Настройка WireGuard на ASUS: Asuswrt-Merlin и штатный VPN Fusion

MAATRIX · Обновлено 7 октября 2026

На некоторых ASUS WireGuard-клиент уже есть в штатном VPN Fusion: начинать стоит с проверки своей модели и прошивки. Asuswrt-Merlin нужен, если ваша модель поддерживается проектом и требуются его функции, например VPN Director. Ниже — подключение к готовому серверу MAATRIX, импорт конфига и проверка маршрутов; обязательного SSH-скрипта для всех ASUS здесь нет.

Зачем нужен сервер для WireGuard на ASUS

ASUS в этой инструкции работает как VPN-клиент: роутер подключается к WireGuard-серверу, через который все устройства дома выходят в интернет. Поэтому, кроме самого роутера, вам нужен ещё и сервер с уже настроенным WireGuard.

Если своего сервера ещё нет — арендуйте VPS в MAATRIX с автоматической установкой WireGuard: в личном кабинете после завершения создания VPS и автоустановки WireGuard развернётся сервер, WireGuard установится и настроится сам, и там же будет лежать готовый файл конфигурации .conf, который мы будем загружать в роутер. Если сервер и конфиг уже есть — переходите сразу к разделу 3.

Какие модели ASUS поддерживают WireGuard

Проверьте точную модель и аппаратную ревизию, затем выберите один из путей:

• Штатная прошивка ASUS: у совместимых моделей WireGuard-клиент доступен в VPN Fusion. Производитель указывает версии новее 3.0.0.4.388.23000, но этот номер не означает поддержку всех ASUS. Проверка и настройка ASUS.
• Asuswrt-Merlin: используйте только модель из официального списка проекта и поддерживаемый для неё выпуск с WireGuard Client. Класс Wi-Fi 6/7 и обозначение HND сами по себе не заменяют проверку списка.

Если штатный клиент уже решает задачу, прошивать Merlin необязательно. Если нужного клиента нет ни в одном поддерживаемом варианте, рассмотрите отдельный VPN-роутер. Установка одного wireguard-tools не добавляет отсутствующий модуль ядра или совместимость прошивки.

Получаем конфигурацию в личном кабинете MAATRIX

Зайдите в личный кабинет MAATRIX, откройте карточку вашего сервера с WireGuard и скачайте файл конфигурации .conf для первого устройства — на этом этапе больше ничего делать не нужно, просто сохраните файл на компьютер, с которого будете настраивать роутер (он понадобится в разделе 4).

Откройте файл любым текстовым редактором, чтобы увидеть, что внутри (это пригодится, если что-то пойдёт не так и нужно будет сверить значения вручную):

[Interface]
PrivateKey = <приватный_ключ_вашего_устройства>
Address = 10.66.66.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = <публичный_ключ_сервера_MAATRIX>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Простыми словами: PrivateKey — секретный ключ вашего роутера (как пароль, никому не показывать), PublicKey в блоке Peer — открытый ключ сервера MAATRIX, по которому роутер убеждается, что подключается именно к нему, Endpoint — реальный адрес сервера в интернете и порт, AllowedIPs = 0.0.0.0/0 — диапазон IPv4 для туннеля; назначение домашних устройств дополнительно определяется настройками роутера.

Устанавливаем прошивку Asuswrt-Merlin

Этот шаг нужен только при выборе Merlin. Для штатного VPN Fusion переходите к следующему разделу.

1. Сверьте модель с официальным списком поддержки, прочитайте примечания к её выпуску и сохраните резервную копию текущих настроек.
2. Скачайте поддерживаемую стабильную прошивку с официального сайта проекта, для своей модели.
3. Установите её через Administration → Firmware Upgrade, следуя инструкции соответствующего выпуска. Не отключайте питание во время обновления.
4. После перезагрузки проверьте версию и наличие WireGuard Client. Восстановление старой резервной копии и необходимость сброса зависят от конкретного перехода: следуйте примечаниям проекта, а не универсальному обещанию «любые прошивки взаимозаменяемы».

Импортируем конфиг через веб-интерфейс

На штатной прошивке: откройте VPN → VPN Fusion, добавьте профиль WireGuard, загрузите .conf через Upload Config и назначьте устройства, которым нужен этот профиль. Сохраните настройки и включите соединение. Порядок ASUS.

В Merlin: найдите WireGuard-клиент в разделе VPN, импортируйте конфиг в свободный слот и сохраните профиль. Названия вкладок зависят от выпуска. Затем проверьте NAT, настройки DNS и VPN Director по следующим разделам.

Если импорт не заполнил поля, перенесите реальные PrivateKey, Address, PublicKey сервера и Endpoint из своего файла. Не копируйте примерные адреса этой статьи вместо выданных значений и не публикуйте ключ клиента.

Проверяем штатную настройку NAT

В поддерживаемых выпусках прошивка умеет создавать правила NAT для WireGuard-клиента. В интерфейсе Merlin проверьте параметр NAT / Enable NAT у выбранного клиента, включите его для обычной схемы «домашние устройства → VPS» и сохраните профиль. Настройки могут называться иначе в разных выпусках.

Ручной скрипт в /jffs/scripts/nat-start не является обязательным для каждого ASUS. Правило -s 10.66.66.0/24 -o br0 из общих советов не описывает нужный выход домашнего трафика в VPN: br0 — сторона LAN, а не интерфейс WireGuard. Не добавляйте его для устранения отсутствующей маршрутизации.

Сначала проверьте выбранные устройства, правила VPN Director и штатный NAT. Для нестандартной схемы с несколькими подсетями настройка определяется фактическими LAN/VPN-интерфейсами и правилами firewall. Реализация NAT клиента в Merlin.

Включаем VPN-клиент и проверяем подключение

Включите сохранённый профиль WireGuard. В штатном VPN Fusion назначьте нужные устройства профилю.

В Merlin откройте VPN Director: добавьте правило для IP тестового домашнего устройства с выбранным WireGuard-клиентом как назначением и примените изменения. Чтобы охватить подсеть, используйте её реальный адрес, а не пример из интернета. Проверьте правила WAN и других VPN: они могут иметь более высокий приоритет. Начните с одного устройства, затем расширьте список.

Не считайте один статус Connected доказательством работы: проверьте внешний IP на назначенном устройстве. Официальное руководство VPN Director.

Что делать, если модель старая и не поддерживает WireGuard нативно

Проверьте точную модель в документации ASUS и Merlin. Возраст устройства или наличие Entware не гарантируют поддержку WireGuard: нужны соответствующие возможности ядра и прошивки.

Не устанавливайте случайный образ от похожей модели и не рассчитывайте, что opkg install wireguard-tools самостоятельно добавит VPN. Если поддерживаемого варианта нет, можно поставить за основным ASUS отдельный совместимый VPN-роутер. Сравнение доступных вариантов и GL.iNet.

Проверяем, что туннель реально работает

1. Проверьте состояние профиля, handshake (если показан) и передачу данных.
2. На устройстве, назначенном этому профилю, проверьте внешний IPv4: он должен совпасть с VPS.
3. Если виден адрес домашнего провайдера, проверьте назначение устройства, VPN Director и приоритет правил. Это не доказательство необходимости SSH-скрипта.
4. Если handshake есть, но ответа нет, проверьте NAT, DNS и firewall.
5. Отдельно проверьте IPv6: IPv4-политика не означает перенаправление IPv6. Используйте поддерживаемую прошивкой IPv6-схему или отключите IPv6 для устройств, которые должны пользоваться только IPv4-VPN.

Сначала оставьте MTU из выданного конфигурационного файла: MAATRIX сейчас использует 1380. Если туннель работает, но крупные страницы зависают, попробуйте 1280 и сравните результат. Значение 1240 можно проверить только для IPv4-туннеля; это диагностический вариант, а не общая рекомендация для всех российских провайдеров. Для IPv6 MTU должен быть не ниже 1280. Требование IPv6 — RFC 8200.

Частые вопросы