Home Assistant, где работают автоматизации.

Сам Frigate может работать без MQTT, но для связки с Home Assistant брокер нужен. Установленное приложение Frigate в HAOS и интеграция Frigate — разные компоненты: наличие пункта с видео в боковом меню не означает, что сущности уже созданы. Это разделение описано в инструкции установки Frigate.

Для первой проверки выберите одну проводную камеру со стабильным RTSP. Закрепите её IP и создайте отдельную учётную запись просмотра, если камера это поддерживает. Проверьте поток в локальном проигрывателе до настройки NVR: неверный RTSP-путь не исправляется настройкой нейросети.

Основной поток и substream

Для записи полезен основной поток высокого качества. Для detect часто достаточно отдельного потока умеренного разрешения с 5 кадрами в секунду. Потоки и URL берите из документации вашей камеры: пути вроде /stream1 и /stream2 не универсальны.

Декодирование видео и распознавание объектов — разные нагрузки. Видеодекодер GPU разгружает чтение кадров, а детектор обрабатывает изображения моделью. Покупка ускорителя детекции сама по себе не исправит перегрузку ffmpeg.

Перед расширением до нескольких камер оцените запись. При постоянном битрейте 4 Мбит/с одна камера создаёт около 43,2 ГБ за сутки: 4 × 86400 ÷ 8 ÷ 1000. Четыре камеры за неделю — примерно 1,21 ТБ без запаса и накладных расходов. Это расчёт, а не замер конкретной камеры.

Минимальный config.yml для проверки детекции

Установите Frigate способом, соответствующим своему хосту, по официальной инструкции. На HAOS это приложение; на отдельном Linux-сервере — Docker. Сначала добейтесь доступности интерфейса и редактора конфигурации.

В примере MQTT находится на 192.168.1.10, камера — на 192.168.1.50. Измените адреса, пользователя и путь потока. Запись пока выключена, CPU-детектор используется только для краткого теста:

mqtt: enabled: true host: 192.168.1.10 user: frigate password: "{FRIGATE_MQTT_PASSWORD}" detectors: test_cpu: type: cpu cameras: entrance: ffmpeg: inputs: - path: "rtsp://viewer:{FRIGATE_CAMERA_PASSWORD}@192.168.1.50:554/REPLACE_WITH_SUBSTREAM" roles: - detect detect: enabled: true fps: 5 objects: track: - person record: enabled: false 

Переменные FRIGATE_MQTT_PASSWORD и FRIGATE_CAMERA_PASSWORD должны быть заданы в окружении процесса Frigate способом, предусмотренным вашей установкой. Это не автоматическая ссылка на secrets.yaml Home Assistant. Для RTSP-пароля со специальными символами учитывайте URL-кодирование. Подстановки и доступные поля проверяйте по справочнику конфигурации Frigate.

Сохраните конфигурацию через встроенный редактор с валидацией. После запуска проверьте живое изображение и журнал ffmpeg. Пройдите перед камерой: Frigate должен показать объект person. Пока этого нет, не настраивайте уведомления — искать ошибку нужно до Home Assistant.

Подключение MQTT и интеграции Home Assistant

Обе системы должны использовать один брокер MQTT. Если он ещё не установлен, устройство брокера и проверка pub/sub разобраны в статье MQTT и Mosquitto. Само подключение MQTT в актуальном Home Assistant выполняйте через Settings → Devices & services, а не копированием старого блока broker в YAML.

Интеграция Frigate распространяется через HACS. Если HACS ещё нет, начните с руководства по его установке. Затем установите Frigate в HACS, перезапустите Home Assistant и добавьте Frigate в Devices & services.

Укажите адрес экземпляра Frigate, доступный именно серверу HA. Внутренний порт 5000 не имеет аутентификации: он допустим только в закрытом сетевом контуре. Порт 8971 обслуживает интерфейс с аутентификацией; схему подключения и параметры сверяйте с инструкцией интеграции. Не открывайте эти порты на WAN ради соединения двух домашних сервисов.

Первое уведомление без телефона и внешних сервисов

Найдите сущность присутствия человека у камеры entrance. Фактический entity_id посмотрите в своей установке: он может отличаться от примера. Создайте новую автоматизацию в HA, откройте её YAML-редактор и замените содержимое следующим блоком:

alias: "Frigate: человек у входа — проверка" triggers: - trigger: state entity_id: binary_sensor.entrance_person_occupancy from: "off" to: "on" conditions: [] actions: - action: persistent_notification.create dаta: title: "Камера у входа" message: "Frigate обнаружил человека. Проверьте событие в интерфейсе NVR." notification_id: frigate_entrance_person mode: single 

Подставьте существующий entity_id. Пройдите перед камерой и проверьте встроенное уведомление HA. Один notification_id обновляет уведомление вместо создания длинной очереди. Это тест смены occupancy, а не отдельное уведомление на каждого человека: пока состояние остаётся on, новый переход не возникает.

Когда тест проходит, можно заменить действие на уведомление Companion app и добавить снимок. Для более точной обработки используйте события Frigate с идентификатором объекта; форматы payload приведены в документации MQTT.

Зоны, маски и запись

Зона отвечает на вопрос «где находится объект». Нарисуйте область входа и проверьте, когда человек считается вошедшим в неё. Для дальнейшей автоматизации используйте подходящую сущность зоны или данные события.

Motion mask исключает область из поиска движения, который помогает выбирать участки для анализа. Она не закрашивает видео и не гарантирует отсутствие детекции объекта внутри маски. Object filter mask решает другую задачу. Разницу показывает документация масок Frigate.

Для исключения чужого окна из записи нужна privacy mask камеры либо другой механизм изменения самого изображения. Маской движения конфиденциальность не обеспечивается.

Запись включайте после успешной детекции: добавьте основному потоку роль record и настройте сохранение под свою версию Frigate. Политики непрерывной записи и событий меняются между версиями, поэтому используйте встроенную валидацию и официальный Getting Started.

Для просмотра событий вне дома настройте удалённый доступ к нужным сервисам через Tailscale. Начните с доступа к Home Assistant; если нужен отдельный интерфейс Frigate, разрешите его адрес и порт отдельным правилом.

Если результат не совпал с ожиданием

Нет видео: RTSP-путь, пароль, доступ к камере, число разрешённых подключений.

Видео есть, CPU загружен: проверьте разрешение detect-потока, FPS и доступность аппаратного декодирования. CPU-детектор из примера не рассчитан на постоянную многокамерную систему.

Frigate видит person, HA нет: проверьте MQTT с обеих сторон, учётные данные и состояние интеграции.

HA видит человека, уведомления нет: откройте trace автоматизации и проверьте entity_id, переход off → on и выполненное действие.

Слишком много тревог: сначала уточните зону и положение камеры, затем параметры фильтрации. Одна хорошо ограниченная зона у двери часто полезнее десятка широких правил на весь двор.

Эта инструкция посвящена диагностике Matter в Home Assistant. Будем идти от простого к сложному: проверим тип устройства, сервер, телефон, локальную сеть и только затем настройки Thread. Рабочие устройства заранее удалять не нужно.

Для знакомства с назначением протоколов есть базовый разбор Matter и Thread. Здесь сосредоточимся на поиске сбоя при подключении; названия меню и порядок действий сверяем с актуальной документацией ниже.

Быстрая развилка: Wi-Fi или Thread

Посмотрите маркировку и инструкцию конкретной модели. Надпись Matter не означает, что внутри обязательно есть Thread.

• Matter over Wi-Fi: устройство подключается к Wi-Fi; отдельный Thread Border Router ему не нужен.
• Matter over Thread: нужен пограничный маршрутизатор Thread, соединённый с вашей LAN, и доступные телефону данные этой Thread-сети.
• Только Thread без Matter: проверьте прикладной протокол. Например, Thread-устройство HomeKit добавляется другим способом.
• Обычное Wi-Fi-устройство без Matter: QR-код приложения производителя не превращает его в Matter-устройство.

Если устройство относится к последнему случаю, ищите его интеграцию: на сайте есть разбор локальных Wi-Fi-интеграций Home Assistant. Повторять мастер Matter в таком случае бессмысленно.

Не путайте три компонента

Matter Server хранит данные контроллера и обменивается командами с устройствами. Интеграция Matter соединяет Home Assistant с этим сервером.

Thread Border Router передаёт IP-пакеты между Thread и домашней сетью. Он может быть отдельным устройством и не обязан находиться в том же корпусе, что Home Assistant.

Телефон участвует в первичном добавлении и передаче сетевых данных. Bluetooth часто нужен именно на этом этапе; постоянное управление не обязано идти через Bluetooth телефона.

Настройка Matter не прошивает произвольный Zigbee-адаптер в Thread автоматически. Разделение ролей и процедура подключения описаны в документации Matter Home Assistant.

Шаг 1. Убедитесь, что Home Assistant видит Matter Server

В HAOS откройте Settings → Devices & services → Matter. Проверьте, что интеграция загружена и соединение с сервером установлено. Если мастер предлагает установить официальный Matter Server, завершите этот шаг и дождитесь его запуска.

При ошибке соединения откройте журнал самого Matter Server. Пока интеграция не может подключиться к серверу, QR-код розетки диагностировать рано.

Home Assistant Container требует отдельного Matter Server и корректной сетевой конфигурации. Старый python-matter-server уже архивирован: разработчики перенесли работу в matterjs-server. При ручной установке проверяйте актуальный проект и указания по переходу, а не закрепляйте образ из старой инструкции. Обращайте внимание на постоянный каталог данных: удаление контейнера вместе с данными контроллера — совсем не то же самое, что обычный перезапуск.

Не переустанавливайте сервер с очисткой хранилища ради одной неподключившейся лампы. Сначала сохраните резервную копию и разберите конкретную ошибку. Порядок подготовки и проверки копии разобран в руководстве по резервному копированию Home Assistant.

Шаг 2. Проверьте телефон и режим добавления

Используйте актуальное приложение Home Assistant Companion. Включите Bluetooth и необходимые разрешения для поиска устройств и локальной сети. Проверьте, что приложение подключено к правильному серверу Home Assistant.

Для нового устройства включите режим сопряжения по инструкции производителя. Долгое нажатие может означать и вход в pairing, и полный сброс — это зависит от модели. Сканируйте Matter QR или вводите соответствующий цифровой setup-код. Не вводите содержимое произвольной QR-ссылки как цифровой код.

Если мастер не видит устройство даже рядом с телефоном, проверьте режим сопряжения и разрешения Bluetooth. Если видит, но останавливается позже, переходите к сети. Этапы обнаружения и установления соединения описаны в разборе commissioning от Google. Зафиксируйте текст ошибки и этап: «не найдено устройство» и «таймаут после передачи сети» требуют разных проверок.

Шаг 3. IPv6 нужен внутри дома, даже без IPv6 у провайдера

Работа сайтов по IPv4 ещё не доказывает, что Matter может связаться с устройством. Ему нужны локальная IPv6-связность и обнаружение через mDNS. Глобальный IPv6-адрес от провайдера для этого не обязателен.

Для первого теста разместите Home Assistant, телефон, Wi-Fi-устройство и Border Router в простой доверенной LAN. Гостевой SSID с изоляцией клиентов — плохой стенд для диагностики. Проверьте, что IPv6 включён в сетевых настройках HA.

Не начинайте с отключения всего firewall. Сначала сравните поведение в обычной LAN и в проблемном сегменте. Если в LAN устройство добавляется, круг поиска сужается до маршрутизации, multicast и правил между сегментами.

Отражатель mDNS решает обнаружение сервисов, но не создаёт IPv6-маршруты. Поэтому «поставил mDNS repeater, всё равно не работает» — вполне ожидаемая ситуация. Для сложных VLAN используйте требования к сети из официальной документации, а не случайный список открытых портов.

Шаг 4. Для Thread проверьте сеть и credentials

Откройте интеграцию Thread и посмотрите, какая сеть выбрана предпочтительной. Наличие найденного Border Router ещё не означает, что телефон получил ключи именно его сети.

Если Home Assistant создал вашу первую Thread-сеть, передайте её данные телефону. В Android Companion для этого есть Sync Thread credentials в разделе Troubleshooting. В iOS передача доступна через настройки Thread и Send credentials to phone. Названия пунктов могут отличаться по языку интерфейса.

Если дома уже есть Thread от Apple или Google, сначала импортируйте данные нужной сети в Home Assistant и выберите её согласно соответствующему сценарию. Не создавайте новую сеть только потому, что старый Border Router обнаружился автоматически. Разные сети не объединяются от одинакового имени.

Порядок импорта и передачи ключей для разных платформ приведён в инструкции по Thread. Не публикуйте credentials и setup-коды в скриншотах диагностики.

Устройство уже работает в Apple Home или Google Home

Начинайте с функции совместного доступа Matter в той экосистеме, где устройство уже добавлено. Откройте новое окно сопряжения, получите свежий код и в Home Assistant выберите добавление уже настроенного устройства.

Заводской код на корпусе и временный код совместного доступа выполняют разные роли. Для multi-admin используйте код из текущего окна сопряжения; если время истекло, создайте новый. Заводской код не «сгорает навсегда» — он нужен, в частности, после заводского сброса.

Полный сброс оставьте на случай, когда вы действительно хотите начать настройку заново и готовы восстановить привязки. Иначе можно исправить одну проблему ценой потери рабочего подключения в другой системе.

Подключилось, но пропадает или не показывает нужную функцию

Работает рядом с Border Router, пропадает на месте установки: проверьте питание, радиопокрытие и доступность соседних Thread-узлов. Батарейный датчик не следует считать ретранслятором только из-за логотипа Thread.

Пропадает после перезапуска роутера: сравните доступность Border Router, IPv6 и сервера до и после перезагрузки. Не меняйте одновременно радио, Wi-Fi и версии приложений — потеряете связь между действием и результатом.

Переключатель появился, энергопотребление нет: поддержка Matter не гарантирует экспорт всех функций фирменного приложения. Проверьте конкретную модель, прошивку и поддерживаемые сущности.

У вас уже работает Zigbee: менять весь комплект ради устранения ошибки одной Matter-розетки не требуется. Для сравнения возможностей есть ZHA или Zigbee2MQTT.

Перед повторной попыткой запишите четыре вещи: модель и прошивку устройства, Wi-Fi или Thread, этап сбоя и версии HA/Matter Server/Companion. С такими данными журнал превращается в инструмент диагностики, а очередной сброс перестаёт быть единственным планом.

Покажем постепенное подключение фильтрации на OpenWrt. Сначала AdGuard работает на отдельном порту, затем dnsmasq направляет ему внешние запросы. Такой вариант удобно проверить и отменить. Его ограничение — AdGuard обычно видит роутер вместо отдельных клиентов. Для индивидуальных правил ниже разобрана другая схема.

Сначала проверьте ресурсы и сохраните настройки

На роутере выполните:

ubus call system board df -h free 

Нужны версия OpenWrt, архитектура и запас места в overlay. Не ориентируйтесь на объём /tmp: он не равен свободной flash. Большие списки фильтров и журналы могут оказаться тяжёлыми для маломощного роутера. В таком случае разумнее отдельный DNS-сервер в LAN.

Скачайте backup OpenWrt через System → Backup / Flash Firmware. Для точечного отката дополнительно сохраните конфигурацию DHCP/DNS, выбрав новое имя файла:

cp -p /etc/config/dhcp /root/dhcp.before-adguard-20260913 

Все дальнейшие команды предполагают обычную конфигурацию с одним dnsmasq. Если экземпляров несколько, сначала разберите их назначения. Во время изменений держите открытым доступ к LuCI или SSH по IP, чтобы он не зависел от DNS.

Если роутеру не хватает памяти и flash, альтернативный вариант вынесен в разбор отдельного DNS-сервера Pi-hole + Unbound. Это другая связка программ: команды из неё не нужно смешивать с настройками AdGuard.

Установка пакета: opkg или apk

В OpenWrt 25.12 и новее используется apk; в 24.10 — opkg. В нестандартной сборке проверьте фактически установленный менеджер. Не выполняйте оба варианта подряд. Переход описан в документации OpenWrt по apk.

Для сборки с apk:

apk update apk add adguardhome 

Для сборки с opkg:

opkg update opkg install adguardhome 

Если пакет не найден, проверьте репозитории своей версии и архитектуры. Не подмешивайте feeds от другой ветки ради одного пакета.

Запустите службу:

service adguardhome enable service adguardhome start 

Первичная настройка обычно доступна на порту 3000. В мастере выберите адрес LAN для веб-интерфейса, свободный веб-порт и отдельный пароль. Не назначайте веб-интерфейсу порт LuCI. Порядок установки на роутере приведён в OpenWrt Wiki: AdGuard Home.

Тест до переключения всей сети

Оставьте dnsmasq на 53. Для DNS AdGuard задайте порт 5454 и адреса, на которых он должен принимать тестовые запросы: LAN и loopback либо доступные локальные интерфейсы с ограничением firewall. WAN не открывайте. Порт 5454 здесь произвольный тестовый порт: предварительно убедитесь, что он свободен. Порт 5353 лучше не занимать — он используется mDNS.

В AdGuard выберите внешние upstream DNS, которым доверяете, и нажмите проверку upstream. Не указывайте адрес этого же роутера на порту 53: после включения пересылки получится петля.

С компьютера, где установлен dig, проверьте оба пути. Здесь 192.168.1.1 — пример LAN-адреса роутера:

dig @192.168.1.1 -p 5454 example.org A dig @192.168.1.1 -p 53 example.org A 

Первый запрос должен появиться в Query Log AdGuard. Второй пока обслуживает прежняя схема. Если на 5454 ответа нет, не переключайте dnsmasq: проверьте службу, адрес прослушивания, TCP/UDP и firewall.

Передайте внешние запросы dnsmasq в AdGuard

В LuCI откройте Network → DHCP and DNS. Запишите старые значения, затем:

1. Укажите DNS forwardings: 127.0.0.1#5454.
2. Включите Ignore resolve file, чтобы внешние запросы не уходили параллельно DNS провайдера.
3. Проверьте прежние DNS forwardings: не должно остаться общего обходного upstream. Специальные правила для отдельных доменов разбирайте отдельно.
4. Сохраните изменения и примените их.

DHCP и обслуживание локальных имён остаются у dnsmasq. Проверьте с клиента обычный запрос на 53 и известное локальное имя. Например, nas.lan нужно заменить именем реально существующего устройства.

nslookup example.org 192.168.1.1 nslookup nas.lan 192.168.1.1 

Кэш dnsmasq может не отправить повторный запрос в AdGuard. Проверяйте свежий домен или очистите кэш перезапуском службы. Синтаксис upstream и условных пересылок объясняется в справке AdGuard Home.

Если используете policy routing, сохраните специальные доменные правила для него: DNS участвует в наполнении наборов адресов. Перед заменой схемы посмотрите разбор раздельной маршрутизации в OpenWrt.

Почему в журнале все запросы от роутера

В цепочке «клиент → dnsmasq → AdGuard» отправителем для AdGuard становится dnsmasq. Это ожидаемо. Для правил по отдельным устройствам клиентам нужно обращаться непосредственно к AdGuard на 53.

Тогда схема меняется: AdGuard занимает 53, dnsmasq переносится, например, на 54 и сохраняет DHCP с локальными именами. В DHCP явно выдаётся адрес AdGuard, а локальная зона и обратные DNS-запросы направляются к dnsmasq. Это отдельное переключение: нельзя просто занять 53, пока его слушает старая служба.

Не объединяйте обе схемы вслепую и не направляйте общие upstream друг в друга. Сначала закончите проверку выбранного варианта, затем переходите к следующему.

Проверяйте блокировку по журналу, а не по баннеру

Для контролируемого теста добавьте временное пользовательское правило:

||example.org^ 

Повторите запрос через AdGuard и убедитесь, что Query Log показывает блокировку именно вашим правилом. Конкретный DNS-ответ зависит от режима блокировки. После теста удалите правило и очистите кэш, затем проверьте разрешение домена снова.

Один рекламный баннер ничего не доказывает: реклама может приходить с того же домена, что и полезное содержимое. DNS-фильтр не умеет выбирать отдельные элементы страницы.

Нет запросов от телефона: проверьте Private DNS, защищённый DNS браузера и серверы, полученные по IPv6. DHCP option 6 управляет IPv4, но не всей IPv6-настройкой.

Не работает приложение: найдите заблокированный домен в момент ошибки и добавьте точечное исключение. Не отключайте все фильтры навсегда из-за одного ложного срабатывания.

После reboot пропала история: проверьте рабочий каталог AdGuard. Хранение в /tmp не переживает перезагрузку; постоянные журналы на маленькой flash требуют ограничения объёма и срока хранения.

Если фильтрация работает дома, но не при удалённом подключении, проверьте маршруты и доступ к LAN через Tailscale на OpenWrt. Наличие туннеля ещё не означает, что телефон использует домашний DNS.

Как вернуть DNS при неудаче

Для описанной схемы, где AdGuard остаётся на 5454, восстановите сохранённый файл DHCP/DNS:

cp -p /root/dhcp.before-adguard-20260913 /etc/config/dhcp service dnsmasq restart 

Это откат к состоянию файла в момент копирования: более поздние изменения DHCP тоже будут отменены. Если успели перенести AdGuard на 53, сначала освободите этот порт остановкой AdGuard, иначе dnsmasq не запустится.

После восстановления проверьте DNS с клиента. Финальная проверка рабочей фильтрации — перезагрузка роутера, выдача адресов по DHCP, внешние и локальные имена, IPv6 и доступ к обычным домашним сервисам.

Ниже — ручная установка Home Assistant OS в виртуальную машину Proxmox VE на x86-64. Она подходит, если Proxmox уже установлен и вы можете открыть консоль хоста. Мы не будем запускать сторонний скрипт с правами root: параметры останутся видны в интерфейсе.

Что выбрать: HAOS или Home Assistant Container

HAOS включает управляемую ОС, Supervisor и установку приложений через интерфейс Home Assistant. Home Assistant Container предполагает, что Docker, соседние службы и обновления ОС вы обслуживаете самостоятельно. Контейнер внутри LXC добавляет ещё один слой настройки устройств и прав.

Для VM с обычным домашним набором интеграций начните с 2 vCPU, 4 ГБ RAM и диска 32–64 ГБ на SSD. Это пример, а не обещание вместить сюда видеоархив и распознавание речи. Официальный минимум для виртуальной установки — 2 vCPU и 2 ГБ RAM; образ берите в разделе KVM/Proxmox на сайте Home Assistant.

Если у вас ARM-плата, этот x86-образ не подойдёт. Для другого сценария есть отдельный материал о Home Assistant Container на Orange Pi Zero 3; команды создания VM из этой статьи к нему не относятся.

1. Подготовьте образ и свободный VMID

Скачайте QCOW2-образ по официальной ссылке и распакуйте архив. На вход импорту нужен файл .qcow2, а не .xz. Передайте его на Proxmox по SFTP/SCP в каталог с достаточным свободным местом.

В примере используем VMID 120 и хранилище local-lvm. Проверьте, что номер свободен, а хранилище существует и поддерживает диски VM. Если у вас ZFS или Directory storage, его имя будет другим.

Сначала полезно посмотреть состояние хоста:

qm list pvesm status 

Не удаляйте существующую VM ради совпадения с номером из инструкции.

2. Создайте пустую виртуальную машину

В мастере Create VM задайте имя homeassistant и свободный номер. Выберите установку без ISO. Для этой схемы используем:

• Machine: q35;
• BIOS: OVMF (UEFI);
• EFI Disk: на выбранном хранилище;
• Pre-Enroll keys: выключено для этой HAOS VM;
• SCSI Controller: VirtIO SCSI single;
• Network: VirtIO на bridge, подключённом к домашней LAN, часто vmbr0.

Home Assistant OS требует UEFI. Настройка EFI относится к гостевой VM: менять Secure Boot физического сервера ради неё не нужно. Устройство виртуальных дисков, OVMF и USB-проброс описаны в руководстве Proxmox VE.

На шаге диска не создавайте новый диск, если мастер позволяет. Если он уже создан, удалять его можно только после проверки, что это пустой диск новой VM. EFI Disk оставьте: он хранит параметры прошивки и не заменяет системный диск HAOS.

3. Импортируйте QCOW2 и подключите его

Откройте Shell самого узла Proxmox. Подставьте полный путь к распакованному файлу:

qm disk import 120 /root/haos_ova.qcow2 local-lvm 

Название haos_ova.qcow2 здесь условное: у скачанного образа обычно есть номер версии. Используйте фактическое имя файла. В старых инструкциях встречается команда qm importdisk — проверьте доступный синтаксис вашей версии через справку qm.

После окончания импорта откройте Hardware у VM. Там должен появиться Unused Disk. Выберите его, нажмите Edit и подключите как SCSI0. Не запускайте повторный импорт только потому, что диск ещё не появился в Boot Order: импорт и подключение — два разных действия.

В Options → Boot Order включите и поставьте первым SCSI0 с образом HAOS. EFI Disk первым загрузочным диском ставить не надо. Затем запустите VM и откройте Console.

4. Найдите адрес и завершите первый запуск

Посмотрите IP в консоли HAOS или списке DHCP-клиентов роутера. Откройте http://IP-АДРЕС:8123. Имя homeassistant.local удобно, но зависит от mDNS и не обязано работать через VLAN или удалённое подключение.

Первый запуск может потребовать загрузки компонентов. Пока консоль показывает подготовку, смотрите её сообщения, а не перезапускайте VM каждые полминуты. Проверьте доступ к DNS и интернету, если загрузка явно остановилась.

Закрепите DHCP-адрес за MAC виртуального сетевого адаптера. Затем включите Start at boot в Proxmox. Если MQTT и другие зависимости находятся в соседних VM, предусмотрите их порядок запуска.

5. Пробросьте Zigbee-координатор

Остановите новую VM, откройте Hardware → Add → USB Device и выберите физический адаптер. При одном экземпляре удобно сопоставление по Vendor/Device ID. Если подключены два одинаковых устройства, эти идентификаторы совпадут: используйте привязку к физическому порту и подпишите разъёмы.

После старта убедитесь, что адаптер виден в Home Assistant. Для интеграции используйте стабильный путь /dev/serial/by-id/…, когда он доступен, вместо случайного /dev/ttyUSB0. Один координатор должен обслуживаться одним процессом: не отдавайте его одновременно ZHA и Zigbee2MQTT.

Выбор стека вынесен в сравнение ZHA и Zigbee2MQTT. Если у вас Sonoff, отдельно проверьте модель и тип радиочипа по руководству для Sonoff USB Dongle Plus.

USB-удлинитель позволяет отнести радио от корпуса сервера и источников помех. После настройки проверьте отдельно перезапуск HAOS и полную перезагрузку Proxmox. Миграция VM на другой узел не переносит подключённый USB-адаптер физически.

Что проверять при ошибках

UEFI Shell: импортированный диск подключён? SCSI0 включён в Boot Order? Выбрана OVMF? Образ распакован и предназначен для x86-64 KVM? EFI Disk и системный диск не перепутаны?

Нет IP: сетевой адаптер подключён к правильному bridge? На нём есть физический интерфейс LAN? Работает DHCP? Для начала используйте простую LAN без дополнительного VLAN-тега.

Адрес есть, интерфейс не открывается: посмотрите состояние HAOS в консоли, попробуйте прямой IP и проверьте правила между клиентом и VM.

Zigbee исчез после reboot: проверьте наличие устройства на хосте, правило USB-проброса и путь внутри гостя. Если устройство есть, но порт занят, ищите второй процесс, который пытается открыть координатор.

Если после установки вы подключаете устройства нового стандарта, используйте диагностику Matter и Thread в Home Assistant: USB-проброс Zigbee и доступность Matter по IPv6 проверяются отдельно.

Перед переносом рабочего дома

Сделайте встроенную резервную копию Home Assistant и скачайте её на другой компьютер. Отдельно сохраните ключ шифрования, если он используется. Затем создайте backup всей VM на хранилище вне её системного диска. Пошаговый следующий этап — подключение Proxmox Backup Server и пробное восстановление VM.

При восстановлении старой конфигурации не запускайте две одинаковые системы в рабочей сети одновременно: автоматизации могут отработать дважды. Тестовую копию сначала загружайте с отключённой сетью и без радиокоординатора.

Установка завершена, когда HAOS загружается после перезапуска хоста, сохраняет адрес, видит координатор и у вас есть копия, которую можно восстановить. Только после этого переносите повседневные автоматизации.

В этой инструкции построим понятную схему: Proxmox VE отправляет копии на отдельный Proxmox Backup Server, а одну VM мы восстанавливаем под новым номером. Адреса и имена ниже — пример: PBS 192.168.10.30, datastore home-backup, тестовая VM 120. Подставьте свои значения.

Нужен ли дома отдельный PBS

Если у вас одна небольшая VM и копия раз в неделю, обычного задания Proxmox VE на отдельный накопитель может хватить. PBS полезен, когда нужны история копий нескольких машин, дедупликация и регулярная проверка данных.

Дедупликация позволяет хранить повторяющиеся блоки один раз. Однако она не превращает произвольный терабайт данных в сто гигабайт: результат зависит от того, сколько данных меняется. Видеоархив и уже сжатые файлы ведут себя иначе, чем несколько похожих Linux-систем.

Для основной копии выберите отдельный x86-64 компьютер и отдельный диск. PBS внутри того же Proxmox пригоден для знакомства, но после отказа хоста потребуется сначала вернуть сам PBS. Продумайте, с какого устройства вы будете читать копии в такой ситуации.

Установка: не перепутайте системный диск и диск копий

Скачайте ISO из официального раздела установки PBS. Для домашней системы разумно начать с 4 ГБ RAM и SSD под ОС; ёмкость datastore рассчитывайте по реальным данным и сроку хранения. Это отправная точка, а не универсальные требования для любого объёма.

Перед установкой подпишите диски по модели, объёму и серийному номеру. Мастер установки переразмечает выбранный накопитель. Особенно легко ошибиться, если подключены два одинаковых SSD.

После установки:

1. Закрепите адрес PBS в своей сети.
2. Откройте https://192.168.10.30:8007 из LAN.
3. Войдите как root в realm Linux PAM.
4. Проверьте время, DNS и доступность обновлений.
5. Сохраните данные для аварийного входа отдельно от Proxmox VE.

Доступ к веб-интерфейсу подтверждает только работу сервера. Хранилища для копий пока ещё может не быть.

Datastore: где будут лежать данные

В разделе дисков PBS найдите накопитель для копий. Для нового пустого диска можно создать файловую систему через интерфейс и включить создание datastore. Назовите его home-backup. При добавлении существующего каталога убедитесь, что он расположен на нужном смонтированном диске.

Принципиальная проверка: после перезагрузки путь datastore должен по-прежнему указывать на накопитель копий. Иначе запись может пойти в каталог на системном разделе и заполнить его. Как работают UUID и точки монтирования, разобрано в статье подключение HDD/SSD в Debian и Armbian. Для PBS используйте его инструменты управления дисками; рекурсивно менять владельца готового datastore по общему Linux-примеру не нужно.

Не доводите диск до 100% заполнения. Порог уведомления, например 80%, выберите заранее и оставьте запас на очередное задание. Устройство datastore описано в документации PBS.

Подключение к Proxmox VE и права токена

В PBS создайте отдельного пользователя pve-backup@pbs и API token для узла Proxmox. Для записи собственных backup groups подходит роль DatastoreBackup на пути /datastore/home-backup. При разделении привилегий токена его эффективные права ограничены и правами пользователя, и правами самого токена: одного назначения пользователю может оказаться недостаточно. Модель разрешений приведена в User Management.

В Proxmox VE откройте Datacenter → Storage → Add → Proxmox Backup Server:

• ID: понятное локальное имя, например pbs-home;
• Server: адрес PBS;
• Datastore: home-backup;
• Username: полный идентификатор созданного токена;
• Password: секрет токена;
• Fingerprint: отпечаток сертификата, сверенный с интерфейсом вашего PBS.

Секрет токена и ключ шифрования резервных копий — разные вещи. Если включаете клиентское шифрование, сохраните ключ восстановления отдельно: пароль администратора PBS не заменит его.

Первая копия и расписание

Сначала выберите небольшую некритичную VM и выполните Backup now на хранилище pbs-home. Дождитесь окончания, прочитайте журнал, затем найдите соответствующий snapshot в PBS. После этого настройте Datacenter → Backup с нужными VM, расписанием и уведомлениями.

Пример политики для домашней лаборатории: 7 ежедневных и 4 еженедельных точек. Примерьте её к допустимой потере данных: ночное копирование означает, что изменения за текущий день могут исчезнуть. Для важных данных это может быть слишком большой интервал.

В обслуживании PBS есть три разные задачи:

• Prune убирает точки восстановления согласно политике хранения.
• Garbage Collection освобождает блоки, которые больше не нужны оставшимся копиям.
• Verify проверяет сохранённые данные на целостность.

Удаление snapshot не обязано немедленно освобождать место. У GC есть защитный интервал; строка Pending removals сама по себе не означает поломку. Планируйте обслуживание вне основного окна backup. Механика объяснена в описании обслуживания PBS.

Восстановление: проверка, ради которой всё затевалось

Выберите копию в Proxmox VE и восстановите её под свободным VMID, например 920. Не включайте автоматический запуск восстановленной машины.

До первого старта отключите её сетевой адаптер или подключите к изолированному bridge. Клон может получить адрес рабочей VM, запустить те же задания и отправить реальные команды устройствам. Особенно это важно для Home Assistant, почты и баз данных.

Проверьте загрузку через консоль, наличие нужных файлов и запуск приложения. Для сетевого теста назначьте отдельную сеть и контролируемый доступ. Запишите дату копии, время восстановления и то, что пришлось делать вручную. Это ваша короткая аварийная инструкция.

Если копируете VM с приложением, проверьте ещё и его собственные данные. Для Home Assistant полезен отдельный слой резервирования конфигурации; принципы разбирает материал о бэкапах Home Assistant. Полный backup VM и копия приложения решают разные задачи восстановления.

Для проверки PBS из другой сети можно использовать доступ к домашней LAN через Tailscale на OpenWrt. В правилах доступа укажите адрес PBS и нужный порт; удалённый вход в панель сам по себе не создаёт внешнюю резервную копию.

Когда что-то пошло не так

Хранилище не подключается: проверьте адрес, порт 8007, имя datastore и полный идентификатор токена. Ошибка разрешений — повод проверить ACL, а не переходить сразу на root.

Новый токен не продолжает старую группу: проверьте владельца backup group. Смена учётной записи может требовать отдельного переназначения владельца администратором.

Backup успешен, но приложение после restore неисправно: проверьте согласованность данных самого приложения и журнал гостевой системы. Verify не проверяет бизнес-логику и не заменяет запуск восстановленной VM.

Копии есть только дома: отказ диска вы предусмотрели, потерю всего помещения — ещё нет. Нужна дополнительная копия в другом месте и проверенный способ получить к ней доступ без основного сервера.

Работу можно считать законченной, когда вы знаете не только где зелёная галочка, но и как поднять нужный сервис из копии на другом хосте.