WireGuard на UniFi Gateway: отправляем рабочие устройства через свой VPS

MAATRIX · Обновлено 22 октября 2026 · 7 мин чтения

В небольшом офисе VPN обычно появляется с просьбы: «Сделайте, чтобы у отдела работал нужный сервис». Через десять минут выясняется, что бухгалтерии нужен прежний интернет, дизайнеры загружают большие файлы, телевизор в переговорной живёт своей жизнью, а директор не хотел менять вообще ничего, кроме одной кнопки. Здесь UniFi особенно полезен: можно выбрать устройства и сети, которым нужен отдельный маршрут.

Настроим WireGuard-клиент на совместимом UniFi Gateway, подключим его к собственному VPS и проверим весь путь от рабочего ноутбука до интернета. Главная особенность этого сценария проста: установить VPN-соединение и направить в него пользовательский трафик — две отдельные операции. Зелёный статус ещё не означает, что офис переехал в другую локацию.

Подготовим небольшой участок сети

Официальный клиент WireGuard предусмотрен для Next-Gen UniFi Gateway и UniFi Cloud Gateway. Проверяйте конкретную модель и её установленное ПО; это руководство не распространяется автоматически на старый USG, EdgeRouter или точку доступа UniFi без шлюза. Требования перечислены в документации Ubiquiti.

Шлюз должен действительно маршрутизировать трафик выбранного ноутбука. Если в сети роль шлюза выполняет другое устройство, настройки в красивой панели UniFi не приобретут силу закона для всех пакетов. Убедитесь также, что у вас есть административный доступ и резервная копия конфигурации.

Для первого запуска выберите один компьютер. Запишите его имя, адрес и текущий внешний IPv4. Желательно закрепить DHCP-адрес и проверить, что выбран именно этот клиент. Для устройства с частным MAC-адресом Wi-Fi ориентируйтесь на идентификатор текущей сети: похожие имена в списке не всегда означают один и тот же объект.

Не начинайте со всей офисной сети и удалённого рабочего места одновременно. Подключайтесь из локальной сети и держите доступ к панели открытым. Тогда неудачная политика затронет тестовый ноутбук, а не превратит понедельник в командное упражнение по восстановлению связи.

Клиентский профиль должен принадлежать шлюзу

Подготовьте отдельный файл WireGuard .conf, выданный для UniFi. Он содержит закрытый ключ клиента, его туннельный адрес, открытый ключ сервера и Endpoint. Если есть дополнительный PresharedKey, он тоже должен сохраниться. Профиль AmneziaWG не считается обычным WireGuard-профилем: сходство названий не обеспечивает совместимость штатного клиента.

Для полного выхода выбранного компьютера через IPv4-сервер в профиле обычно указан диапазон 0.0.0.0/0. Это разрешённые адреса внутри туннеля, но правило UniFi, выбирающее сам компьютер, всё равно понадобится. Не подменяйте внешний адрес сервера его внутренним VPN-адресом: Endpoint должен быть доступен через обычный интернет.

Один профиль не следует одновременно запускать на UniFi и независимом телефоне. У WireGuard один ключ обозначает одного участника, а его актуальная точка подключения может меняться. Для каждого самостоятельного клиента создавайте отдельного peer. Внутри сети за UniFi устройств при этом может быть много: они пользуются маршрутом через шлюз.

Готовую серверную часть можно получить как VPS MAATRIX с WireGuard. Доступные США, UK и FR позволяют выбрать нужную точку выхода. Перед переносом отдела проверьте конкретные рабочие приложения: зарубежный IP помогает построить маршрут, но не отменяет правила сервиса, ограничения аккаунта или требования к оплате.

Подключаем шлюз, затем назначаем ему работу

В UniFi Network откройте Settings → VPN → VPN Client. Создайте WireGuard-клиент, задайте понятное имя, загрузите конфигурацию и примените изменения. Если интерфейс предлагает ручной ввод, импорт файла обычно уменьшает риск перепутать ключи. После сохранения дождитесь установленного соединения. Официальное описание импорта доступно в руководстве по клиенту.

Следующий шаг — правило маршрутизации. В Network 9.4 путь: Settings → Policy Table → Create New Policy → Route. В 9.3: Settings → Policy Engine → Policy-Based Routes → Create Route. Выберите интерфейс созданного VPN, источником назначьте тестовый ноутбук, назначением — Any. Версионные пути и поведение правил приведены у Ubiquiti.

Назовите правило по смыслу, например Design-laptop-via-UK, и сохраните. Если уже действуют другие политики для этого устройства, проверьте пересечения и приоритеты. Два спорящих указателя хуже одного отсутствующего: соединение может быть исправно, а результат зависеть от более общего старого правила.

Для начала не ограничивайте маршрут одним доменом ИИ-сервиса. Авторизация, API, загрузка файлов и потоковые ответы способны обращаться к разным именам. Целый тестовый компьютер даёт понятную проверяемую схему. Позже, когда она заработает, можно решать, оправдана ли более тонкая разбивка.

Проверка проходит за рабочим столом

Вернитесь к ноутбуку и откройте проверку внешнего IPv4. Он должен совпасть с выходным адресом VPS. Проверка из терминала самого шлюза отвечает на другой вопрос: маршрут системного трафика UniFi может отличаться от политики для клиента.

Затем выполните обычный рабочий сценарий. Для ИИ это вход, отправка запроса, продолжительный ответ, загрузка тестового документа без конфиденциальной информации. Для файлового сервиса — небольшая загрузка и скачивание. Не считайте единственную открывшуюся главную страницу доказательством готовности всей работы.

Параллельно убедитесь, что принтер, локальное хранилище и другие нужные ресурсы остаются доступны. Правила выхода в интернет не заменяют межсетевой экран и настройки доступа между VLAN. Если отделу нужна изоляция, проектируйте её отдельно: VPN — транспорт, а не пропускная система офиса.

Проверьте IPv6. При сервере только IPv4 домашний или офисный IPv6 не должен незаметно обходить требуемую схему. Для отдельной защищаемой сети можно временно отключить выдачу IPv6, переподключить клиентов и повторить тест. Если IPv6 необходим, сначала подтвердите его поддержку сервером, клиентом и политикой, затем проверяйте оба семейства адресов.

С DNS нужна такая же ясность. Установите, какой резолвер использует компьютер и куда уходят запросы. Встроенный защищённый DNS браузера способен отличаться от системного. Если позднее вводите правила по доменам, учитывайте требование UniFi использовать шлюз как DNS-сервер; иначе распознавание нужных назначений может не сработать. Для первого варианта с целым устройством избегайте лишних исключений.

Настоящий тест начинается при отказе

Решите заранее: при недоступности VPS компьютер должен вернуться к обычному провайдеру или потерять внешний доступ? Для второго поведения включите Kill Switch в правиле. При выключенной защите предусмотрен переход на другой разрешённый маршрут, поэтому обычный интернет может продолжить работать с прежним IP.

Проверяйте это на практике. На своём тестовом VPS временно остановите WireGuard, оставив политику UniFi включённой. Откройте новое соединение с ноутбука: при включённом Kill Switch внешний доступ должен прекратиться. Возобновите сервис и убедитесь в восстановлении. Удалять правило вместо имитации отказа неправильно: так вы сами меняете условия эксперимента.

В офисе с резервным WAN повторите проверку после переключения провайдера. Смысл не в том, чтобы устроить аварийную ночь, а в том, чтобы заранее узнать поведение системы. Запишите результат вместе с названием политики: работающий план восстановления ценнее воспоминания «мы вроде ставили галочку».

Расширяем настройку без сюрпризов

Если один ноутбук прошёл проверки, добавьте остальные устройства или выделенную VLAN. Удобно иметь отдельную рабочую сеть для зарубежного выхода и обычную сеть для задач, которым он не нужен. Перед подключением отдела сравните задержку, большие загрузки и стабильность в рабочее время; синтетическая скорость сама по себе не описывает удобство.

При отсутствии соединения сверяйте Endpoint, порт и ключи. При правильном статусе, но прежнем IP проверяйте источник политики. Если адрес уже серверный, а часть запросов зависает, исследуйте DNS и MTU по очереди. Для поддержки сохраните время попытки, модель шлюза, версии Network и прошивки, результат проверки с клиента; закрытый ключ исключите из материалов.

Откат выполняйте осознанно: отключите маршрут и связанную с ним блокировку для тестового устройства, затем остановите VPN-клиент. Проверьте возврат обычного внешнего IP. Сохранённый рабочий профиль и резервная копия помогут повторить настройку без археологических раскопок в истории сообщений. Когда сеть устроена понятно, её обслуживание перестаёт быть жанром приключенческой литературы.