WireGuard на TP-Link Archer AX55: как настроить VPN для домашних устройств

MAATRIX · 12 октября 2026

Пока дома один ноутбук, отдельное приложение VPN почти не доставляет хлопот. Потом появляются второй компьютер, планшет и телевизор, на который нужное приложение вообще не устанавливается. Настроить подключение на роутере оказывается удобнее: он берёт работу с VPN на себя, а вы выбираете, каким устройствам пользоваться этим соединением.

TP-Link Archer AX55 позволяет организовать такую схему, если установленная прошивка вашей аппаратной версии поддерживает WireGuard. Однако здесь есть несколько важных деталей: правильный файл конфигурации, список устройств и проверка того, куда действительно уходит трафик.

Основной сценарий этой статьи выглядит так:

Домашнее устройство → Archer AX55 → WireGuard-сервер → интернет.

В этой схеме Archer работает как VPN-клиент. Ближе к концу разберём и обратную задачу: как подключаться из поездки к домашней сети, используя роутер как VPN-сервер.

Поддерживает ли ваш Archer AX55 WireGuard

Прежде чем искать нужную кнопку, посмотрите на наклейку снизу роутера. Рядом с названием модели указана аппаратная версия — обычно после обозначения Ver:.

Это существенная деталь. Archer AX55 разных ревизий получает разные прошивки, а одинаковая надпись на коробке не гарантирует одинаковый набор функций.

Поддержка WireGuard подтверждена, например, для следующих вариантов:

Эти сведения приведены на страницах поддержки AX55 V1, AX55 V2 и в спецификации AX55 V4.

Поэтому встречающееся в старых обсуждениях утверждение «на AX55 V2 WireGuard не работает» уже нельзя считать универсальным.

Для своего экземпляра выполните три проверки:

1. Уточните аппаратную версию и регион устройства.
2. На соответствующей странице поддержки TP-Link проверьте доступные обновления и описание функций.
3. В интерфейсе роутера откройте создание VPN-профиля и убедитесь, что среди протоколов есть именно WireGuard.

Само наличие раздела VPN Client ещё ничего не говорит о поддержке конкретного протокола.

Перед обновлением сохраните резервную копию настроек. Используйте прошивку, предназначенную для вашей ревизии и региона; по возможности выполняйте обновление с компьютера, подключённого кабелем. Подменять региональную прошивку ради появления нужного пункта меню не стоит. TP-Link отдельно предупреждает о необходимости правильного выбора файла и о том, что некоторые обновления не допускают отката. Правила обновления TP-Link.

Дальнейшая инструкция рассчитана на штатную прошивку и работу AX55 в режиме роутера. В режиме точки доступа или дополнительного узла сети доступность настроек может отличаться.

Что подготовить перед настройкой

Вам понадобятся доступ к панели Archer AX55, работающий интернет и клиентский файл WireGuard с расширением .conf.

Если сервер уже есть или вы настраиваете его самостоятельно

Клиентский файл выдаёт VPN-провайдер или администратор вашего сервера. Если сервер принадлежит вам, создайте отдельное подключение для роутера. Подготовку серверной стороны мы разобрали в статье «Как установить и настроить WireGuard на VPS».

Роутер не создаёт удалённый сервер при импорте файла. На принимающей стороне уже должны работать WireGuard, необходимые правила межсетевого экрана и маршрутизация. Для выхода клиентов в интернет также нужен корректный обратный маршрут — в распространённой конфигурации VPS используется NAT.

Как выглядит конфигурация

Ниже — условный пример для понимания структуры. Импортировать нужно свой файл: приведённые ключи являются обозначениями, а адрес сервера — демонстрационным.

[Interface]
PrivateKey = <приватный_ключ_роутера>
Address = 10.66.0.2/32
DNS = 10.66.0.1

[Peer]
PublicKey = <публичный_ключ_сервера>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0

Здесь:

• PrivateKey — секретный ключ этого клиента;
• Address — адрес роутера внутри VPN;
• DNS — адрес DNS-сервера, который будет использоваться для разрешения имён;
• PublicKey — открытый ключ удалённой стороны;
• Endpoint — доступный адрес WireGuard-сервера и его UDP-порт;
• AllowedIPs — адреса, разрешённые для обмена через этого участника соединения.

В примере предполагается, что на 10.66.0.1 действительно работает доступная DNS-служба. Само наличие WireGuard на сервере её не создаёт. Используйте DNS из своей рабочей конфигурации.

Запись 0.0.0.0/0 охватывает все адреса IPv4. Она не включает IPv6 и сама по себе не выбирает домашние устройства, которые будут пользоваться туннелем. Роль AllowedIPs подробнее описана в документации WireGuard.

Почему готовый файл иногда не импортируется

В инструкции TP-Link для AX55 отмечено, что импорт поддерживает ограниченный набор параметров: адреса IPv6 и строка MTU могут потребовать удаления из копии файла. Лучше получить у администратора совместимый профиль IPv4. При самостоятельном редактировании сохраняйте исходник и не удаляйте необходимые ключи, включая PresharedKey, если он используется. Ограничения импорта TP-Link.

Удаление IPv6 из конфигурации не отключает IPv6 в домашней сети. К этому мы ещё вернёмся при проверке подключения.

Файл .conf содержит секретный ключ. Обращайтесь с ним как с паролем: не выкладывайте целиком на форум и не отправляйте в случайные онлайн-сервисы «проверки конфигурации».

Настраиваем WireGuard-клиент на Archer AX55

Начните с одного компьютера. Когда VPN заработает на нём, добавить остальные устройства будет проще. Так домашний интернет не станет коллективным экспериментом с участием всех членов семьи.

Открываем панель управления

Подключитесь к сети Archer AX55 и откройте в браузере tplinkwifi.net. Можно использовать локальный адрес роутера — часто это 192.168.0.1, но в вашей сети он мог быть изменён.

Если адрес неизвестен, посмотрите значение основного шлюза в свойствах сетевого подключения компьютера.

Войдите с паролем администратора. Это может быть отдельный пароль, который не совпадает с паролем Wi-Fi.

Добавляем профиль WireGuard

В английском интерфейсе путь выглядит так: Advanced → VPN Client. В русской локализации названия соответствуют дополнительным настройкам и VPN-клиенту.

1. Включите VPN Client и сохраните изменение.
2. В блоке Server List нажмите Add.
3. Задайте понятное имя, например MAATRIX-WireGuard.
4. В поле VPN Type выберите WireGuard.
5. Через Browse загрузите свой .conf и сохраните профиль.
6. Включите созданную запись в списке серверов.

Этот порядок описан в официальной инструкции для Archer AX55.

Название Server List иногда сбивает с толку: здесь вы добавляете адрес удалённого сервера, к которому подключается роутер. Сам AX55 продолжает работать клиентом.

Выбираем устройства

Теперь найдите Device List — список устройств. Добавьте тестовый компьютер и включите для него VPN Access.

Это отдельный обязательный шаг. Импортированный профиль ещё не означает, что через него работает вся домашняя сеть. В описанной TP-Link схеме VPN используют выбранные устройства, остальные сохраняют обычное подключение. Настройка списка устройств.

Если нужный телефон не появился в списке, сначала подключите его к Wi-Fi этого роутера. При использовании случайного MAC-адреса убедитесь, что выбрали актуальную запись устройства.

Сохраните настройки и откройте на тестовом компьютере новую страницу. После успешной проверки добавьте телевизор, планшет и другие устройства, которым нужен VPN.

Проверяем IP-адрес, DNS и поведение при обрыве

Надпись «Подключено» приятна, но она ещё не отвечает на главный вопрос: каким путём компьютер выходит в интернет.

Проверяем внешний адрес

До включения VPN запишите внешний IPv4-адрес тестового устройства. После подключения повторите проверку.

При полном выходе через VPN должен отображаться адрес удалённого выхода. На обычном VPS он часто совпадает с публичным адресом самого сервера; в более сложной инфраструктуре может использоваться другой адрес.

На время проверки отключите VPN-приложение и прокси на самом компьютере, если они включены. Иначе будет трудно понять, какое подключение вы измеряете.

На телефоне также выключите мобильную передачу данных: некоторые устройства незаметно переходят на неё, когда Wi-Fi перестаёт давать доступ в интернет.

Не забываем про IPv6

Устройство может одновременно пользоваться IPv4 и IPv6. Поэтому сменившийся IPv4-адрес не доказывает, что весь интернет-трафик проходит через VPN.

Проверьте обе версии протокола. Если IPv4 принадлежит VPN-серверу, а доступный IPv6 — домашнему провайдеру, часть соединений может обходить туннель.

Если требуется выход исключительно через VPN, настройка должна учитывать оба протокола. Когда прошивка не позволяет организовать нужный туннель IPv6, можно отключить IPv6 на выбранном устройстве или соответствующем сегменте сети, предварительно оценив влияние на другие сервисы.

Просто удалить ::/0 из файла и считать вопрос решённым нельзя.

Проверяем DNS

DNS определяет, к какому IP-адресу обращаться по имени сайта. Если туннель работает, но сайты не открываются по именам, проверьте доступность DNS, указанного в профиле.

Учитывайте также собственные настройки браузера и операционной системы: они могут использовать другой резолвер, в том числе через защищённый DNS.

Тест DNS помогает увидеть, какие серверы отвечают на запросы. Однако страна или название резолвера сами по себе не доказывают, каким маршрутом прошёл запрос. Не стоит оценивать всю настройку по одному флажку в результатах проверки.

Проверяем отключение VPN

Переключатель VPN Access не следует считать гарантией блокировки интернета при отказе туннеля. Возможность такой блокировки — Kill Switch — нужно проверять для конкретной прошивки. Нельзя переносить сведения о функциях Archer AX55 Pro на обычный AX55.

Для проверки оставьте подключение провайдера работающим и создайте ситуацию, когда удалённый VPN-сервер недоступен. Если сервер ваш, временно остановите WireGuard, сохранив возможность восстановить его через независимый доступ.

Попробуйте открыть новые страницы и проверить внешний адрес:

• если интернет продолжает работать с адресом провайдера, устройство вышло в сеть напрямую;
• если новые соединения прекратились, в этом сценарии прямой выход не произошёл.

После теста восстановите сервер. Отдельно проверьте поведение при ручном отключении VPN-профиля: оно может отличаться от реакции на отказ удалённой стороны.

Что делать, если WireGuard на AX55 не работает

Начинайте с наблюдаемого симптома. Одновременная замена ключей, DNS, порта и ещё трёх параметров обычно превращает диагностику в лотерею.

В списке протоколов нет WireGuard

Проверьте аппаратную ревизию, регион, установленную прошивку и режим работы роутера. Наличие OpenVPN или общего раздела VPN Client не подтверждает поддержку WireGuard.

Если подходящее обновление установлено, а нужного пункта нет, уточните поддержку у TP-Link, указав полное обозначение модели и версию прошивки.

Файл не загружается

Убедитесь, что это клиентский файл WireGuard, а не серверный конфиг или профиль другого протокола. Проверьте расширение: текстовый редактор мог сохранить его как router.conf.txt.

Далее проверьте ограничения импорта, описанные выше. Не превращайте файл в набор случайно оставленных строк: если назначение параметра непонятно, запросите совместимый профиль у администратора.

Подключение остаётся в состоянии Connecting

Проверьте адрес Endpoint, UDP-порт, ключи и доступность сервера. Порт должен совпадать с настройкой принимающей стороны и быть разрешён её межсетевым экраном.

Для сравнения попробуйте подключиться с компьютера через официальный клиент WireGuard, предварительно отключив этот же профиль на роутере. Такой способ помогает отделить проблему файла или сервера от особенности AX55; его рекомендует и поддержка TP-Link.

Если есть доступ к Linux-серверу, команда:

sudo wg show

покажет состояние WireGuard. После попытки передать трафик найдите нужного участника соединения, время последнего рукопожатия — latest handshake — и счётчики передачи. Команда описана в руководстве WireGuard.

Подключение установлено, но интернета нет

Сначала убедитесь, что компьютер добавлен в Device List и для него включён VPN Access.

Затем проверьте DNS и конфигурацию сервера: пересылку пакетов, правила межсетевого экрана, NAT или обратные маршруты. Успешное рукопожатие подтверждает обмен между участниками WireGuard, но не гарантирует доступность интернета за сервером.

Открываются не все сайты или зависают загрузки

Одна из возможных причин — размер пакетов, то есть MTU. Но если импортёр вашей прошивки не принимает строку MTU, многократное добавление этой строки проблему не решит.

Сравните работу того же сервера через обычный WireGuard-клиент и уточните доступные способы настройки MTU для вашей прошивки. Меняйте по одному параметру и повторяйте один и тот же тест.

Скорость оказалась ниже ожидаемой

Сравнивайте результаты на одном компьютере, желательно по кабелю, с одним тестовым сервером и в близкое время.

На результат влияют процессор роутера, Wi-Fi, маршрут, загрузка VPN-сервера и другие устройства в сети. Обозначение AX3000 относится к классу беспроводной связи и не обещает такую скорость шифрованного туннеля.

Как использовать Archer AX55 в качестве WireGuard-сервера

Этот вариант нужен, если вы хотите подключаться к домашней сети из поездки: например, открывать файлы на NAS или работать с домашним компьютером.

Схема получается обратной:

Телефон или ноутбук вне дома → интернет → Archer AX55 → домашняя сеть.

На поддерживаемой прошивке откройте Advanced → VPN Server → WireGuard и включите сервер. Создайте отдельный профиль для удалённого устройства, затем экспортируйте файл конфигурации или отсканируйте QR-код приложением WireGuard. Для нескольких одновременно подключённых клиентов создавайте отдельные профили. Инструкция TP-Link для AX55.

В настройке Client Access выберите назначение соединения: Home Network Only для доступа домой или Internet and Home Network, если нужен также выход в интернет через домашнее подключение. Описание режимов TP-Link.

Теперь проверьте доступность роутера извне. В обычной схеме входящего подключения нужен публично доступный адрес и разрешённый UDP-порт.

Если перед AX55 установлен ещё один ваш роутер, потребуется перенаправить на Archer соответствующий UDP-порт. В экспортированном профиле должен быть указан внешний адрес или доменное имя, по которому домашняя сеть действительно доступна. Настройка перенаправления порта.

При CGNAT провайдера одного правила на домашнем роутере недостаточно. DDNS тоже не устраняет CGNAT: он помогает связать доменное имя с меняющимся адресом, но не создаёт входящий доступ. В такой ситуации потребуется публичный адрес от провайдера либо другая схема с промежуточным доступным сервером.

Проверяйте подключение с телефона через мобильную сеть, отключив Wi-Fi. Если проверять из той же домашней сети, можно не заметить проблему внешнего доступа.

Частые вопросы

Нужен ли публичный IP-адрес дома, если AX55 подключается к WireGuard на VPS?

Обычно нет: роутер сам устанавливает исходящее соединение с доступным сервером. Это отличается от сценария, в котором домашний Archer должен принимать подключения извне.

Нужно ли создавать отдельный WireGuard-профиль для каждого телевизора и компьютера за роутером?

В описанной схеме VPN-клиентом является сам AX55, а нужные домашние устройства выбираются в его настройках. Если телефон должен самостоятельно подключаться к тому же серверу вне дома, создайте для него отдельный профиль.

Можно ли одновременно включить один файл на телефоне и на роутере?

Так делать не следует. Сервер идентифицирует участника соединения по ключу и обновляет адрес, с которого приходят его пакеты. При использовании одной идентичности двумя независимыми клиентами возможны перебои. Отдельные ключи и адреса избавляют от этого конфликта. Механизм смены адреса описан в разделе WireGuard о roaming.

Можно ли направить через VPN только выбранные устройства?

Да, для этого предназначен список устройств с включённым VPN Access. После настройки проверяйте внешний адрес именно на выбранном устройстве.

Можно ли таким же способом выбрать только отдельные сайты?

Выбор устройств и выбор сайтов — разные задачи. Описанная настройка не создаёт правила по доменным именам. Наличие такой возможности нужно отдельно проверять в прошивке; один статический IP-маршрут не всегда подходит для сайта, использующего много меняющихся адресов.

Как вернуть обычное подключение?

Зайдите в панель роутера по локальному адресу и отключите VPN Access для тестового устройства. При необходимости отключите VPN-профиль. Если отдельно меняли DNS или IPv6, верните подходящие настройки. Сбрасывать роутер к заводским параметрам для этого обычно не требуется.

Когда проверка завершена, сохраните резервную копию настроек и подпишите профиль понятным именем. Через несколько месяцев надпись «домашний роутер — основной сервер» окажется гораздо полезнее, чем загадочное test-final-2.