WireGuard на FRITZ!Box 7590 AX и 7690: VPN для выбранных устройств

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

Домашняя сеть похожа на квартиру, где у каждого свои привычки. Телевизор хочет кино, рабочий ноутбук — зарубежный сервис, принтер предпочитает, чтобы его вообще не трогали. А роутер должен сделать так, чтобы все ужились под одной крышей.

С FRITZ!Box можно подключить выбранные устройства к WireGuard-серверу и оставить остальным обычный интернет. При этом не нужно устанавливать VPN на телевизор или объяснять гостю, где взять конфигурацию. Однако у FRITZ!OS есть собственные правила, особенно для гостевой сети и IPv6. Разберём их до того, как нажимать Next.

Инструкция относится к FRITZ!Box 7590 AX и 7690 с поддерживаемой актуальной FRITZ!OS. Здесь роутер выступает клиентом внешнего WireGuard-сервера на VPS. Это отличается от настройки доступа к домашней сети со смартфона: направление подключения другое.

Подготовка, которая экономит вечер

Откройте fritz.box из домашней сети или локальный адрес устройства. Проверьте модель и версию FRITZ!OS. Обновление ищется в System → Update; у устройств, выданных провайдером, этот раздел может быть недоступен, поскольку прошивкой управляет сам оператор. Такая особенность прямо описана в справке FRITZ об обновлениях.

Сохраните резервную копию настроек и пароль к ней. Запишите, какие VPN-соединения уже существуют. В текущем мастере подключения к VPN-провайдеру производитель требует, чтобы ранее созданные WireGuard-соединения были удалены. Поэтому при уже работающем удалённом доступе сначала подготовьте его восстановление. Не выполняйте эту операцию из командировки через тот самый туннель, который собираетесь убрать.

Поддержка подключения к внешнему серверу описана в отдельных официальных инструкциях для 7590 AX и 7690. Детали последних шагов у них различаются; ниже мы эти различия сохраним.

Зачем здесь MyFRITZ

Официальный сценарий начинается с регистрации роутера в MyFRITZ. Это служба постоянного имени устройства, а не сам VPN-сервер. Она не заменяет VPS и не выдаёт ему клиентские ключи.

В Internet → MyFRITZ! Account укажите адрес электронной почты, примените настройки и подтвердите регистрацию по письму. Если оно не пришло, проверьте папку спама: иногда именно там начинается самая загадочная часть настройки сети.

Постоянный адрес позволяет находить FRITZ!Box при изменении внешнего IP. Назначение службы объясняется в описании MyFRITZ!Net. Не путайте этот адрес с Endpoint в профиле WireGuard: Endpoint указывает на удалённый VPS, к которому подключается роутер.

Получаем готовый сервер и правильный .conf

На MAATRIX можно заказать VPS с установленным WireGuard в США, Великобритании или Франции. Дождитесь готовности сервера и получите отдельную клиентскую конфигурацию для FRITZ!Box. В этом сценарии поднимать VPN вручную на Linux не требуется.

Подключение к VPS создаёт определённый сетевой маршрут. Оно не даёт универсального пропуска ко всем сайтам и ИИ-сервисам: у них остаются собственные правила аккаунтов, доступных стран и проверок. Поэтому страну сервера выбирайте под свою задачу и проверяйте нужные приложения после подключения.

Конфигурация должна быть обычным WireGuard, предназначенным для роутера и полного туннеля. Файл AmneziaWG не становится совместимым от того, что у него тоже расширение .conf. OpenVPN с расширением .ovpn этот мастер также не импортирует.

Для FRITZ!Box нужен собственный peer. Не запускайте одновременно тот же профиль на телефоне: два устройства с одним ключом начинают спорить за одну запись на сервере. Ключи не любят коммунальные квартиры.

Храните файл локально и не публикуйте его целиком. Если профиль требует исправления, безопаснее получить новый экспорт, чем случайно удалить важную строку при копировании через мессенджер.

Проходим мастер подключения

Перед началом подключите тестовый ноутбук к основной домашней сети. Гостевой Wi-Fi для первой проверки не подходит.

1. Откройте Internet → Permit Access → VPN (WireGuard).
2. Нажмите Add WireGuard Connection → Link Networks.
3. На вопрос, настроена ли удалённая сторона, ответьте Yes.
4. Задайте имя соединения. Шаг с DNS-доменами удалённой сети пропустите, если отдельных частных доменов у вас нет.
5. В Upload Configuration File → Choose File выберите выданный .conf.
6. Включите отправку интернет-трафика через VPN. В интерфейсе 7590 AX это может называться Send all IPv4 network traffic via the VPN connection; в новой инструкции для 7690 — Send all network traffic via the VPN connection.
7. Выберите вариант Only certain devices… и отметьте тестовый ноутбук.
8. Завершите мастер, подтвердив действие на самом FRITZ!Box, если он этого потребует.

Для выбора устройств ориентируйтесь не только на красивое имя в списке. Сверьте MAC-адрес и текущее подключение: два одинаково названных телефона могут принадлежать совершенно разным людям.

Почему гостевой Wi-Fi остаётся снаружи

Гостевая сеть FRITZ!Box выходит в интернет через обычное подключение роутера, а не через описанный VPN-профиль. Это прямо указано производителем. Если проверять внешний IP с гостевого телефона, можно полчаса чинить исправный туннель.

Начните с устройства, отмеченного в мастере. Отключите на нём собственный VPN и прокси. Сравните внешний IPv4 до и после включения роутерного соединения: во втором случае ожидается выходной адрес VPS.

Затем проверьте два соседних сценария: устройство основной сети, которое вы не выбирали, и устройство гостевой сети. Их поведение должно соответствовать плану. Такая проверка полезнее десятка скриншотов зелёного значка: она показывает, кто действительно пошёл по новому маршруту.

Если дома используется IP-телефония, сделайте пробный входящий и исходящий звонок. Для версии, где доступно исключение телефонии из VPN, используйте его при необходимости. Изменение маршрута не должно внезапно превращать домашний телефон в декоративный экспонат.

IPv6: вторая дорога, которую легко не заметить

Устройство может одновременно пользоваться IPv4 и IPv6. Поэтому сменившийся IPv4 ещё не доказывает, что весь трафик направлен через VPS.

По официальной справке FRITZ об IPv6, интернет через WireGuard по IPv6 требует глобального IPv6-адреса для клиента и соответствующей маршрутизации на сервере. Старые соединения, созданные до FRITZ!OS 8, для передачи IPv6 необходимо создать заново. Просто дописать ::/0 в неподготовленный профиль недостаточно.

Если ваш серверный профиль только IPv4, сначала временно отключите IPv6 на тестовом ноутбуке. Для постоянной схемы либо настройте полноценный IPv6 через VPN, либо исключите прямой IPv6-выход защищаемых устройств проверенным способом. Не меняйте бездумно WAN-настройки при DS-Lite: тогда можно потерять исходное соединение, ещё не дойдя до VPN.

Отдельно выполните DNS-тест. Проверьте, не задан ли на ноутбуке или в браузере собственный DNS. Само название найденного резолвера не показывает путь пакетов; при сомнениях сравнивайте результаты с VPN и без него и проверяйте настройки устройства.

Что произойдёт, если VPN отключится

В актуальном руководстве для 7690 есть Allow internet access only via the VPN connection (kill switch). Если ваша прошивка предлагает этот параметр и прямой выход недопустим, включите его. В опубликованном мастере для 7590 AX такой шаг пока отсутствует, поэтому обещать одинаковую защиту любому FRITZ!Box нельзя.

Для проверки заранее обеспечьте доступ к консоли своего тестового VPS или другому способу управления вне этого VPN. Затем ненадолго остановите WireGuard на сервере, оставив профиль FRITZ!Box и выбранную защиту включёнными. Если сервер общий, согласуйте проверку. На выбранном ноутбуке попробуйте открыть новые внешние соединения по IPv4 и IPv6: при работающем kill switch они должны блокироваться. Снова запустите службу и проверьте восстановление доступа.

Если во время недоступности сервера виден адрес провайдера, работает прямой запасной выход. А ручное выключение клиентского профиля не проверяет аварийную защиту: вместе с профилем могут сниматься и его правила.

Проводите такой опыт из локальной сети и держите доступ к панели роутера. Испытание аварийного режима не должно само становиться маленькой аварией.

Если подключение не заработало

Ошибка импорта обычно требует проверки формата файла: обычный WireGuard, отдельный профиль, совместимые параметры. Если туннель не устанавливается, сверяйте доступность Endpoint, порт и ключи. Если адрес VPS появился, но один сервис по-прежнему недоступен, проверьте его отдельно: это уже не обязательно неисправность VPN.

Для отката отключите созданное соединение и, при необходимости, его kill switch, затем верните изменённые настройки тестового устройства. Не удаляйте сразу все профили и не сбрасывайте роутер. Одна хорошо проверенная связь полезнее пяти экспериментальных, среди которых никто уже не помнит рабочую.