WireGuard на Tenda AX12 Pro V3.0: подключаем дом к своему VPS

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

У роутера есть редкое преимущество перед остальными домашними устройствами: он всегда на посту. Ноутбук закрыли, телевизор выключили, телефон ушёл с хозяином на улицу — а маленькая коробка продолжает разбирать пакеты. Поэтому именно ей удобно поручить подключение к VPN, если особый маршрут нужен нескольким устройствам.

У Tenda AX12 Pro такая возможность зависит от аппаратной версии. Здесь мы разберём AX12 Pro V3.0 со штатной прошивкой: загрузим WireGuard-профиль, подключимся к VPS и проверим, куда действительно отправляется трафик. Зеленеющая надпись Connected будет промежуточным результатом, а не торжественным открытием нового интернета.

Начинаем с наклейки, а не с файла конфигурации

Проверьте полное название и ревизию на корпусе. AX12 Pro V3.0, RX12 Pro и другие похожие Tenda нельзя считать одним устройством. Производитель подтверждает VPN-функции для нужной ревизии на странице AX12 Pro V3, а работу WireGuard-клиента показывает в официальном руководстве, раздел 8.3.

Инструкция сверена с этими материалами 22 октября 2026 года. Названия меню приводим для веб-панели; перевод может отличаться. Минимальный номер прошивки для этой функции в руководстве не указан. Если нужного режима нет, проверьте обновления именно своей аппаратной и региональной версии через More → System Settings → Firmware Upgrade. Прошивка от похожего роутера не становится подходящей от силы желания.

Есть важное ограничение: в проверенном руководстве не описаны выбор отдельных домашних клиентов для VPN и kill switch. Поэтому мы не обещаем переключатель «только телевизор» или гарантированную блокировку прямого интернета при сбое. Для первого опыта выберите свободное время либо отдельный тестовый роутер: изменение маршрута может затронуть другие устройства за Tenda.

Один конец туннеля остаётся дома, другой нужен в интернете

В этой схеме Tenda — WireGuard-клиент, а VPS — сервер с выходом в интернет. Он должен принимать подключение, пересылать клиентские пакеты и обеспечивать обратный путь ответов. Обычно для этого на VPS настраивают IP forwarding, firewall и NAT. Рабочий WireGuard без этих частей может связать два адреса, но не открыть через них сайты.

Чтобы не собирать серверную часть вручную, можно заказать VPS MAATRIX с готовым WireGuard в США, Великобритании или Франции. После подготовки сервера получите клиентский .conf для роутера. Для самостоятельной установки есть руководство по WireGuard на VPS.

Выдавайте роутеру отдельный профиль. Не запускайте одну и ту же конфигурацию одновременно на Tenda и телефоне вне дома: сервер может начать отправлять ответы то одному, то другому. Это не семейная подписка, а одна сетевая личность, которая неожиданно оказалась в двух местах.

Понадобится именно обычный WireGuard. Наличие этого клиента не подтверждает совместимость с AmneziaWG и его дополнительными параметрами. Название приложения, в котором подготовлен файл, тоже не заменяет проверку протокола.

Оставляем себе вход в панель

Подключите компьютер к Tenda, желательно кабелем, и откройте tendawifi.com либо фактический адрес домашнего шлюза. Войдите паролем управления роутером. Этот пароль не имеет отношения к ключам WireGuard.

Сделайте три приготовления:

1. В More → System Settings → Backup & Restore нажмите Backup и сохраните конфигурацию отдельно от клиентского .conf.
2. Запишите исходный внешний IPv4, состояние IPv6 и настройки DNS. Это контрольная точка для проверки и возврата.
3. Убедитесь, что домашняя подсеть не пересекается с адресами VPN. Одинаковые диапазоны по разные стороны туннеля создают неоднозначные маршруты.

На тестовом компьютере отключите собственный VPN и прокси. Если проверяете телефоном, временно отключите мобильный интернет. Иначе телефон может открыть сайт через сотовую сеть и невольно стать соавтором убедительного, но неверного отчёта.

Загружаем `.conf` в Tenda

Откройте More → VPN → VPN Client. Это клиентский раздел; VPN Server нужен для другой задачи — подключаться извне к вашей домашней сети.

1. Включите VPN Client и нажмите Add.
2. В Description задайте понятное имя, например MAATRIX-US-WG.
3. Выберите WireGuard в VPN Type.
4. В области Import from Config File нажмите Select File и загрузите подготовленный .conf.
5. Проверьте заполненные поля и нажмите OK.
6. В Server List включите правило переключателем Enable. Дождитесь состояния Connected.

Не нажимайте Renew Key после импорта просто для порядка. Новый приватный ключ изменит идентичность клиента, а сервер продолжит ждать прежний публичный ключ. Если ключи действительно нужно заменить, согласованно обновляют обе стороны.

В форме Tenda отдельно показывает параметры Interface и Peer: адрес интерфейса, приватный ключ, DNS, а у удалённой стороны — публичный ключ, Allowed IPs, Endpoint Address и Endpoint Port. Сверяйте их с выданным профилем, а не с цифрами на иллюстрациях производителя. Listen Port — локальный порт клиента; его нельзя автоматически приравнивать к порту VPS.

Как понять, что весь IPv4 пошёл через сервер

Для полного IPv4-маршрута руководство Tenda рекомендует Allowed IPs: 0.0.0.0/0. Это все IPv4-направления внутри данной схемы маршрутизации, а не список разрешённых домашних устройств. Если здесь только удалённая подсеть, остальной интернет может продолжать идти через провайдера.

После подключения откройте проверку внешнего IPv4 с компьютера за Tenda. Он должен совпасть с ожидаемым адресом выхода VPS. Одновременно проверьте обычный сайт, загрузку файла и доступ к домашней панели. Если адрес провайдера остался прежним, выясните, служит ли Tenda шлюзом для этого компьютера и применился ли полный маршрут. Работа в режиме простой точки доступа — отдельная история: там шлюзом может быть другое устройство.

Для ИИ-сервиса проверьте не только главную страницу, но и вход, отправку запроса, нужную вам функцию. Локация VPS меняет сетевой путь; доступность конкретного сервиса также зависит от аккаунта и его правил. Подписка в туннеле сама не возникает.

DNS, IPv6 и исчезнувший сервер

Если внешний адрес изменился, а сайты по именам не открываются, проверьте DNS Server в профиле. Адрес должен быть доступен через новую схему. Команда nslookup example.com на компьютере поможет отличить сбой разрешения имён от общей потери интернета. Ответ домашнего шлюза нормален, если он работает DNS-посредником, но не показывает дальнейший путь запроса. Для этого нужна отдельная проверка DNS; браузерный защищённый DNS тоже учитывайте.

IPv6 проверяют самостоятельно. Маршрут 0.0.0.0/0 его не охватывает. Если VPS и профиль обслуживают только IPv4, а вам нужен выход строго через VPN, временно выключите IPv6 в More → IPv6, сохранив прежние настройки. После применения переподключите тестовый компьютер и убедитесь, что прямого IPv6 больше нет. Добавлять ::/0 без настроенной серверной поддержки недостаточно.

Теперь проверьте настоящий обрыв: кратковременно сделайте недоступным только WireGuard-сервис на своём VPS, сохранив административный доступ и возможность вернуть его. Если не управляете серверной частью, согласуйте такой тест с поддержкой. При сохранённом включённом клиенте попробуйте открыть новое соединение и посмотреть внешний адрес.

Если появился адрес провайдера, прошивка вернула прямой маршрут. Документированного kill switch для этой модели мы не нашли, поэтому обещать блокировку нельзя. Для задачи, где прямой выход недопустим, потребуется шлюз с подтверждённой блокирующей политикой либо другая проверенная схема. Простое выключение клиента в панели не заменяет испытание обрыва: это сознательная смена режима.

Если Connected так и не появился

Проверьте доступность VPS, UDP-порт, Endpoint и соответствие ключей. При работе через домашний NAT может понадобиться Persistent Keepalive; в документации WireGuard приводится интервал 25 секунд как подходящий для многих таких случаев. Это параметр по необходимости, а не обязательная приправа к каждому профилю.

Если связь есть, но часть загрузок зависает, исследуйте MTU вместе с маршрутом. Не меняйте одновременно DNS, порт и MTU: иначе даже удачный результат не объяснит, что именно помогло. Журнал можно сохранить через More → System Settings → System Log → Export to Local до перезагрузки, которая очищает предыдущие события.

Возвращение домой

Чтобы отменить эксперимент, локально откройте VPN Client, выключите правило в Server List, затем сам клиент. Верните изменённые DNS и IPv6 и проверьте исходный внешний адрес. Если нужно восстановить сохранённую конфигурацию, используйте Restore в Backup & Restore; заводской сброс для удаления одного профиля обычно не нужен.

Рабочее состояние сохраните отдельной копией и проверьте после перезапуска роутера. Для другого протокола есть инструкция OpenVPN на этом Tenda, а сравнить возможности домашних шлюзов можно в каталоге роутеров для VPN. Хорошая настройка заканчивается не красивым скриншотом, а понятным поведением сети в обычный день и в день маленькой аварии.