Настройка VPN-клиента WireGuard на TP-Link Archer и Deco

MAATRIX · Обновлено 7 октября 2026

TP-Link — один из самых массовых брендов роутеров в России, но WireGuard на нём появился сравнительно недавно и далеко не на всех моделях. Хорошая новость в том, что если ваша модель поддерживает эту функцию, настройка оказывается даже проще, чем на MikroTik или ASUS — никаких скриптов и консоли, всё делается в два экрана через обычный веб-интерфейс. Разберём всё по шагам: от проверки, подходит ли вообще ваш роутер, до рабочего туннеля к серверу MAATRIX.

Зачем нужен сервер для WireGuard на TP-Link

TP-Link в этой инструкции работает как VPN-клиент: роутер подключается к WireGuard-серверу, через который все устройства дома выходят в интернет. Поэтому, кроме самого роутера, нужен ещё сервер с уже настроенным WireGuard.

Если своего сервера ещё нет — арендуйте VPS в MAATRIX с автоматической установкой WireGuard: сервер и файл конфигурации .conf будут готовы в личном кабинете после завершения создания VPS и автоустановки WireGuard. Если сервер и конфиг уже есть — переходите сразу к разделу 3.

Какие модели и прошивки TP-Link поддерживают WireGuard

Поддержка определяется точной моделью, аппаратной версией, регионом и прошивкой. Проверьте наклейку снизу корпуса и страницу поддержки своей ревизии. Ищите именно WireGuard VPN Client: VPN Server и обычный пункт VPN не подтверждают возможность подключения роутера к внешнему WireGuard-серверу.

Не используйте правило «все Archer AX / Deco после 2023 года поддерживаются» или «старые модели никогда не получат WireGuard». Производитель публикует отдельные списки и примечания к обновлениям: руководство Archer и руководство Deco.

Получаем конфигурацию в личном кабинете MAATRIX

Зайдите в личный кабинет MAATRIX, откройте карточку вашего сервера с WireGuard и скачайте готовый файл конфигурации .conf на компьютер или телефон, с которого будете настраивать роутер. В TP-Link, в отличие от MikroTik, этот файл можно будет загрузить целиком, без ручного переноса отдельных полей — значит, вскрывать и читать его построчно не обязательно, но полезно на случай диагностики проблем позже (раздел 7).

Проверяем и обновляем прошивку роутера

Для Archer откройте локальную веб-панель по адресу на наклейке или своему адресу шлюза, войдите с паролем администратора и найдите обновление прошивки в разделе System / Firmware Upgrade. Используйте обновление для точной аппаратной ревизии и региона; сначала сохраните резервную копию настроек.

Для Deco используйте приложение TP-Link Deco, выберите свою сеть и пункт обновления системы (обычно More → System → Update Deco; названия зависят от версии приложения). Tether не заменяет приложение Deco.

После обновления проверьте наличие WireGuard Client. Если его нет, не загружайте прошивку от другой ревизии: уточните поддержку на странице модели или используйте совместимый второй VPN-роутер.

Настройка через веб-панель (Archer)

1. Откройте Advanced → VPN Client, включите VPN-клиент и добавьте профиль типа WireGuard.
2. Загрузите .conf из кабинета MAATRIX. Сохраните исходный файл: он содержит приватный ключ.
3. Если импорт сообщает об неподдерживаемых параметрах, подготовьте отдельную IPv4-копию по инструкции ниже.
4. Сохраните профиль, включите его и выберите в Device List устройства, которым нужен VPN. Один лишь импорт не назначает все домашние устройства автоматически.

Если конфиг с IPv6 и MTU не импортируется

Часть прошивок TP-Link принимает только базовые поля. В копии файла оставьте реальный IPv4-адрес из Address, IPv4 DNS, ключи, Endpoint и keepalive; удалите строку MTU и IPv6-значения из Address и AllowedIPs. Структура получится такой:

[Interface]
PrivateKey = <ваш_исходный_приватный_ключ>
Address = 10.66.66.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = <исходный_публичный_ключ_сервера>
Endpoint = <реальный_IP_вашего_VPS>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Это образец структуры, а не готовый файл: адрес и ключи возьмите из своего конфига. Не заменяйте ключи, не удаляйте Endpoint и не публикуйте конфигурацию в открытом доступе. IPv4-копия не направляет IPv6 через VPN: для выбранных домашних устройств отключите IPv6 в доступных настройках сети либо используйте модель с полноценной поддержкой IPv6-туннеля и проверьте маршруты. Параметры импорта TP-Link.

Настройка через приложение Deco

Используйте приложение TP-Link Deco:

1. Выберите сеть и откройте More → Advanced → VPN Client (в отдельных версиях пункт находится в разделе VPN).
2. Включите клиент, добавьте сервер типа WireGuard и импортируйте .conf с телефона.
3. Если файл не принимается, используйте IPv4-копию из предыдущего раздела.
4. После сохранения выберите All Clients или добавьте нужные устройства в Client List. Проверьте внешний IP на одном из этих устройств.

Официальная инструкция Deco. Названия меню и поддержка зависят от прошивки; наличия Tether на телефоне недостаточно для управления Deco.

Что делать, если WireGuard нет в вашей модели

Проверьте актуальную прошивку для своей аппаратной версии. Если клиент WireGuard не поддерживается, можно подключить за TP-Link отдельный совместимый роутер и направлять в его сеть только нужные устройства: вариант GL.iNet.

OpenVPN — отдельный протокол, которому требуется отдельная настройка сервера и клиентский файл .ovpn. Конфиг WireGuard нельзя просто переименовать в .ovpn; MAATRIX сейчас автоматически выдаёт именно WireGuard-конфиг, а не переключатель протоколов.

OpenWrt рассматривайте только при наличии точной модели и ревизии в списке поддержки. Сравнение роутеров поможет выбрать вариант без прошивки от чужой модели.

Проверяем, что туннель реально работает

1. Проверьте статус профиля и рост принятых и отправленных байтов.
2. На устройстве из Device / Client List откройте сервис проверки IP: IPv4 должен совпадать с адресом VPS из карточки MAATRIX.
3. Отдельно проверьте IPv6 и DNS. IPv4-туннель не означает, что IPv6 тоже идёт через сервер.
4. Если интернет остаётся прямым, проверьте назначение устройства профилю; если данные уходят, но не возвращаются — ключи, Endpoint, UDP-порт и файл импорта.
5. При зависании крупных страниц проверьте MTU там, где прошивка позволяет его менять. Не задавайте 1240 как обязательное значение для всех подключений.

Если поддержка нужна при импорте, достаточно сообщить модель, ревизию, версию прошивки и текст ошибки. Приватный ключ и полный конфиг не размещайте в публичных комментариях.

Частые вопросы