OpenVPN-клиент на TP-Link Archer: подключение роутера к своему серверу

MAATRIX · Обновлено 24 октября 2026

Если ваш TP-Link Archer умеет работать как OpenVPN-клиент, он может сам подключаться к VPS MAATRIX. Тогда выбранные домашние устройства выходят в интернет через этот сервер, и на них не нужно ставить отдельные приложения. Ниже описан порядок настройки через веб-интерфейс роутера: от проверки модели до контроля IP-адреса, DNS, IPv6 и поведения при обрыве туннеля.

Найдите в роутере именно VPN Client

В меню TP-Link встречаются три похожих раздела, но для этой задачи подходит только один. VPN Client («VPN-клиент») устанавливает исходящее соединение с внешним сервером. Он и нужен для подключения к VPS.

VPN Server работает в обратную сторону: он открывает доступ к домашней сети, когда вы находитесь вне дома. VPN Passthrough только пропускает через роутер VPN-соединения, которые устанавливают сами компьютеры и телефоны. Ни один из этих разделов не подключит роутер к MAATRIX. Разница между режимами описана в материале TP-Link о VPN-функциях.

Если у вас Mesh-система Deco, настройка выполняется в приложении, и меню там устроено иначе. Для неё есть отдельная инструкция: OpenVPN на TP-Link Deco. Официальное описание со снимками экранов есть в руководстве TP-Link для Deco.

Сверьте модель, аппаратную версию, регион и прошивку

Название серии Archer не говорит о том, какие функции есть в конкретном роутере. Набор возможностей зависит от трёх параметров: аппаратной версии (ревизии), региона, для которого выпущено устройство, и установленной прошивки. У одной и той же модели, например Archer AX73, бывают разные ревизии. OpenVPN-клиент в ней появлялся с обновлениями прошивки, о чём TP-Link писал в сообщении на форуме сообщества.

Проверка занимает несколько минут:

1. Найдите наклейку на корпусе и перепишите модель и значение рядом с Ver, например Archer AX73, Ver: 2.0. Если наклейку трудно прочитать, воспользуйтесь инструкцией TP-Link по определению аппаратной версии.
2. Откройте центр загрузок TP-Link и выберите страну, где был куплен роутер. Затем найдите модель с вашей ревизией.
3. Прочитайте описание прошивки и руководство пользователя. Нужны упоминания VPN Client и OpenVPN. Номер установленной прошивки можно посмотреть в веб-интерфейсе роутера.

VPN-клиент упоминается в документации TP-Link для Archer AX20, AX21, AX55, AX80, а также для части моделей серии BE. Это лишь ориентир. Окончательно поддержку подтверждают страница вашей модели и меню вашего экземпляра роутера.

Если пункта VPN Client нет, проверьте, вышло ли обновление для вашей ревизии и региона. Перед обновлением сохраните резервную копию настроек и прочитайте примечания к выпуску, а во время прошивки не отключайте питание. Файлы от другой ревизии, другого региона или соседней модели устанавливать нельзя, даже если в них есть нужная функция. Если официальная прошивка клиент не поддерживает, остаются два варианта: подключать отдельные устройства через приложение OpenVPN Connect или использовать роутер с подтверждённой поддержкой VPN-клиента.

Закажите сервер и скачайте профиль .ovpn

Сервер удобно выбрать в каталоге приложений или сразу открыть форму заказа VPS с OpenVPN. По ссылке заранее выбраны локация UK и тариф Ba · Lite, но до оформления их можно изменить. Проверьте, что в окне заказа указан протокол OpenVPN. В качестве системы оставьте Ubuntu 24.04 или выберите Debian 12: для них предусмотрена автоматическая установка.

После оплаты откройте раздел «Мои серверы» и дождитесь окончания установки приложения. Запущенный VPS ещё не означает, что OpenVPN уже установлен. Когда установка закончится, нажмите «Доступ» в карточке сервера и скачайте «Конфигурацию OpenVPN (.ovpn)». Сохраните файл на компьютер или телефон, с которого будете открывать настройки роутера.

Текущая автоматическая установка MAATRIX настраивает OpenVPN на протокол UDP и порт 1194 с авторизацией по сертификату. Адрес сервера, сертификаты и закрытый ключ клиента уже лежат внутри одного файла. Поэтому пароль от личного кабинета или root-пароль VPS для подключения не нужны. По той же причине файл нельзя выкладывать в чатах и на форумах: он даёт доступ к вашему серверу.

Если VPS уже используется для сайтов или других задач, учтите: установка приложения из кабинета переустанавливает ОС и удаляет данные. На работающем сервере этот способ подходит только при запланированной переустановке и сохранённой резервной копии. В остальных случаях сначала обратитесь в поддержку.

Создайте подключение в веб-интерфейсе Archer

Подключитесь к роутеру по Wi-Fi или кабелю и откройте в браузере tplinkwifi.net или локальный адрес роутера. Обычно это 192.168.0.1 или 192.168.1.1; точный адрес указан в поле «Шлюз» в свойствах сетевого подключения. Если настраиваете с телефона, отключите на время мобильные данные и VPN-приложения, чтобы запросы шли через домашнюю сеть.

Войдите с паролем администратора и откройте Дополнительно → VPN-клиент (Advanced → VPN Client). Названия пунктов зависят от языка интерфейса и версии прошивки, поэтому могут немного отличаться. Включите функцию, сохраните настройку и добавьте новый сервер в список. Порядок действий совпадает с официальной инструкцией TP-Link для Archer.

Если форма предлагает выбрать способ авторизации, укажите вариант с конфигурационным файлом и сертификатами. В некоторых прошивках логин и пароль обязательны. В таком случае не вводите туда данные от VPS: сначала проверьте выбранный тип VPN и версию прошивки.

TP-Link принимает только объединённый профиль, в котором сертификаты и ключ находятся внутри одного файла. Для описанного веб-интерфейса размер файла должен быть меньше 20 КБ. Требования описаны на странице TP-Link о формате конфигурации. Файл MAATRIX уже соответствует этим требованиям. Не открывайте и не пересохраняйте его в текстовых редакторах и не упаковывайте в архив.

Сохраните профиль, включите его в списке и подождите, пока появится статус Connected («Подключено»).

Выберите устройства, которые пойдут через VPN

На Archer VPN действует только для устройств, добавленных в список клиентов VPN. Если прошивка предлагает режимы «Все клиенты» и «Выбранные клиенты», для начала выберите второй и добавьте одно тестовое устройство. Остальная сеть продолжит работать как обычно, а при неполадке будет понятно, где искать причину.

Устройства в списке различаются по имени и MAC-адресу. Сверьте MAC-адрес с тем, что показывают сетевые настройки самого устройства. Телефоны и ноутбуки часто используют для каждой Wi-Fi-сети частный (случайный) адрес, который не совпадает с напечатанным на корпусе. Если этот адрес сменится, запись в списке VPN придётся обновить.

Каждому домашнему устройству отдельный профиль не нужен: подключение к серверу устанавливает роутер. Однако выданный MAATRIX профиль рассчитан на одно одновременное подключение. Не включайте тот же файл на роутере и в приложении телефона одновременно, и тем более на двух роутерах. Для второго независимого клиента нужен отдельный сертификат, и подготовить его можно через поддержку.

Проверьте внешний IP-адрес с тестового устройства

Статус Connected показывает только то, что роутер установил соединение с сервером. Через туннель ли идёт трафик конкретного устройства, можно проверить только с этого устройства.

1. Закройте на тестовом устройстве сторонние VPN-приложения и прокси, а на смартфоне отключите мобильные данные.
2. Пока профиль на роутере выключен, откройте страницу проверки IPv4 и запишите адрес. Это ваш адрес у провайдера.
3. Включите профиль, дождитесь статуса Connected и проверьте, что устройство есть в списке VPN.
4. Обновите страницу проверки. Должен отображаться IP-адрес вашего VPS из карточки сервера в кабинете (в примерах документации такие адреса выглядят как 203.0.113.10).

Если адрес остался домашним, проверьте по порядку: есть ли устройство в списке VPN, не переключился ли телефон на мобильную сеть, не запущен ли на нём второй VPN. Ориентируйтесь на сам адрес, а не на страну, которую показывает сайт: базы геолокации обновляются с задержкой. Кроме того, VPN не гарантирует доступ ко всем сервисам, поскольку они учитывают регион аккаунта и собственные правила.

Проверьте IPv6 и DNS

Текущий профиль OpenVPN от MAATRIX передаёт через туннель только IPv4. Если провайдер выдаёт IPv6, такой трафик может уходить напрямую, даже когда проверка IPv4 показывает адрес сервера. Откройте на тестовом устройстве сервис, который показывает IPv6-адрес, например api6.ipify.org. Если там виден адрес провайдера, часть соединений идёт в обход VPN.

Если весь трафик выбранных устройств должен идти через сервер, отключите IPv6 в настройках роутера для домашней сети или на самих устройствах. Набор доступных настроек зависит от модели и прошивки. После изменения снова проверьте IPv4 и IPv6. Если IPv6 нужен другим сервисам в доме, сначала обсудите подходящую схему с поддержкой.

Сервер передаёт клиенту DNS-серверы 1.1.1.1 и 1.0.0.1. Применит ли их роутер к домашним устройствам, зависит от прошивки. Сначала убедитесь, что сайты открываются по доменным именам. Учтите, что «Безопасный DNS» в браузере или «Частный DNS» в Android работают через свой резолвер, поэтому на время диагностики их стоит выключить или хотя бы помнить о них. Тест утечки DNS показывает, какой провайдер ответил на запрос, но не показывает, по какому маршруту запрос прошёл.

Проверьте, что происходит при обрыве туннеля

По умолчанию при обрыве соединения с сервером устройства из списка VPN могут продолжить выходить в интернет напрямую. В некоторых прошивках TP-Link есть функция VPN Kill Switch: она блокирует обычный выход для этих устройств, пока туннель не восстановится. Функция есть не на всех Archer. Её добавляют в обновлениях отдельных моделей, например она появилась в прошивке Archer BE550 V2, что описано в сообщении TP-Link.

Если прямой выход для вас недопустим, найдите эту настройку в своей прошивке и проверьте её на реальном обрыве, а не только на ручном выключении профиля: прошивка может обрабатывать эти два случая по-разному. Обрыв можно создать, например, перезагрузив VPS из личного кабинета. Пока сервер недоступен, обновляйте на тестовом устройстве страницу проверки IP. При работающей защите страница не загрузится. Если откроется домашний адрес, трафик пошёл напрямую. IPv6 проверьте отдельно: Kill Switch может на него не распространяться. Если функции в прошивке нет, автоматическую блокировку при обрыве гарантировать нельзя.

Найдите причину, если подключение не работает

Большинство неполадок находятся несколькими последовательными проверками.

• Роутер не принимает файл. Скачайте профиль заново и убедитесь, что выбираете именно .ovpn, а не HTML-страницу, архив или .conf от WireGuard. Не меняйте расширение вручную.
• Статус постоянно «Connecting». Проверьте в кабинете, завершилась ли установка OpenVPN, и не переустанавливался ли сервер после скачивания профиля (в этом случае нужен новый файл). Проверьте также дату и время на роутере: от них зависит проверка сертификатов. Текст ошибки найдите в системном журнале.
• Ошибка авторизации или AUTH_FAILED. Поля логина и пароля должны быть пустыми. Если роутер запрашивает пароль закрытого ключа, скорее всего, импортирован не тот файл.
• Подключено, но сайты не открываются. Проверьте DNS и список клиентов, а также убедитесь, что домашняя сеть не использует ту же подсеть, что внутренняя сеть OpenVPN, 10.67.67.0/24. Подробнее этот случай разобран в статье OpenVPN подключается, но нет сети.
• Низкая скорость или зависающие страницы. Сравните работу по кабелю и по Wi-Fi, с VPN и без него. Скорость OpenVPN на роутере ограничена его процессором и маршрутом до сервера. MTU и параметры шифрования стоит менять только после того, как найдена конкретная причина.

Чтобы понять, в чём проблема, в роутере или на сервере, выключите профиль на роутере и импортируйте тот же файл в официальный OpenVPN Connect на компьютере в той же сети. Если там подключение работает, ищите причину в прошивке или импорте на роутере. После проверки отключите приложение, прежде чем снова включать профиль на роутере. Дополнительные советы есть в рекомендациях TP-Link по диагностике OpenVPN.

Не отключайте проверку сертификата и не удаляйте параметры безопасности из профиля, чтобы избавиться от ошибки: так защита ослабнет, а причина останется. Для обращения в поддержку подготовьте модель, аппаратную версию, номер прошивки, ID сервера MAATRIX, время попытки и текст ошибки. Пароли и ключи на снимках экрана закройте, а сам файл .ovpn публично не выкладывайте.

Верните обычное подключение

Чтобы устройство снова выходило в интернет напрямую, уберите его из списка клиентов VPN или выключите профиль целиком. Если включён Kill Switch, отключите и его, иначе устройства могут остаться без интернета. Верните настройки IPv6 и DNS, если меняли их на время проверки, затем откройте страницу проверки IP и убедитесь, что адрес снова провайдерский. Сбрасывать роутер к заводским настройкам для этого не нужно. Аренда VPS при отключении профиля продолжается: сервером и оплатой вы управляете в личном кабинете MAATRIX.