OpenVPN на Synology Router: подключение RT6600ax, WRX560 и RT2600ac к VPS

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

На рабочем столе Synology легко почувствовать себя дома: окна, значки, настройки, аккуратные названия. Поэтому первая мысль при слове VPN вполне предсказуема — открыть Центр пакетов и установить VPN Plus Server. Но для нашей задачи это соседняя дверь.

Нам нужно, чтобы сам роутер подключался к внешнему OpenVPN-серверу и отправлял туда интернет-трафик. Такой клиент уже находится в сетевых настройках SRM. Пакет VPN Plus Server предназначен для других сценариев, в том числе входящих подключений к вашей сети.

Разберём настройку на RT6600ax, WRX560 и RT2600ac с SRM 1.3.x. Поддержка этой ветки для перечисленных моделей отражена в истории выпусков SRM. Речь идёт о главном маршрутизаторе сети, а не о дополнительном узле Mesh, которому хочется поручить работу начальника.

Что изменится после подключения

Представьте офисную курьерскую службу. Раньше все конверты выходили через ближайшее отделение, теперь их сначала собирают и везут в другой город. Адрес отправления для внешнего мира меняется, однако внутренние номера кабинетов остаются прежними.

С VPN устроено похоже: компьютеры продолжают получать локальные адреса от Synology, но их интернет-маршрут может идти через VPS. Сам факт подключения роутера к VPN ещё не означает, что этот маршрут выбран. Для полного туннеля потребуется соответствующая настройка шлюза и сервер, который действительно выпускает клиентов в интернет.

В этой инструкции не обещается отдельная кнопка «только этот телевизор». Настройка шлюза по умолчанию имеет более широкий эффект. Поэтому первый запуск проведите в спокойное время, когда смена маршрута не оборвёт важный звонок. Для строго выборочного выхода отдельного приложения иногда проще использовать VPN непосредственно на компьютере.

Что подготовить перед открытием мастера

Проверьте обновления SRM, сохраните резервную копию конфигурации и запишите нынешние DNS-настройки. Подключитесь к роутеру локально, лучше по Ethernet. Если вы управляете им только через интернет, сначала обеспечьте запасной способ доступа.

Закажите VPS MAATRIX с установленным OpenVPN в США, Великобритании или Франции. Для подключения понадобятся профиль .ovpn и необходимые данные авторизации. Выбор локации влияет на маршрут и задержку, но не отменяет правил использования сторонних сервисов и ИИ-платформ.

Сразу укажите, что профиль будет использоваться в Synology Router, SRM 1.3, а не в приложении OpenVPN на ноутбуке. Производитель предупреждает, что некоторые серверные профили несовместимы со встроенным клиентом: это отмечено в официальной инструкции подключения Synology Router.

Понадобится отдельный клиентский профиль для роутера. Если он содержит приватный ключ, храните его как пароль. Одновременное использование одной клиентской идентичности несколькими устройствами зависит от настроек сервера и легко затрудняет диагностику; отдельные профили избавляют от этой неопределённости.

Совместимость важнее красивого расширения файла

SRM подключается к OpenVPN в режиме TUN, третий сетевой уровень. Профиль TAP, рассчитанный на Ethernet-мост, для этого сценария не подходит. Поддерживаемый тип туннеля указан в справке SRM 1.3 о подключении.

Проверьте, как переданы сертификаты. Иногда они встроены в .ovpn, иногда рядом лежат отдельные файлы CA, сертификата клиента и ключа. Если мастер требует отдельное вложение, предоставьте соответствующий файл из серверного экспорта. Нельзя подставлять приватный ключ в поле сертификата только потому, что оба выглядят как длинный текст.

Если профиль требует директиву, которую SRM не понимает, не удаляйте её наугад. В частности, настройки tls-auth и tls-crypt нельзя считать взаимозаменяемыми. Согласуйте совместимый профиль или серверное подключение с администратором. Обновить SRM и проверить возможности клиента разумнее, чем понемногу разбирать защиту, пока ошибка не перестанет появляться.

Где находится клиент OpenVPN

Откройте Network Center → Internet → Connection. В блоке основного интерфейса выберите VPN Settings. Этот путь приведён в руководстве SRM 1.3, раздел 9.2.

Дальше выполните следующие действия:

1. Нажмите Create и выберите OpenVPN (via importing an .ovpn file).
2. Задайте понятное имя профиля, например Home-OpenVPN-US, и импортируйте .ovpn.
3. Введите выданные VPN-логин и пароль, если они требуются для этого подключения. Загрузите CA-сертификат, когда его запрашивает мастер.
4. В Advanced options добавьте дополнительные файлы, если они выданы: клиентский сертификат, приватный ключ, ключ TLS-auth или список отозванных сертификатов — каждый в своё поле.
5. Нажмите Next. Для выхода в интернет через VPS включите Use default gateway on remote network.
6. Включите Reconnect when the VPN connection is lost, примените настройки и подключите созданный профиль.

Не придумывайте логин и пароль, если выданный экспорт их не содержит, а форма настойчиво требует. Сначала уточните совместимый способ авторизации. Пароль от SRM здесь тоже не универсальная отмычка.

В справке может встретиться пункт Allow other network devices…. Его доступность зависит от режима работы; для текущего SRM он описан отдельно для Wireless AP. Не переводите основной роутер в режим точки доступа только ради этой галочки: вы измените всю схему сети.

Подключили — теперь проверим с настоящего устройства

Возьмите ноутбук за Synology. Закройте собственный VPN-клиент, отключите прокси браузера и посмотрите внешний IPv4 до подключения. Затем включите профиль на роутере и повторите проверку. Для полного IPv4-туннеля ожидается выходной адрес VPS.

Почему именно ноутбук? Успешный запрос из самого роутера показывает только маршрут самого роутера. А нам важно, что происходит с устройством за ним. Это как проверить отопление в котельной и на этом объявить все квартиры тёплыми.

Откройте несколько обычных сайтов и нужное рабочее приложение. Если IP изменился, но отдельный сервис отказывает, проверьте текст его ошибки и условия доступа. VPN не заменяет учётную запись, подписку и разрешение самого сервиса.

Если профиль подключён, а адрес остался прежним, вернитесь к настройке удалённого шлюза. Проверьте также, что ноутбук использует именно Synology как шлюз, а не соседний роутер, мобильный модем или второй сетевой адаптер.

DNS и IPv6: проверяем каждый путь

Внешний IPv4 — важный, но не единственный результат. DNS отвечает за поиск адресов сайтов. Выполните DNS-тест, посмотрите, какой DNS получает ноутбук, и проверьте настройки защищённого DNS в браузере. Если домены не разрешаются, временно верните записанные исходные параметры и выясните, какие DNS предназначены для нового подключения.

IPv6 нужно проверить отдельно. Профиль с полным IPv4-маршрутом не обязательно переносит IPv6 через VPS. Для диагностического сравнения можно временно отключить IPv6 на тестовом ноутбуке. Для постоянной работы требуется либо подтверждённый IPv6-туннель, либо запрет прямого IPv6-выхода защищаемых устройств. Особенно осторожно меняйте WAN при DS-Lite: там IPv6 относится и к базовому подключению провайдера.

Автоматическое переподключение не является kill switch. Оно пытается восстановить VPN, но само по себе не обещает, что устройство не выйдет через обычный интернет между попытками. Для проверки сначала обеспечьте доступ к консоли своего тестового VPS или иной способ управления, независимый от VPN. Ненадолго остановите OpenVPN на сервере, оставив профиль SRM и действующие правила включёнными. Если сервер общий, согласуйте время проверки. Посмотрите, какой адрес видит сайт при новом соединении, затем снова запустите службу и проверьте восстановление туннеля.

Если появляется адрес провайдера, для строгой защиты от обхода нужна отдельная проверенная сетевая политика. Описанный мастер её не создаёт. Ручное отключение профиля не имитирует такой отказ: оно может убрать связанные с подключением правила маршрутизации.

Если SRM отказывается дружить с профилем

При ошибке авторизации проверяйте именно VPN-учётные данные. При ошибке сертификата — время на роутере, срок действия и соответствие файлов. При неподдерживаемой директиве — совместимость SRM с конкретным экспортом. Для обращения в поддержку сохраните точный текст ошибки, версию SRM и время попытки, но не прикладывайте приватный ключ.

Не включайте сжатие ради обещания ускорения и не отключайте проверку сертификата. Риски сжатия и назначение механизмов TLS описаны в руководстве OpenVPN. Шифрованному соединению нужна предсказуемость, а не коллекция случайных галочек.

Медленная работа тоже не всегда означает слабый VPS. Сравните скорость по кабелю, загрузку роутера и задержку до сервера. Радиомодуль Wi-Fi, процессор клиента и дальняя локация умеют ограничивать скорость независимо друг от друга.

Для возврата к обычной сети отключите созданный VPN-профиль, верните изменённые DNS и IPv6 тестового устройства и проверьте доступ. Сохранённый профиль можно оставить для дальнейшей диагностики. Нажимать Reset не требуется: сетевые отношения лучше выяснять разговором с журналом событий, а не стиранием всей памяти.