AmneziaWG на GL.iNet: подключение профиля 2.0 и ограничение для 3.1

MAATRIX · Обновлено 24 октября 2026

GL.iNet документирует поддержку AmneziaWG 2.0 на совместимых роутерах с прошивкой 4.9 и новее. Ниже описано, как проверить совместимость версий, импортировать профиль, назначить туннель одному устройству и проверить внешний IP, DNS, IPv6 и поведение при обрыве. Отдельно разобрано, что делать, если сервер уже работает на AmneziaWG 3.1.

Разберитесь, что именно нужно роутеру

AmneziaVPN — это приложение. Через него разворачивают собственный VPN-сервер, управляют им и подключаются к нему. AmneziaWG — протокол на основе WireGuard с дополнительными механизмами, которые меняют внешние признаки трафика. Amnezia Free и Amnezia Premium — сервисы команды Amnezia, а не тарифы вашего VPS.

Роутеру GL.iNet не нужно приложение AmneziaVPN. Ему нужен клиентский конфигурационный файл AmneziaWG, совместимый с версией протокола на сервере. Обычный WireGuard и AmneziaWG не взаимозаменяемы, хотя их файлы похожи по структуре. Подробнее различия описаны в статье о разнице между AmneziaWG и WireGuard.

Обфускация может помочь в сетях, где обычный VPN распознают и ограничивают. Гарантии работы через любой канал она не даёт. Ограничения на стороне конечного сервиса, например проверки при входе в аккаунт, от неё тоже не зависят.

Проверьте версии роутера, сервера и профиля

Для этой настройки должны совпасть три вещи: прошивка роутера, версия протокола на сервере и версия клиентского профиля.

Начните с роутера. Посмотрите точную модель на наклейке или в панели управления, например Flint 2 GL-MT6000 или Beryl AX GL-MT3000, а также номер установленной прошивки. В документации GL.iNet по AmneziaWG указана поддержка AmneziaWG 2.0 на совместимых моделях с firmware 4.9+. Если прошивка старше, найдите официальную сборку именно для своей модели. Образ от устройства с похожим названием ставить нельзя. Перед обновлением сохраните резервную копию настроек и обеспечьте роутеру стабильное питание.

Затем узнайте версию протокола на сервере и версию выданного профиля. Эти сведения есть у того, кто администрирует сервер. По расширению .conf или по внешнему виду файла версию определить нельзя.

Если сервер и профиль относятся к AmneziaWG 2.0, переходите к следующему разделу. Если к версии 3.1, штатный сценарий GL.iNet из этой статьи не подходит: поддержка 3.1 в документации производителя не заявлена. В FAQ Amnezia отдельно сказано, что конфигурацию 3.1 нельзя преобразовать для работы с 2.0. Если удалить из файла незнакомые строки, роутер, возможно, примет его при импорте, но сервер 3.1 и клиент 2.0 всё равно не смогут установить соединение.

Получите отдельный клиентский профиль 2.0

Инструкция рассчитана на ситуацию, когда у вас уже есть работающий сервер AmneziaWG 2.0. Если сервер администрирует кто-то другой, сформулируйте запрос точно: нужен нативный файл .conf для роутера GL.iNet с поддержкой AmneziaWG 2.0. Без указания версии вам могут выдать профиль, который подходит телефону, но не роутеру.

Если сервер ваш и на нём действительно установлена версия 2.0, создайте для роутера отдельный доступ в AmneziaVPN через функцию Поделиться:

1. Выберите нужный сервер.
2. Укажите протокол AmneziaWG.
3. Выберите нативный формат .conf.
4. Назовите клиента так, чтобы было понятно, что это роутер, например glinet-home.

Общий порядок описан в официальной инструкции Amnezia по выдаче доступа. Ключ вида vpn:// или файл с правами на управление сервером для роутера не подходят: нужен именно клиентский конфигурационный файл. Один профиль используйте только на одном устройстве. Если тот же ключ одновременно подключить с телефона, соединения начнут мешать друг другу, и диагностика станет бессмысленной.

Параметры маскировки в файле менять не нужно. Значения групп J, S, H и прочих полей обфускации согласованы с сервером, поэтому их нельзя подбирать вручную или переносить из чужих примеров. Используйте файл в том виде, в каком его выдал сервер.

Если сервер уже на 3.1 или его ещё нет

Совет «скачать свежий профиль Premium» здесь не поможет: в актуальной документации Amnezia Premium описан уже на версии 3.1. По той же причине нет смысла разворачивать новый сервер в расчёте найти в приложении переключатель на старую версию. Актуальная инструкция Amnezia для self-hosted описывает установку 3.1. Переустановка протокола на существующем сервере удаляет его пользователей, и всем клиентам потом понадобятся новые профили. Неподтверждённые откаты приложения или контейнера мы не рекомендуем.

Для новой установки разумнее выбрать клиент, в котором поддержка 3.1 подтверждена, или договориться о другом протоколе, который работает в вашей сети. Общий порядок развёртывания сервера описан в руководстве по установке AmneziaVPN на VPS. Учтите, что сервер даёт только ресурсы и IP-адрес. Совместимость установленного протокола с роутером нужно проверять отдельно. Если вместо AmneziaWG вы остановились на обычном WireGuard, используйте инструкцию по WireGuard на GL.iNet Flint 2 и Beryl AX.

Импортируйте профиль в панель GL.iNet

Дальнейшие шаги предполагают, что совместимость с 2.0 подтверждена. Названия пунктов меню ниже соответствуют интерфейсу прошивок 4.9 и новее. В других сборках они могут отличаться, поэтому сверяйтесь с руководством VPN Client Profile для своей версии.

Подключитесь к локальной сети роутера и откройте панель управления. Сначала убедитесь, что обычный интернет работает без VPN. В гостинице или другой сети с авторизацией через веб-страницу пройдите авторизацию до включения туннеля, иначе роутер не сможет связаться с сервером.

1. Откройте VPN → VPN Client Profile.
2. Выберите вкладку протокола WireGuard. На совместимой прошивке этот же раздел обрабатывает параметры AmneziaWG.
3. Нажмите Add Manually, создайте группу и импортируйте файл .conf.
4. Сохраните профиль, но пока не запускайте его.

Особенности импорта описаны в инструкции GL.iNet по настройке обфускации. Если при импорте появляется ошибка о неподдерживаемом поле, не удаляйте строки из файла. Вернитесь к проверке версий: чаще всего это означает, что профиль создан для 3.1 или для другого клиента.

Назначьте туннель одному тестовому устройству

Переводить через VPN всю домашнюю сеть сразу не стоит: проще проверить настройку на одном ноутбуке, а затем расширить правило.

1. Откройте VPN Dashboard → Add VPN Tunnel.
2. Выберите созданный профиль.
3. В качестве устройства укажите тестовый ноутбук, в качестве назначения — All Targets.
4. Оставьте включённым IP Masquerading, если трафик должен выходить в интернет через сервер обычным способом.
5. Сохраните правило и включите туннель.

Устройство в правиле определяется по MAC-адресу. Если ноутбук использует случайный MAC для каждой сети, адрес в правиле может не совпасть с текущим. Это частая причина ситуации, когда туннель активен, а трафик ноутбука идёт напрямую.

Проверьте внешний IP, DNS и IPv6

Все проверки выполняйте с тестового ноутбука, а не из панели роутера.

Внешний IPv4. Откройте любой сервис проверки IP. Адрес должен совпасть с выходным адресом VPN-сервера. Заодно посмотрите на счётчики переданных и полученных данных туннеля в панели GL.iNet: при загрузке страниц они должны расти. Если туннель включён, а IP остался прежним, проверьте MAC-адрес в правиле и убедитесь, что ноутбук подключён именно к этому роутеру, а не к другой сети.

DNS. Тест DNS показывает резолвер, который обработал запрос, но не путь, по которому запрос до него дошёл. Поэтому одно название резолвера в результатах ещё не доказывает утечку. Сопоставьте результат с настройками: какой DNS указан в профиле и в настройках роутера, включён ли в браузере собственный DNS-over-HTTPS, используется ли AdGuard Home или другой фильтр на роутере. Меняйте настройки по одной и после каждого изменения повторяйте тест. Так будет понятно, какая из них влияет на результат.

IPv6. Если сервер работает только по IPv4, а провайдер выдаёт домашней сети IPv6, часть трафика может уходить напрямую через IPv6 в обход туннеля. Временно отключите раздачу IPv6 в локальной сети роутера, переподключите ноутбук и откройте тест IPv6. Тест не должен показывать IPv6-адрес вашего провайдера. Чтобы IPv6 работал полноценно, его нужно настроить и на сервере, и в профиле. Одна строка ::/0 в AllowedIPs не добавит серверу IPv6-подключения, которого у него нет.

После технических проверок выполните обычную задачу: откройте нужный сервис, войдите в аккаунт, загрузите небольшой файл, дождитесь длинного ответа. Решение сервиса разрешить вход зависит от его собственных правил, а не только от страны сервера и протокола туннеля.

Скорость сравнивайте на одном и том же ноутбуке, в похожее время и в одинаковых условиях. Иначе вы будете сравнивать разные сети, а не работу с туннелем и без него.

Проверьте поведение при обрыве

Если ноутбук не должен выходить в интернет напрямую, когда туннель недоступен, включите для этого туннеля блокировку трафика вне VPN. Название и расположение опции зависят от версии прошивки. Кроме блокировки для отдельного правила, в GL.iNet есть и более широкая общая блокировка, которая затрагивает остальной трафик роутера. Включайте её только тогда, когда понимаете, как она повлияет на остальные устройства.

Обрыв удобнее всего имитировать на собственном сервере: временно остановите на нём VPN-сервис, а правило на роутере оставьте включённым. Затем на ноутбуке:

• откройте сайт, который вы ещё не посещали в этом сеансе, или повторите проверку IP в приватном окне. Страница из кеша браузера ничего не докажет;
• убедитесь, что новые соединения не устанавливаются, а сервис проверки IP не показывает адрес вашего провайдера;
• запустите VPN-сервис снова и проверьте, что соединение восстановилось и внешний IP снова совпадает с адресом сервера.

Если туннель не поднимается

Проверяйте причины по порядку. Сначала ещё раз сверьте версии прошивки, сервера и профиля. Затем убедитесь, что адрес и порт в Endpoint соответствуют серверу, а порт доступен из сети, в которой находится роутер. После этого проверьте, что профиль не используется параллельно на другом устройстве и что правило в VPN Dashboard относится к нужному устройству.

Переустанавливать сервер при первой ошибке не стоит. Для работающей инфраструктуры 2.0 переустановка лишит доступа всех клиентов и, скорее всего, приведёт к установке другой версии протокола. Рядом с резервной копией настроек запишите версию прошивки, версию протокола на сервере и дату последней успешной проверки. Это пригодится при следующей диагностике.

Как вернуть прямой выход и планировать обновления

Чтобы вернуть устройству прямой интернет, отключите его правило в VPN Dashboard вместе со связанной блокировкой, затем остановите профиль. Проверьте, что сервис проверки IP снова показывает адрес вашего провайдера.

Когда проверка на одном ноутбуке прошла успешно, можно добавить в правило другие устройства или перевести через туннель всю сеть. Общая схема описана в статье о VPN на роутере для всего дома. Перед обновлением прошивки роутера, приложения AmneziaVPN или серверного компонента читайте примечания к выпуску: после обновления одной из сторон версии могут перестать совпадать, и соединение пропадёт.