WireGuard на GL.iNet Flint, Beryl и Slate: домашний VPN, который можно взять с собой

MAATRIX · Обновлено 22 октября 2026 · 8 мин чтения

В домашней сети есть негласное правило: чем меньше устройство, тем больше надежд на него возлагают. Особенно если это Beryl AX, который легко помещается рядом с зарядкой, но должен обеспечить интернет ноутбуку, телефону и телевизору в гостинице. Flint 2 путешествует реже: его обычное место — дома, возле кабеля провайдера. Задача у обоих может быть одной: подключить устройства к своему WireGuard-серверу, не устанавливая VPN-приложение на каждый экран.

Настроим такой маршрут на Flint 2, Flint 3, Beryl AX и Slate 7 с фирменной прошивкой GL.iNet. Начнём с одного ноутбука, проверим соединение и только затем пустим через него остальные устройства. Это удобнее, чем объявить всей семье технический перерыв в середине фильма и выяснять, что означала последняя галочка.

Роутер дома, сервер за границей: кто за что отвечает

В этой схеме GL.iNet работает VPN-клиентом. Он устанавливает соединение с VPS, а VPS выпускает трафик в интернет. Именно расположение сервера определяет точку выхода — например, США, Великобританию или Францию. Сам роутер переезжать не обязан.

Раздел WireGuard Server в панели GL.iNet предназначен для другого сценария: удалённого подключения к самому роутеру. Для нашей задачи нужен клиент. Также GL.iNet должен обслуживать устройства как маршрутизатор: в режиме обычной точки доступа трафик может идти через другой шлюз, минуя настроенный VPN.

У этих роутеров разный характер, но общий принцип настройки. Flint 2 и Flint 3 обычно остаются дома или в кабинете; Beryl AX и Slate 7 легче представить на столике рядом с гостиничной карточкой. Сенсорный экран Slate 7 удобен для быстрых действий, однако первичную настройку в этой статье выполняем через веб-панель: там видны профиль и правила маршрутизации.

Перед настройкой запишите модель и версию прошивки из панели. Развилки ниже относятся к интерфейсам 4.8 и 4.9+, а не обещают наличие любой версии для каждой модели. Не заменяйте фирменную прошивку сторонней ради этого руководства: штатных средств достаточно. Поддержку AmneziaWG проверяют отдельно; обычный WireGuard в меню не подтверждает совместимость с его маскирующими расширениями.

Что приготовить перед импортом

Понадобятся доступ к панели GL.iNet и отдельный клиентский файл .conf от вашего WireGuard-сервера. Удобно назвать его home-router-uk.conf: через месяц такое имя полезнее, чем final-new-2.conf.

Файл содержит закрытый ключ. Его нельзя публиковать в комментариях, отправлять в общий чат или показывать на скриншоте. Если тот же профиль уже используется на телефоне, создайте для роутера новый. Два самостоятельных устройства с одним ключом способны перетягивать соединение друг у друга, и проблема будет выглядеть как особенно творческая нестабильность интернета.

Для доступа ко всему интернету профиль обычно содержит AllowedIPs = 0.0.0.0/0. Это маршрут для IPv4. Наличие IPv6 на домашнем подключении требует отдельного внимания: добавление ::/0 имеет смысл только при поддержке IPv6 сервером и корректных адресах в профиле. Не дописывайте его наугад.

Сначала проверьте обычный интернет без VPN. Откройте несколько сайтов, запишите внешний IPv4 ноутбука и убедитесь, что дата на роутере верная. При подключении Beryl или Slate к гостиничной сети сначала пройдите авторизацию на странице гостиницы. Туннель не умеет согласиться с правилами проживания вместо вас.

Серверную часть можно получить в MAATRIX: VPS с установленным WireGuard. Выберите доступную локацию США, UK или FR и создайте профиль для роутера. Собственный сервер удобен постоянным адресом и управлением подключениями; доступность конкретного ИИ-сервиса дополнительно зависит от его правил, аккаунта и отношения к адресу сервера.

Загружаем профиль и задаём маршрут

Подключите ноутбук к GL.iNet кабелем или по Wi-Fi. Откройте адрес панели, указанный в вашей сети; после заводской настройки это обычно 192.168.8.1. Если роутер стоит за другим маршрутизатором, их локальные подсети не должны совпадать. Например, две сети 192.168.8.0/24 по разные стороны Beryl создадут ненужную путаницу.

В прошивке 4.9 и новее откройте VPN → VPN Client Profile, выберите WireGuard переключателем протокола справа и нажмите Add Manually. В 4.8 путь другой: VPN → WireGuard Client → Add Manually. Создайте группу, загрузите .conf и сохраните её. Личный профиль загружается вручную, без выбора стороннего провайдера. Производитель объясняет объединение клиентских разделов и импорт WireGuard.

Далее важна версия интерфейса. В прошивках 4.9 и новее есть страница VPN Client Profile, а маршрут создаётся через VPN Dashboard. В мастере Add VPN Tunnel выберите загруженный профиль, один тестовый ноутбук в качестве источника и все назначения — All Targets. Сохраните правило и включите туннель. Название страны в профиле помогает различать подключения, но само по себе страну не меняет: важен адрес сервера внутри файла.

На 4.8 используется прежняя схема: Global Mode для всей сети либо Policy Mode для выбранных устройств. Для первого ноутбука настройте её так:

1. На VPN Dashboard переключите VPN Mode → Policy Mode и нажмите Apply.
2. В Primary Tunnel → From → Specified Devices выберите ноутбук.
3. В To укажите All Targets.
4. В Via → Use VPN выберите импортированный профиль WireGuard и примените настройки.
5. Через шестерёнку туннеля откройте Options, проверьте Kill Switch и IP Masquerading, затем включите туннель.

Эта последовательность соответствует руководству для 4.8. Переходить на другую прошивку посреди настройки необязательно.

Для обычного подключения к VPS оставьте IP Masquerading включённым. Сервер будет видеть трафик домашних устройств как трафик адреса роутера внутри туннеля. Отключение этой функции требует отдельной настройки обратных маршрутов и не делает соединение быстрее само по себе.

Зелёный индикатор — начало проверки

Первый полезный признак — установленное соединение и растущие счётчики при загрузке страницы. Следующая проверка проводится на ноутбуке за роутером, а не только в панели GL.iNet. Именно ноутбук должен получить нужный маршрут.

Откройте сайт проверки внешнего IP. IPv4 должен совпасть с выходным адресом VPS. Географическая подпись сайта может запаздывать после обновления баз, поэтому сравнение самого адреса важнее нарисованного флага. Затем откройте рабочие сервисы: страницу входа, загрузку файлов, длинный ответ ИИ. Успешная загрузка главной страницы ещё не проверяет все соединения приложения.

Посмотрите и IPv6. Если проверка показывает домашний IPv6 наряду с адресом VPS, часть запросов способна обходить IPv4-туннель. Для первоначальной схемы с сервером только IPv4 можно отключить выдачу IPv6 защищаемой сети в настройках роутера, переподключить клиентов и повторить проверку. Если IPv6 нужен, настройте его полноценное прохождение через VPN вместо временного отключения.

Отдельно проверьте DNS. Профиль может задавать нужный резолвер, но браузер с собственным защищённым DNS или установленный AdGuard Home способен использовать другую схему. Не меняйте одновременно три настройки: сначала проверьте обычный системный DNS, затем возвращайте дополнительные фильтры по одному. На сервере и клиентах должно быть понятно, кто разрешает имена и по какому маршруту идёт запрос.

Что произойдёт, если сервер исчезнет

В параметрах туннеля включите Kill Switch, если выбранные устройства не должны автоматически возвращаться к провайдеру при аварии. В 4.9+ общий запрет называется Enhanced Kill Switch и блокирует также трафик, которому не назначен туннель. В 4.8 Policy Mode аналогичный общий запрет задаётся отключением All Other Traffic. Для первого опыта с одним ноутбуком ограничивать всю семью не требуется. Общий запрет не заменяет проверку Kill Switch самого туннеля; назначение защиты объясняется в документации GL.iNet.

Проверьте защиту практически: заранее откройте консоль своего тестового VPS или обеспечьте другой доступ к управлению, не зависящий от этого VPN. Затем кратковременно остановите на нём WireGuard, оставив клиентский профиль и правило маршрутизации на роутере включёнными. Если сервер общий, согласуйте проверку с его администратором. Новые внешние соединения защищённого ноутбука должны перестать открываться. После запуска службы доступ должен восстановиться. Ручное отключение профиля или удаление правила не равнозначно аварии: этим вы можете сами разрешить устройству другой маршрут.

Когда всё работает, расширьте правило на остальные устройства. Для телевизоров, касс и рабочих компьютеров решение принимайте отдельно: не каждому устройству полезно выходить через зарубежный адрес. Проверяйте также, не изменился ли идентификатор телефона из-за функции частного адреса Wi-Fi.

Если что-то не взлетело и как вернуться назад

Нет соединения — сверяйте endpoint, порт, ключи и доступность сервера. Соединение есть, но IP прежний — ищите несовпадение выбранного устройства и правила. IP изменился, но сайты зависают — проверяйте DNS, затем MTU, сохраняя исходные значения и меняя один параметр за раз. Не начинайте диагностику с переустановки VPS: это слишком крупный молоток для большинства домашних гвоздей.

Для отката отключите назначение устройства в правиле VPN, проверьте обычный доступ и лишь затем остановите профиль. Если был включён общий запрет трафика вне VPN, верните соответствующее разрешение. Удалять настройки Wi-Fi и сбрасывать весь роутер не нужно.

Сохраните рабочую конфигурацию, подпишите профиль и запишите, какие устройства используют туннель. Хорошо настроенный домашний VPN интересен ровно один вечер — тот, когда его настраивают. Дальше он должен просто работать, пока владелец занят более увлекательными вещами, чем счётчик переданных пакетов.