WireGuard на TP-Link Deco: VPN для дома, в котором больше одной комнаты

MAATRIX · Обновлено 22 октября 2026 · 6 мин чтения

Ноутбук переезжает с письменного стола на кухню, телефон — с дивана на балкон, а видеозвонок почему-то должен пережить все эти путешествия. Ради этого и покупают Mesh: несколько аккуратных коробочек создают одну домашнюю сеть. Следующий естественный шаг — дать нужным устройствам общий VPN, чтобы при переходе между комнатами не вспоминать ещё и о кнопке подключения.

У Deco эта задача решается через VPN-клиент главного узла. Но сначала нужно разобраться с моделью и прошивкой. Надпись AX3000 описывает класс беспроводной сети; она не выдаёт роутеру диплом специалиста по WireGuard. Два одинаково названных Deco могут получить нужную функцию в разное время.

Проверяем именно свой Deco

Откройте приложение Deco и запишите модель главного узла, аппаратную версию и установленную прошивку. Аппаратный индекс также указан на наклейке. Для загрузки обновления используйте региональную страницу поддержки, соответствующую вашему устройству.

На 22 октября 2026 года есть следующие подтверждённые примеры:

Это примеры совместимости, а не предложение устанавливать старый выпуск. Для BE65 другой ревизии, XE75 другого региона и остальных Deco отдельно проверяйте свою страницу поддержки. Не переносите прошивку с V1 на V1.3: похожие цифры здесь не означают взаимозаменяемость.

После обновления проверьте наличие WireGuard именно среди VPN Client. VPN Server нужен для входа в домашнюю сеть извне. В смешанном Mesh набор возможностей может зависеть от состава сети, поэтому важен результат проверки вашей системы, а не только описание одного узла в магазине.

Главный узел должен быть маршрутизатором

Посмотрите More → Advanced → Operation Mode. Для рассматриваемой настройки нужен Router Mode. В режиме Access Point Deco передаёт работу шлюза другому устройству, а VPN Server/Client в официальной таблице режимов недоступен. Сравнение режимов TP-Link.

Не переключайте режим просто ради появления пункта меню, пока не записали параметры интернета: PPPoE, VLAN и особенности подключения провайдера. Если перед Deco уже стоит рабочий маршрутизатор, сначала решите, кто будет главным. Два администратора одной сети иногда уживаются; два непонятно настроенных DHCP-сервера — значительно хуже.

Начните с одного ноутбука, подключённого к Deco. Запишите его обычный внешний IPv4. Остальные домашние устройства пока не меняем: хороший эксперимент должен затрагивать участника эксперимента, а не человека, который в соседней комнате сдаёт экзамен онлайн.

Получаем отдельный профиль WireGuard

Нужен клиентский файл .conf с адресом вашего VPS, ключами и адресом внутри туннеля. В MAATRIX можно заказать сервер с установленным WireGuard, дождаться завершения установки и скачать конфигурацию. Сервер в США, Великобритании или Франции задаёт соответствующую точку выхода; сам Deco остаётся дома.

Для роутера используйте отдельный профиль. Не запускайте его одновременно в приложении телефона: WireGuard будет получать сообщения от одного ключа с разных адресов. Телефоны, просто подключённые к Wi-Fi Deco, отдельных профилей не требуют — их трафик передаёт сам роутер.

Сохраните оригинал файла и отдельную копию для импорта. Приватный ключ внутри — секрет. Название вроде deco-home-fr.conf помогает ориентироваться, но страну определяет Endpoint, а не имя файла.

Подключаем сервер через приложение

Откройте актуальное приложение Deco под аккаунтом владельца сети. В современных версиях путь начинается с More → VPN → VPN Client; в прежних интерфейсах — More → Advanced → VPN Client. Разница расположения не меняет роль подключения.

1. Включите VPN Client и нажмите Add VPN Server.
2. Если приложение предлагает готовых провайдеров, выберите Custom.
3. Укажите WireGuard VPN, затем импорт конфигурационного файла.
4. Загрузите клиентский .conf, проверьте адрес сервера и сохраните профиль.
5. В Access Permission выберите Client List.
6. Добавьте в список тестовый ноутбук и включите сохранённое подключение.

Кнопка Add VPN Server в клиентском разделе добавляет удалённый сервер в список подключений. Она не означает, что Deco внезапно стал сервером. Актуальное расположение меню показано в руководстве приложения.

Если приложение не принимает конфигурацию

TP-Link отдельно предупреждает: некоторые версии импортёра понимают лишь ограниченный набор параметров WireGuard. Проблему могут вызывать IPv6-адреса, MTU и дополнительные строки. Это ограничение конкретной реализации, а не неисправность VPS. Описание импортёра Deco.

Работайте только с копией. Для сервера с IPv4 можно оставить IPv4-адрес интерфейса, DNS, ключи, Endpoint и IPv4-маршрут 0.0.0.0/0. Если импорт отвергает MTU, удаляйте эту строку только с пониманием, что роутер выберет своё значение. PresharedKey, когда он выдан сервером, нельзя выбрасывать как «лишний пароль».

Файл AmneziaWG не превращается в WireGuard после удаления неизвестных полей. Если именно он оказался у вас, нужен другой совместимый клиент или отдельный обычный WireGuard-сервер. Здесь полезнее остановиться на минуту, чем потратить вечер на дипломатические переговоры между разными протоколами.

Обходим комнаты, а не проверки

Дождитесь подключения и откройте проверку IP на выбранном ноутбуке. Должен появиться выходной IPv4 VPS. Затем перейдите к соседнему узлу Mesh и повторите обычную рабочую задачу. Туннель обслуживает главный шлюз; перестановка ноутбука не требует отдельного VPN на каждом спутнике.

Если после переподключения IP стал домашним, сверьте устройство в Client List. Частный MAC-адрес телефона или повторная регистрация клиента могут создать новую запись. Список разрешённых устройств точен ровно настолько, насколько точно выбраны его участники.

Если рядом с главным узлом всё работает, а возле спутника загрузки останавливаются, сначала проверьте качество связи между узлами. Для сравнения подключите ноутбук кабелем к главному Deco. VPN добавляет ещё один участок пути, но не отменяет стены, перегруженный радиоэфир и неудачное расположение спутника за металлическим шкафом.

Проверьте DNS: сайты должны открываться по именам, а запросы — идти по ожидаемому пути. Сначала используйте DNS из профиля, если прошивка его принимает. Если требуется диагностика, временно задайте тестовому ноутбуку известный IPv4-резолвер и повторите проверку. Не меняйте DNS всей семьи, чтобы проверить один компьютер. Где находятся общесетевые настройки, поясняет инструкция TP-Link.

Для IPv4-профиля отдельно проверьте IPv6. При отсутствии IPv6 через VPN отключите его в More → Internet Connection → IPv6, переподключите клиентов и повторите тест. В старых версиях меню находится в Advanced. Настройка затрагивает сеть шире одного ноутбука, поэтому заранее учитывайте остальные устройства. Раздел IPv6 в Deco.

Когда туннель оборвётся

Наличие WireGuard не доказывает наличие Kill Switch. Эта функция зависит от модели и выпуска. Если она есть в параметрах VPN Client, включите её для запрета прямого выхода и проверьте результат. Если её нет, не считайте соединение защищённым от автоматического возврата к провайдеру.

На своём тестовом VPS временно остановите WireGuard, сохранив клиентское правило Deco. Откройте новое соединение с ноутбука и посмотрите, что произошло: пропал доступ или появился домашний IP. После восстановления сервера повторите проверку. Отключение самого VPN в приложении — другой эксперимент: вы явно отменяете выбранную схему.

Для отмены настройки верните ноутбуку обычный доступ, снимите связанную блокировку и отключите профиль. После успешного теста добавляйте остальные устройства небольшими группами. Доступ к ИИ тоже проверяйте по-настоящему: вход, ответ, загрузка файла. Зарубежный IP не отменяет правила сервиса и условия аккаунта. Пусть Mesh делает дом удобнее, а не просто увеличивает число зелёных индикаторов.