Как подключить роутер ASUS к OpenVPN через VPN Fusion

MAATRIX · Обновлено 24 октября 2026

VPN Fusion в штатной прошивке ASUS умеет держать OpenVPN-подключение на самом роутере и пропускать через него только выбранные устройства. Например, рабочий ноутбук выходит в интернет через ваш VPS, а телевизор, принтер и умные розетки работают через провайдера. Ниже описано подключение одного тестового компьютера, его проверка и расширение схемы на другие устройства.

Настройка состоит из двух частей. Сначала роутер подключается к OpenVPN-серверу. Затем соединению назначаются устройства, чей трафик должен через него идти. Статус Connected относится только к первой части. Если устройство не назначено профилю, оно продолжает выходить в интернет напрямую.

Основной источник по штатному интерфейсу — официальное руководство ASUS по OpenVPN в VPN Fusion. Названия кнопок в статье соответствуют этому руководству. В вашей версии прошивки они могут немного отличаться.

Проверьте модель, прошивку и роль роутера

Возможности VPN Fusion зависят от модели и прошивки, а не от производителя в целом. Модель указана на наклейке, версия прошивки — в веб-интерфейсе. В официальных характеристиках, например, RT-AX86U Pro и RT-AX88U Pro перечислены клиент OpenVPN и VPN Fusion. Для своей модели сверьтесь с её страницей характеристик.

Инструкция написана для раздела VPN → VPN Fusion. ASUS описывает его для поддерживаемых моделей с прошивками новее ветки 3.0.0.4.388.xxxxx. Если в меню есть только вкладка VPN Client, используйте инструкцию ASUS для прежнего интерфейса. Там другой порядок действий, и выбор отдельных устройств может работать иначе.

Ещё нужно убедиться, что ASUS действительно служит шлюзом вашей сети. В режиме точки доступа или репитера адреса обычно раздаёт другое устройство, и трафик уходит в интернет через него. VPN-клиент имеет смысл настраивать на том устройстве, через которое проходит трафик компьютера.

Подключитесь к роутеру по кабелю или по его Wi-Fi и откройте asusrouter.com или локальный адрес роутера. Запишите этот адрес и сохраните резервную копию настроек в разделе администрирования. Убедитесь, что обычный интернет работает. Настраивайте роутер из домашней сети: удалённое подключение может оборваться, когда вы начнёте менять маршруты.

Подготовьте клиентский профиль OpenVPN

Роутеру нужен клиентский файл .ovpn от вашего OpenVPN-сервера. Конфигурация WireGuard для этого не подойдёт, даже если сменить ей расширение. В профиле указаны адрес и порт сервера, транспорт (UDP или TCP), параметры шифрования и данные для взаимной проверки клиента и сервера.

Для роутера удобнее всего единый профиль, в который встроены сертификат центра сертификации, клиентский сертификат и ключ. Если вам выдали отдельные файлы ca.crt, client.crt и client.key и в профиле на них только ссылки, попросите администратора сервера собрать единый файл. Строка вида ca C:\Users\...\ca.crt ссылается на диск другого компьютера, и роутер этот файл не найдёт.

Встроенный профиль выглядит примерно так. Адрес взят из документационного диапазона, вместо содержимого сертификатов стоят заглушки:

client
dev tun
proto udp
remote 203.0.113.10 1194
remote-cert-tls server
nobind
persist-key
persist-tun

<ca>
-----BEGIN CERTIFICATE-----
EXAMPLE-CA-CERTIFICATE-PLACEHOLDER
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
EXAMPLE-CLIENT-CERTIFICATE-PLACEHOLDER
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
EXAMPLE-CLIENT-KEY-PLACEHOLDER
-----END PRIVATE KEY-----
</key>

Блок <ca> и директива remote-cert-tls server позволяют роутеру убедиться, что он подключается к вашему серверу, а не к постороннему узлу. Не удаляйте их, даже если импорт без них проходит быстрее. Серверная конфигурация может добавлять и другие элементы, например <tls-crypt>. Какие директивы поддерживает ASUS, зависит от версии прошивки, поэтому файл лучше сразу генерировать на сервере для роутера, а не править вручную.

Логин и пароль нужны, только если в профиле есть директива auth-user-pass и сервер настроен на проверку по учётной записи. Это VPN-реквизиты, выданные администратором. Пароль root или пароль панели VPS роутеру не нужен, и вводить его в клиентское подключение не следует.

Выпустите для роутера отдельный клиентский сертификат. Тогда при потере доступа к роутеру его можно отозвать, не трогая телефон и ноутбук. Не публикуйте содержимое профиля и не пересылайте скриншоты с ключом: по этим данным можно подключиться к вашему серверу.

Если сервера ещё нет, начните с руководства как установить и настроить OpenVPN на VPS. Чтобы сервер выпускал домашний трафик в интернет, на нём должны быть включены пересылка пакетов и NAT. Одной установки OpenVPN для этого недостаточно. Публичный адрес нужен только серверу. Роутер сам устанавливает исходящее соединение и может находиться за NAT провайдера. Локацию сервера выбирайте с учётом нужных сервисов и задержки. При смене сервера понадобится новый профиль, полученный с него.

Импортируйте профиль в VPN Fusion

Откройте VPN → VPN Fusion и создайте подключение:

1. Нажмите Add profile и выберите тип OpenVPN.
2. Задайте понятное имя, например VPS-FR-ROUTER. По нему потом будет ясно, к какому серверу относится профиль.
3. Нажмите Import .ovpn file, выберите файл и дождитесь сообщения Complete.
4. Заполните Username и Password, только если профиль требует учётную запись. Пароль администратора роутера сюда не вводится.
5. Нажмите Apply and Enable и дождитесь статуса Connected.

Если импорт не проходит или статус не меняется, загляните в раздел диагностики ниже. Отключать проверку сертификата, чтобы соединение заработало, не нужно.

Назначьте профилю одно тестовое устройство

Пока профиль проверяется, через него лучше пускать один компьютер. Так ошибка затронет только его.

Отключите профиль и откройте его настройки. Выключите Apply to all devices, нажмите Edit Device, отметьте тестовый компьютер, подтвердите выбор и нажмите Apply all settings. После этого снова включите профиль.

Если компьютера нет в списке под понятным именем, посмотрите его локальный IP-адрес в сетевых настройках и найдите этот адрес среди клиентов роутера. Телефоны и некоторые ноутбуки используют частный MAC-адрес, свой для каждой Wi-Fi-сети. Ориентируйтесь на адрес, который устройство использует в вашей сети. Если этот адрес сменится, назначение в Fusion придётся проверить заново.

Проверьте внешний IP, локальную сеть, DNS и IPv6

На тестовом компьютере выключите отдельный VPN-клиент и прокси в браузере, если они есть. Иначе результат проверки будет зависеть от них, а не от роутера. Если проверяете телефон, отключите на нём мобильные данные.

Внешний адрес

В новой вкладке откройте любой сервис, показывающий внешний IPv4. Адрес должен совпасть с адресом выхода вашего VPS, например 203.0.113.10 в нашем примере. На втором устройстве, которое не назначено профилю, должен по-прежнему отображаться адрес провайдера. Затем откройте несколько обычных сайтов и нужное рабочее приложение. В веб-сервисах проверяйте те действия, которые вам нужны: вход в аккаунт, отправку запроса, загрузку файла. То, что открылась главная страница, ещё не значит, что работают все функции. Иностранный IP не отменяет правил сервиса, условий подписки и ограничений аккаунта. Доступность конкретного ресурса через VPN никто гарантировать не может.

Устройства в домашней сети

Убедитесь, что с тестового компьютера по-прежнему открываются интерфейс роутера, принтер и сетевое хранилище. Если локальные устройства стали недоступны, сравните адресацию домашней сети и VPN. Когда обе используют одну и ту же подсеть, например 192.168.1.0/24, роутер не может однозначно выбрать маршрут. Обычно проблему решает смена подсети на одной из сторон.

DNS

Проверьте, что имена разрешаются без задержек:

nslookup example.com

Ответ должен прийти без тайм-аута. Если в строке Server указан адрес домашнего роутера, это нормально: роутер принимает запросы и пересылает их дальше. Куда именно уходят запросы, покажет сервис проверки DNS. Учтите, что он показывает только резолвер, который обработал запрос, и ничего не говорит о маршруте. Знакомое или незнакомое имя резолвера ещё не означает утечку или её отсутствие. Если результат вызывает сомнения, смотрите журнал роутера или захват трафика на его внешнем интерфейсе.

IPv6

Отдельно откройте проверку IPv6. Если сервер работает только с IPv4, а провайдер выдаёт компьютеру IPv6, часть соединений может идти мимо туннеля. Для строгой схемы нужно одно из двух: туннель, настроенный для обоих протоколов, или отключение IPv6 в сегменте с этими устройствами. Перед изменением запишите текущие параметры IPv6 и учтите, что они касаются и других устройств в этом сегменте.

Проверьте, что происходит при обрыве туннеля

Находясь рядом с роутером, выключите VPN-профиль и на тестовом компьютере откройте сайт, на который вы сегодня ещё не заходили. Страница из кеша браузера тут не подходит: она может открыться и без соединения. Запишите, что произошло: доступ пропал или компьютер вышел в интернет напрямую через провайдера.

Оба варианта бывают допустимы, но нужно знать, какой работает у вас. Переход на прямое подключение удобен, когда важнее не прерывать работу. Блокировка нужна, если трафик не должен уходить мимо туннеля ни при каких условиях. Не рассчитывайте, что включённый VPN сам по себе блокирует прямой выход. В описании прежней версии VPN Fusion прямо сказано, что при отключении туннеля часть устройств возвращается на обычное подключение. Как это устроено в вашей прошивке и можно ли это изменить, зависит от версии, поэтому опирайтесь на результат проверки.

Включите профиль и дождитесь восстановления связи. В удобное время перезагрузите роутер и убедитесь, что подключение поднимается само. Предупредите домашних или коллег: перезагрузка прервёт соединения у всех, а не только у тех, кто пользуется VPN.

Распространите VPN на нужные устройства

Когда тестовый компьютер работает правильно, добавьте в профиль остальные устройства через Edit Device. Обычно через туннель пускают рабочие компьютеры, а телевизор, игровые приставки и умный дом оставляют на прямом подключении. Чем меньше устройств затрагивает изменение, тем проще потом разбираться с неполадками.

Если через VPN должна работать вся сеть, включите Apply to all devices. Перед этим проверьте, нет ли у отдельных клиентов своих назначений в других профилях Fusion. После переключения снова проверьте внешний адрес хотя бы на одном компьютере и одном телефоне.

VPN Fusion позволяет распределять устройства между разными туннелями. Это описано в обзоре VPN Fusion от ASUS. Число одновременно активных профилей и набор настроек зависят от модели. Для дома и небольшого офиса обычно хватает одного профиля с понятным списком устройств. Такую схему проще поддерживать, и она не зависит от памяти одного человека.

Найдите причину ошибки по моменту её появления

Сначала прочитайте конкретную строку ошибки в системном журнале роутера. Таблица подскажет, с чего начать.

Транспорт в профиле должен совпадать с серверным. Если поменять UDP на TCP только на одной стороне, соединение не установится. Неверное системное время мешает проверке сертификатов, поэтому убедитесь, что роутер синхронизирует часы. Не заменяйте шифры значениями из старых инструкций и не убирайте проверку сертификата сервера. Это создаёт уязвимость, а ошибка обычно остаётся. Перед отправкой журнала в поддержку удалите из него ключи и пароли, если они туда попали.

Если у вас Asuswrt-Merlin

Asuswrt-Merlin — отдельная прошивка со своим списком поддерживаемых моделей. Поддержка может зависеть от аппаратной ревизии: например, в проекте отдельно указан RT-AX58U V1. Совместимость проверяйте по официальному списку устройств.

В Merlin нет кнопок VPN Fusion, описанных выше. Маршрутизацию для OpenVPN-клиента там настраивают через VPN Director: в настройках клиента включают этот режим, затем в Director создают правило с локальным IP устройства или подсетью и выбирают нужный клиент. Порядок правил и прочие детали описаны в документации VPN Director. Для подключения OpenVPN переходить на Merlin не требуется. Смена прошивки — отдельная задача, и к ней стоит подходить отдельно. Особенности WireGuard на обеих прошивках разобраны в статье о настройке WireGuard на ASUS. Варианты для других роутеров и протоколов собраны в обзоре VPN на роутере для всего дома.

Отключите VPN и верните прежнюю схему

Чтобы вернуться к обычной работе, сбрасывать роутер не нужно. Откройте интерфейс по локальному адресу, переведите назначенные устройства обратно на Internet Connection, выключите Apply to all devices, если включали, и отключите профиль. Если во время проверки вы меняли DNS или IPv6, верните записанные ранее значения.

Откройте новый сайт и проверьте внешний адрес: он должен совпадать с адресом провайдера. Настройки Wi-Fi и подключения к провайдеру при этом не меняются. Выключенный профиль можно не удалять, чтобы позже снова включить его после устранения причины сбоя. Если роутер мог попасть в чужие руки, лучше удалить профиль и отозвать сертификат на сервере.