Как настроить WireGuard-клиент на роутере ASUS: штатный VPN Fusion и Asuswrt-Merlin

MAATRIX · Обновлено 24 октября 2026

Роутер ASUS может подключаться к вашему WireGuard-серверу и отправлять через него трафик выбранных домашних устройств. Сделать это можно двумя способами: через штатную функцию VPN Fusion в заводской прошивке или через VPN-клиент и VPN Director в альтернативной прошивке Asuswrt-Merlin. Ниже описаны оба варианта, а также проверка внешнего IP, DNS, IPv6 и поведения роутера при обрыве туннеля.

Выберите между VPN Fusion и Asuswrt-Merlin

Начните с того, что уже есть в вашем роутере. У совместимых моделей ASUS WireGuard-клиент встроен в заводскую прошивку и находится в разделе VPN Fusion. ASUS описывает его в своей инструкции: настройка WireGuard в VPN Fusion. Производитель указывает версии прошивки новее 3.0.0.4.388.23000. Этот номер показывает, с какой ветки функция появилась, но не гарантирует её наличие на каждой модели. Поэтому откройте веб-интерфейс, обновите прошивку через официальный механизм ASUS и посмотрите, можно ли в VPN Fusion создать профиль WireGuard. Если такая возможность есть и её достаточно, перепрошивка не требуется.

Asuswrt-Merlin — отдельный проект на основе кода ASUS. Его выбирают, когда нужны дополнительные возможности, например гибкая маршрутизация через VPN Director. Ставить Merlin можно только на модель из официального списка поддерживаемых устройств, причём с выпуском, в котором для этой модели есть WireGuard Client. Класс Wi-Fi 6 или 7 и платформа HND сами по себе поддержку не означают. Решающую роль играет список проекта и примечания к выпуску.

Дальше в статье эти варианты описаны раздельно. Меню и названия пунктов в них разные, поэтому не переносите инструкции из одной прошивки в другую.

Подготовьте сервер и файл конфигурации

В этой схеме роутер работает как клиент, поэтому нужен WireGuard-сервер, к которому он будет подключаться. Если у вас VPS MAATRIX с автоматической установкой WireGuard, готовый файл .conf находится в личном кабинете в разделе «Мои серверы → Доступ». Если сервер вы настраиваете сами, порядок описан в статье как установить и настроить WireGuard на VPS.

Сохраните файл на компьютер, с которого будете заходить в веб-интерфейс роутера, и откройте его текстовым редактором. Если импорт пройдёт с ошибкой, по нему можно будет сверить поля вручную. Структура выглядит примерно так (ключи и адреса здесь вымышленные):

[Interface]
PrivateKey = <PRIVATE_KEY_PLACEHOLDER>
Address = 10.66.66.2/32
DNS = 1.1.1.1
MTU = 1380

[Peer]
PublicKey = <SERVER_PUBLIC_KEY_PLACEHOLDER>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

PrivateKey — секретный ключ клиента. Его нельзя публиковать и пересылать. PublicKey в блоке Peer — открытый ключ сервера: по нему роутер проверяет, что подключается к нужному узлу. Endpoint — внешний адрес сервера и UDP-порт. Автоустановка MAATRIX использует порт 51820, выбора другого порта при заказе нет. Если вы меняете порт, придётся согласованно поправить сервер, его firewall и Endpoint клиента. AllowedIPs = 0.0.0.0/0 разрешает туннелю нести весь IPv4-трафик. Какие именно домашние устройства пойдут в туннель, определяют настройки роутера.

Автоустановка MAATRIX сейчас выдаёт один клиентский конфиг. Одного роутера с ним достаточно, чтобы обслуживать все устройства за ним. Для второго независимого роутера или телефона, подключаемого напрямую, нужны отдельные ключи и отдельный peer на сервере. Один и тот же конфиг на двух клиентах одновременно не включайте: они будут мешать друг другу.

Настройте WireGuard в штатном VPN Fusion

Этот раздел относится только к заводской прошивке ASUS. Точные подписи кнопок зависят от версии прошивки, поэтому при расхождениях ориентируйтесь на инструкцию ASUS.

1. Войдите в веб-интерфейс роутера и откройте VPN → VPN Fusion.
2. Добавьте новый профиль и выберите тип WireGuard.
3. Загрузите свой .conf через кнопку импорта (Upload Config). Проверьте, что поля заполнились значениями из вашего файла, а не из примера выше.
4. Сохраните профиль и включите соединение.
5. Назначьте профилю устройства, трафик которых должен идти через VPN. Для начала хватит одного тестового компьютера или телефона.

Если импорт не заполнил поля, перенесите вручную PrivateKey, Address, PublicKey сервера и Endpoint из своего файла. После этого переходите к разделу о выборе устройств и затем к проверкам.

Настройте WireGuard в Asuswrt-Merlin

Установите прошивку, если вы выбрали этот путь

Если вас устраивает VPN Fusion, этот шаг пропустите. Перед переходом на Merlin сверьте модель со списком поддержки, прочитайте примечания к выпуску для неё и сохраните резервную копию текущих настроек. Прошивку скачивайте только с официального сайта проекта, стабильную версию для своей модели. Устанавливается она через Administration → Firmware Upgrade. Во время обновления не отключайте питание.

После перезагрузки проверьте версию прошивки и наличие WireGuard-клиента в разделе VPN. Можно ли восстановить старую резервную копию и нужен ли сброс, зависит от конкретного перехода между версиями, поэтому следуйте примечаниям проекта.

Импортируйте конфиг

Откройте WireGuard-клиент в разделе VPN, выберите свободный слот и импортируйте .conf. Названия вкладок отличаются от выпуска к выпуску. Сохраните профиль и проверьте, что ключи и Endpoint совпадают с вашим файлом.

Проверьте NAT у клиента

В поддерживаемых выпусках Merlin сам создаёт правила NAT для WireGuard-клиента. В настройках клиента найдите параметр вроде Enable NAT и включите его: это обычная схема, когда домашние устройства выходят в интернет через VPS. Как это реализовано, видно в исходном коде клиента Merlin.

Ручной скрипт в /jffs/scripts/nat-start для этой схемы не нужен. В интернете встречается правило с -o br0, но br0 — это мост локальной сети, а не интерфейс WireGuard, так что домашний трафик в туннель оно не направит. Собственные правила firewall имеют смысл только для нестандартной топологии с несколькими подсетями, и составлять их нужно под реальные интерфейсы.

Выберите устройства и задайте поведение при сбое

В VPN Fusion устройства назначаются прямо профилю: те, что вы добавили, пойдут через WireGuard, остальные — напрямую через провайдера. Удобно начать с одного устройства, убедиться, что всё работает, и потом расширять список.

В Merlin маршрутизацией управляет VPN Director. Добавьте правило: источник — локальный IP тестового устройства, назначение — выбранный WireGuard-клиент. Примените изменения. Чтобы правило не сломалось после переподключения устройства, закрепите за ним постоянный адрес в настройках DHCP. Если нужно отправить в туннель целую подсеть, укажите её фактический адрес из настроек LAN. Учтите, что правила WAN и других VPN-клиентов могут иметь более высокий приоритет. Порядок обработки описан в официальном руководстве VPN Director.

Отдельно решите, что должно происходить, если туннель упадёт: можно разрешить устройству уйти в интернет через провайдера, а можно заблокировать ему доступ до восстановления VPN. В Merlin для этого предусмотрена блокировка (Killswitch), она описана в руководстве VPN Director. Её наличие и поведение для WireGuard-клиента зависят от выпуска. В VPN Fusion набор таких параметров тоже зависит от версии прошивки. Если явной настройки нет, исходите из того, что при сбое трафик может пойти напрямую, и проверьте это тестом из следующего раздела.

Проверьте внешний IP, DNS и IPv6

Статус Connected в интерфейсе означает только то, что профиль активен. Начните с самого туннеля: если прошивка показывает время последнего handshake и счётчики трафика, handshake должен обновляться, а счётчики — расти в обе стороны.

Затем на назначенном устройстве откройте любой сервис определения IP. Внешний IPv4 должен совпадать с адресом вашего VPS. Если виден адрес домашнего провайдера, проверьте, назначено ли устройство профилю, правильный ли у него IP в правиле VPN Director и не перекрывает ли его другое правило. Для сравнения откройте тот же сервис на устройстве, которое не назначено: у него должен остаться адрес провайдера.

DNS-тест показывает, какой резолвер обработал запрос, но не путь, по которому запрос до него дошёл. Публичный резолвер вроде указанного в конфиге может отвечать и через туннель, и напрямую, поэтому по одному его имени утечку не диагностируют. Смотрите на картину в целом: совпадает ли внешний IP с VPS, какой DNS-сервер получает устройство от роутера и как прошивка обрабатывает DNS для VPN-клиентов. В Merlin настройки DNS задаются в параметрах клиента и в VPN Director, их варианты зависят от выпуска.

IPv6 проверьте отдельно. Пример конфига задаёт только IPv4, а правила для IPv4 не перенаправляют IPv6. Если провайдер выдаёт IPv6, назначенное устройство может открывать часть сайтов по IPv6 мимо туннеля. Используйте IPv6-схему, которую поддерживает ваша прошивка, или отключите IPv6 для устройств, которые должны работать только через IPv4-VPN. После изменений откройте тест IPv6 и убедитесь, что домашний IPv6-адрес провайдера больше не виден.

Проверьте поведение при обрыве туннеля

Обрыв нужно смоделировать по-настоящему: выключите профиль WireGuard в роутере или временно остановите сервер. Затем на назначенном устройстве откройте сервис проверки IP в новой приватной вкладке. Открыть уже загруженную страницу недостаточно: браузер может показать её из кеша, и вы ничего не узнаете о маршруте.

Если блокировка при сбое включена, новые соединения не должны устанавливаться. Если она не включена, устройство получит адрес провайдера. Это ожидаемо, но вы должны знать о таком поведении заранее. После теста включите профиль обратно и убедитесь, что внешний IP снова совпадает с VPS.

Устраните типичные проблемы

Если handshake не появляется, сверьте Endpoint и ключи с выданным файлом, убедитесь, что сервер работает и UDP-порт на нём открыт. Не забудьте и о проверке, которую легко упустить: тот же конфиг не должен быть активен на другом клиенте.

Если handshake есть, а сайты не открываются, проверьте NAT у клиента в Merlin, настройки DNS и правила firewall. Если не меняется только IP, причина почти всегда в назначении устройства или приоритете правил, а не в отсутствии скриптов.

Если мелкие запросы проходят, а крупные страницы зависают, дело может быть в MTU. Сначала оставьте значение из выданного файла: в конфигах MAATRIX сейчас это 1380. Если проблема сохраняется, попробуйте 1280 и сравните. Значение 1240 подходит только для диагностики IPv4-туннеля. Для IPv6 MTU не может быть ниже 1280, это требование RFC 8200. Меняйте значение по одному шагу и каждый раз проверяйте результат.

Если ваша модель не поддерживает WireGuard

Если WireGuard нет ни в VPN Fusion, ни в поддерживаемом для вашей модели выпуске Merlin, его не получится добавить установкой пакета wireguard-tools через Entware. Нужна поддержка на уровне ядра и прошивки. Образ от похожей модели тоже не подойдёт: это риск вывести роутер из строя.

Практичный выход — поставить за основным ASUS отдельный совместимый VPN-роутер. Варианты разобраны в статье какой роутер выбрать для WireGuard VPN, а для компактного решения подойдёт роутер GL.iNet в роли VPN-клиента.