Как подключить GL.iNet Flint 2, Flint 3, Beryl AX и Slate 7 к серверу OpenVPN

MAATRIX · Обновлено 24 октября 2026

Если администратор или хостинг выдал вам файл .ovpn, его можно загрузить прямо в роутер GL.iNet. Тогда ноутбук, планшет и телевизор пойдут через VPN без собственных приложений. Ниже описан порядок настройки для прошивок 4.8 и 4.9+. Отдельно разобраны проверка внешнего адреса, DNS, IPv6 и поведения сети при падении сервера.

Инструкция подходит для четырёх моделей со штатным клиентом OpenVPN: Flint 2 (GL-MT6000), Flint 3 (GL-BE9300), Beryl AX (GL-MT3000) и Slate 7 (GL-BE3600). Flint обычно работает дома и получает интернет от провайдера. Beryl и Slate чаще используют в поездках: роутер сначала подключается к сети гостиницы, а затем поднимает туннель до сервера. Порядок действий в обоих случаях одинаковый.

Подготовьте профиль и разберитесь с паролями

Понадобится клиентский профиль OpenVPN с расширением .ovpn. Проще всего работать с объединённым файлом, в который уже встроены сертификат центра сертификации, сертификат клиента и закрытый ключ. Профиль WireGuard с расширением .conf здесь не подойдёт, и переименование его не исправит. Для WireGuard есть отдельная инструкция: WireGuard на GL.iNet: Flint 2/3, Beryl AX и Slate 7.

Сервер OpenVPN может проверять клиента несколькими способами, и каждый из них работает независимо от остальных:

• сертификат клиента — встроен в профиль или передан отдельным файлом;
• VPN-логин и пароль — запрашиваются, только если их требует сервер;
• парольная фраза закрытого ключа — нужна, когда ключ в профиле зашифрован.

Пароль администратора роутера, пароль root от VPS и доступ к личному кабинету хостинга к этим полям не относятся. В профиле OpenVPN, который создаёт VPS MAATRIX с автоматической установкой, используется авторизация по сертификату, поэтому логин и пароль вводить не нужно. Если профиль получен из другого источника, уточните его требования у администратора. Поля, которые сервер не запрашивает, оставляйте пустыми.

Защищённый ключ удобнее хранить вне роутера, но тогда роутеру нужна парольная фраза для автоматического переподключения. Какие поля для пароля ключа доступны и как они называются, зависит от версии прошивки. Это описано в официальной инструкции GL.iNet по клиенту OpenVPN.

Роутеру лучше выдать отдельный профиль, а не тот, что уже стоит на телефоне. Сервер может ограничивать число одновременных сессий на один сертификат, и тогда одно из подключений будет обрываться. Кроме того, при утечке файла отзывают конкретный сертификат, и отдельный профиль позволяет сделать это, не затрагивая другие устройства.

Проверьте роутер и сеть до импорта

Откройте раздел System, посмотрите версию прошивки и сохраните резервную копию настроек. Набор доступных версий различается от модели к модели, поэтому интерфейс вашего роутера может соответствовать как 4.8, так и 4.9+. Дальше шаги для этих версий описаны отдельно, и смешивать их не следует.

Подключите тестовый ноутбук к Wi-Fi или LAN-порту роутера и убедитесь, что обычный интернет без VPN работает. Если Beryl или Slate подключён к гостиничной сети, сначала пройдите авторизацию на её портале. Пока портал не пропустит роутер, туннель не поднимется. Проверьте также системное время роутера: при неверных часах сертификат может считаться ещё не действительным или уже истёкшим.

Запишите внешний IPv4 ноутбука без VPN. Для примера пусть это будет 198.51.100.25, а выходной адрес сервера — 203.0.113.10. Затем сравните локальные подсети. По умолчанию GL.iNet раздаёт адреса из 192.168.8.0/24, у вышестоящего роутера и VPN-сервера свои диапазоны (VPN, например, может использовать 10.8.0.0/24). Эти диапазоны не должны совпадать. Чаще всего конфликт возникает, когда дорожный Beryl включают за домашним роутером с той же подсетью. Совпадение приходится устранять сменой адресации LAN на GL.iNet.

Если сервера ещё нет, его можно заказать с автоматической установкой OpenVPN в доступных локациях США, Великобритании или Франции. Импорт профиля и проверка маршрута на роутере в этом случае остаются за вами. Учтите, что ИИ-сервисы и другие приложения могут учитывать не только страну IP, но и аккаунт, способ оплаты и репутацию адреса. Поэтому выбор локации не гарантирует доступ к конкретному сервису.

Загрузите профиль в роутер

Откройте веб-интерфейс роутера. Заводской адрес обычно 192.168.8.1, но после перенастройки он может быть другим. Slate 7 позволяет выполнять часть действий с экрана на корпусе, однако первую настройку удобнее провести в браузере: там видны все поля и сообщения об ошибках.

Прошивка 4.9 и новее

Перейдите в VPN → VPN Client Profile, переключитесь на вкладку OpenVPN и нажмите Add Manually. Создайте группу с понятным названием, например Work-FR, и загрузите файл. Если сервер требует VPN-логин и пароль, введите их, затем сохраните профиль. Новое расположение раздела описано в руководстве по странице VPN Client Profile.

Прошивка 4.8

Здесь профиль добавляется через VPN → OpenVPN Client → Add Manually. Остальная последовательность та же: группа, загрузка файла, учётные данные при необходимости, сохранение.

Провайдеры VPN часто выдают архив с набором профилей для разных серверов. Интерфейс GL.iNet умеет принимать такие архивы, но поддерживаемые форматы и ограничения зависят от версии прошивки. Перед загрузкой сверьтесь с инструкцией OpenVPN. Для собственного VPS удобнее один объединённый .ovpn.

Если при импорте появляется ошибка об отсутствующем сертификате, откройте профиль в текстовом редакторе. Скорее всего, в нём есть ссылки на внешние файлы вроде client.crt или client.key, и одного .ovpn роутеру недостаточно. Попросите администратора подготовить объединённый профиль или полный комплект в формате, который поддерживает ваша версия. Строки проверки сертификата сервера удалять нельзя: тогда роутер сможет подключиться к любому узлу, выдающему себя за ваш сервер.

Направьте в туннель одно тестовое устройство

Сначала пустите через VPN только один ноутбук. Так проще отличить проблему туннеля от проблем остальной сети, и остальные устройства сохранят интернет, пока вы проверяете настройку.

VPN Dashboard в 4.9+

Откройте VPN Dashboard → Add VPN Tunnel. Выберите загруженный профиль, в качестве источника укажите тестовый ноутбук, в качестве назначения — All Targets. Сохраните правило и активируйте туннель. Устройство панели в этой версии описано в документации VPN Dashboard.

Policy Mode в 4.8

В 4.8 выборочная маршрутизация настраивается через Policy Mode:

1. На VPN Dashboard выберите VPN Mode → Policy Mode и примените изменение.
2. В блоке Primary Tunnel укажите From → Specified Devices и отметьте ноутбук.
3. Задайте To → All Targets.
4. В Via → Use VPN выберите свой профиль OpenVPN и нажмите Apply.
5. Откройте настройки туннеля (значок шестерёнки), проверьте раздел Options с параметрами Kill Switch и IP Masquerading, затем включите туннель.

Режим Global Mode в 4.8 отправляет в VPN всю сеть. Его стоит включать после того, как проверка на одном устройстве прошла успешно.

Для выхода в интернет через VPS оставьте IP Masquerading включённым. Доступ из VPN к локальной сети роутера для этой схемы не нужен: туннель используется только для исходящего трафика.

Не меняйте транспорт в профиле вручную

Параметр proto в профиле задаёт транспорт: udp или tcp. UDP обычно работает отзывчивее, а TCP иногда выручает в сетях, где UDP ограничен. Транспорт и порт клиента должны совпадать с настройками сервера. Если в профиле заменить udp на tcp, а сервер слушает только UDP, подключение просто не установится. Для другого транспорта нужен отдельный профиль, выпущенный под соответствующую настройку сервера.

На нестабильном канале TCP-туннель может работать медленнее. Повторные передачи происходят и внутри туннеля, и на его транспортном уровне, из-за чего задержки накапливаются. Различия кратко описаны в справке GL.iNet об OpenVPN по TCP и UDP. Сравнивая режимы, смотрите на задержку при загрузке файлов, качество видеосвязи и стабильность долгих соединений, а не только на результат теста скорости.

Скорость OpenVPN на роутере не выводится из стандарта Wi-Fi на коробке. Она зависит от процессора, шифрования, качества радиоканала и сетевого пути до сервера. Реальную картину дают обычные рабочие задачи в разное время суток.

Проверьте внешний IP, IPv6 и DNS

На тестовом ноутбуке откройте любой сервис проверки внешнего IP. Вместо домашнего 198.51.100.25 должен отображаться адрес сервера, в нашем примере 203.0.113.10. Затем откройте обычный сайт, войдите в нужный сервис, загрузите небольшой файл и дождитесь длинного ответа. Приложения обращаются к нескольким узлам для авторизации и хранения данных, и одна успешно загруженная страница не гарантирует, что все они доступны.

Далее проверьте IPv6. Если сервер и профиль работают только с IPv4, а провайдер выдаёт IPv6, часть трафика может уходить мимо туннеля. Тест покажет это как второй, домашний адрес IPv6. В такой схеме отключите IPv6 в сети GL.iNet, которую защищает VPN, переподключите ноутбук к сети и повторите проверку. Добавлять в профиль маршруты IPv6 имеет смысл только тогда, когда IPv6 настроен на стороне сервера.

При проверке DNS помните, что тест показывает резолвер, который обработал запрос, но не путь, по которому этот запрос прошёл. Поэтому одно название резолвера ещё не говорит об утечке. Сравните адреса DNS-серверов, которые получил ноутбук, с настройками DNS роутера и профиля. Проверьте, не включён ли в браузере защищённый DNS и не работает ли на роутере AdGuard Home. На время диагностики оставьте одну понятную схему разрешения имён, а фильтрацию верните после проверки. Смена DNS не меняет внешний IP и не заменяет маршрутизацию через VPN.

Проверьте поведение при обрыве

Если выбранные устройства не должны выходить в интернет напрямую при отказе сервера, включите Kill Switch для туннеля. В 4.8 он находится в Options туннеля, в 4.9+ — в параметрах туннеля, если ваша версия предлагает такой пункт. Помимо этого, есть общие запреты: в 4.9+ это Enhanced Kill Switch, который блокирует весь трафик, не назначенный туннелю, а в 4.8 Policy Mode — отключение All Other Traffic. Общий запрет затрагивает все устройства сети, поэтому включайте его осознанно и проверяйте отдельно от Kill Switch туннеля.

Для проверки нужно имитировать падение именно сервера:

1. Убедитесь, что у вас есть доступ к управлению сервером, не зависящий от проверяемого туннеля, например веб-консоль хостинга. Если сервером пользуются другие люди, предупредите их.
2. Остановите службу OpenVPN на сервере. Профиль и правило на роутере оставьте включёнными.
3. Откройте на ноутбуке сайт, который ещё не посещали в этом сеансе, лучше в приватном окне. Страница из кеша браузера ничего не покажет, а новые соединения должны блокироваться.
4. Запустите службу и убедитесь, что роутер переподключился, а внешний IP снова совпадает с адресом сервера.

Отключать профиль на роутере вместо остановки сервера нельзя: вместе с профилем может сниматься и его политика, и проверка покажет не то поведение, которое будет при реальной аварии.

Разберите ошибки и при необходимости откатите настройку

Ошибка AUTH_FAILED обычно означает, что сервер ждёт VPN-логин и пароль или что введённые данные неверны. При ошибках сертификата проверьте время на роутере, срок действия сертификата и то, что профиль выпущен для этого сервера. Тайм-аут подключения указывает на адрес, порт, транспорт или межсетевой экран сервера. Меняйте за один раз один параметр, иначе станет непонятно, какое изменение помогло.

Если туннель поднят, а внешний IP остался прежним, проверьте правило маршрутизации и выбранное устройство-источник. Если адрес сменился, но часть загрузок зависает, разбирайте DNS и MTU по отдельности. Для обращения в поддержку подготовьте версию прошивки, время неудачной попытки и фрагмент журнала, очищенный от ключей. Закрытые ключи и полный .ovpn в переписку не отправляйте.

Чтобы вернуть устройству прямой выход в интернет, сначала снимите с него политику маршрутизации и связанную с ней блокировку, затем остановите профиль и проверьте, что внешний IP снова домашний. В обратном порядке устройство может остаться без интернета из-за Kill Switch. После успешной настройки сохраните резервную копию конфигурации, подпишите профиль и запишите дату выпуска сертификата, чтобы вовремя его заменить. Если позже понадобится настроить другой роутер или протокол, общий обзор есть в статье VPN на роутере для всего дома.