Настройка VPN-клиента WireGuard на TP-Link Archer и Deco

MAATRIX · Обновлено 24 октября 2026

На части роутеров TP-Link есть встроенный клиент WireGuard. Если ваша модель и прошивка его поддерживают, роутер подключается к серверу без консоли и скриптов: вы загружаете готовый файл конфигурации и выбираете домашние устройства, трафик которых пойдёт через туннель. Ниже по порядку описано, как проверить совместимость, настроить Archer через веб-панель или Deco через приложение и убедиться, что туннель работает так, как задумано.

Подготовьте сервер и файл конфигурации

В этой схеме TP-Link работает как VPN-клиент. Он сам подключается к внешнему WireGuard-серверу, а выбранные устройства домашней сети выходят в интернет через этот сервер. Поэтому сначала нужен сервер с настроенным WireGuard и клиентский файл .conf к нему.

Если вы арендовали VPS MAATRIX с автоматической установкой WireGuard, конфигурация появится в личном кабинете после создания сервера и завершения установки: «Мои серверы → Доступ». Скачайте файл на компьютер, если будете настраивать Archer, или на телефон, если настраиваете Deco. Если сервер вы поднимаете сами, порядок описан в статье о установке WireGuard на VPS.

Этот файл стоит воспринимать как ключ от сервера. В нём лежит приватный ключ клиента, поэтому не пересылайте его в открытые чаты и не публикуйте в комментариях. Сохраните оригинал без изменений: он понадобится, если придётся готовить упрощённую копию для импорта.

Ещё два ограничения важно учесть заранее:

• Один конфиг — один клиент. Автоматическая установка MAATRIX сейчас выдаёт один клиентский конфиг. Роутер с ним может обслуживать все устройства за собой, но тот же файл нельзя одновременно включать на втором роутере или на телефоне: для независимого клиента нужны отдельные ключи и отдельный peer на сервере. Автоматического выпуска дополнительных конфигов в кабинете пока нет.
• AmneziaWG нельзя превратить в обычный WireGuard. Если ваш сервер работает на AmneziaWG, а в конфиге есть параметры вроде Jc, Jmin, Jmax, S1, S2, H1–H4, удалять их ради импорта в TP-Link бесполезно: сервер ждёт другой формат обмена, и обычный клиент WireGuard с ним не договорится. Для такого сервера нужен роутер или клиент с поддержкой AmneziaWG либо отдельный сервер с обычным WireGuard.

Проверьте, есть ли в вашей модели WireGuard-клиент

Наличие WireGuard у TP-Link зависит от точной модели, аппаратной ревизии, региона и версии прошивки. Две коробки с одинаковым названием, но разными ревизиями могут вести себя по-разному. Поэтому начните с наклейки на корпусе: там указаны модель и версия оборудования, например «Ver: 2.0». По этим данным откройте страницу поддержки своей ревизии на сайте TP-Link для вашего региона.

Искать нужно именно WireGuard VPN Client. Пункт VPN Server или наличие раздела VPN в целом ничего не говорят о возможности подключить роутер к внешнему серверу: это другая функция. Не стоит опираться и на обобщения вроде «все новые Archer AX поддерживают» или «старые модели никогда не получат». TP-Link публикует отдельные списки совместимости и примечания к обновлениям: инструкция для Archer и инструкция для Deco. Перечень моделей там со временем меняется, так что проверяйте актуальную версию.

Обновите прошивку

У Archer и Deco разные способы управления, и это касается как обновления, так и настройки VPN. Archer настраивается через веб-интерфейс в браузере. Deco управляется через мобильное приложение TP-Link Deco; приложение Tether его не заменяет.

Archer: через веб-панель

Откройте в браузере адрес управления, указанный на наклейке, или адрес шлюза вашей сети и войдите с паролем администратора. Перед обновлением сохраните резервную копию настроек. Затем найдите раздел обновления прошивки, обычно это System → Firmware Upgrade (расположение может отличаться в зависимости от версии интерфейса). Устанавливайте только прошивку для своей аппаратной ревизии и своего региона.

Deco: через приложение

В приложении TP-Link Deco выберите свою сеть и откройте пункт обновления системы. Чаще всего путь выглядит как More → System → Update Deco, но названия зависят от версии приложения. Для всех модулей Mesh-системы дождитесь окончания обновления, прежде чем переходить к настройке. Подробное руководство по отдельным моделям есть в статье WireGuard на Deco X50/X55, XE75 и BE65.

Если после обновления WireGuard-клиент так и не появился, не ставьте прошивку от другой ревизии или другого региона: это может вывести роутер из строя. Варианты для такого случая описаны в конце статьи.

Настройте Archer в веб-интерфейсе

Названия разделов ниже соответствуют типичному интерфейсу Archer с поддержкой WireGuard-клиента. В вашей прошивке подписи могут немного отличаться.

1. Откройте Advanced → VPN Client и включите VPN-клиент.
2. Добавьте новый профиль и выберите тип WireGuard.
3. Импортируйте файл .conf, скачанный из кабинета. Поля заполнятся из него автоматически, вручную переносить ключи не нужно.
4. Сохраните профиль и включите его.
5. Перейдите в Device List и отметьте устройства, которым нужен VPN.

Последний шаг легко пропустить. Импорт профиля сам по себе не направляет в туннель все домашние устройства: роутер использует VPN только для тех, что выбраны в списке. Это удобно, если, например, телевизор и компьютер должны идти через сервер, а остальная техника напрямую. Если интернет на устройстве остаётся прямым, первым делом проверьте именно этот список.

Если при импорте появилась ошибка о неподдерживаемых параметрах, переходите к разделу об IPv4-копии ниже.

Настройте Deco в приложении

Для Deco всё делается на телефоне в приложении TP-Link Deco, поэтому файл конфигурации должен лежать в памяти телефона.

1. Выберите сеть и откройте More → Advanced → VPN Client. В некоторых версиях приложения этот пункт находится в отдельном разделе VPN.
2. Включите клиент, добавьте сервер типа WireGuard и импортируйте .conf.
3. Сохраните настройки.
4. Укажите, кто будет пользоваться туннелем: вариант All Clients направит в VPN все устройства, а через Client List можно выбрать только нужные.

Порядок меню и доступные варианты зависят от прошивки Deco и версии приложения. Если что-то расходится с описанием, сверяйтесь с официальной инструкцией TP-Link для Deco.

Если файл не импортируется: подготовьте IPv4-копию

Некоторые прошивки TP-Link принимают только базовый набор полей и отказываются импортировать файл со строкой MTU или с IPv6-адресами. В этом случае сделайте копию исходного файла и отредактируйте её в текстовом редакторе:

• в Address оставьте только IPv4-адрес;
• в DNS оставьте только IPv4-адрес DNS;
• в AllowedIPs оставьте 0.0.0.0/0 и уберите IPv6-диапазоны;
• удалите строку MTU;
• ключи, Endpoint и PersistentKeepalive не трогайте.

По структуре должно получиться примерно так. Значения ниже вымышленные: адреса, ключи и порт берите из своего файла.

[Interface]
PrivateKey = <PRIVATE_KEY_ИЗ_ИСХОДНОГО_ФАЙЛА>
Address = 10.66.66.2/32
DNS = <IPv4_DNS_ИЗ_ИСХОДНОГО_ФАЙЛА>

[Peer]
PublicKey = <PUBLIC_KEY_СЕРВЕРА_ИЗ_ИСХОДНОГО_ФАЙЛА>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Если в исходном файле есть строка PresharedKey, её нужно сохранить: сервер ожидает этот дополнительный ключ. Если прошивка не принимает поле, запросите у администратора совместимый профиль; просто удалять ключ нельзя. Параметры, которые поддерживает импорт, перечислены в документации TP-Link.

У такой копии есть важное следствие: она отправляет через сервер только IPv4. Если провайдер выдаёт вашей сети IPv6, устройства продолжат ходить по IPv6 напрямую. Для устройств, которые должны работать через VPN, отключите IPv6 там, где это позволяет роутер или само устройство, либо используйте оборудование с полноценной поддержкой IPv6 в туннеле. В любом случае результат стоит проверить, как описано ниже.

Проверьте внешний IP, DNS и IPv6

Сначала посмотрите статус профиля в веб-панели Archer или в приложении Deco. Если прошивка показывает счётчики трафика, принятые и отправленные байты должны расти. Когда растут только отправленные, а принятых нет, сервер не отвечает, и дальше проверять бессмысленно — переходите к диагностике.

Затем возьмите устройство, которое вы назначили в Device List или Client List, и откройте на нём любой сервис проверки IP-адреса. Внешний IPv4 должен совпадать с адресом VPS из карточки сервера в кабинете MAATRIX. Проверка с устройства, не включённого в список, покажет обычный адрес провайдера, и это ожидаемо.

На том же устройстве отдельно посмотрите, определяется ли IPv6. Если сервис показывает IPv6-адрес вашего провайдера, этот трафик идёт мимо туннеля, даже если IPv4 уже принадлежит серверу.

DNS-тест показывает, какой резолвер обработал запрос, но не путь, по которому этот запрос до него шёл. Поэтому одно лишь название резолвера в отчёте не доказывает утечку и не исключает её. Сравните результат с тем DNS, который указан в вашем конфиге, и учитывайте, что устройство или браузер может использовать собственный DNS, например DNS-over-HTTPS. Если в отчёте устойчиво появляются серверы провайдера, проверьте настройки DNS на самом устройстве и в роутере.

Проверьте, что происходит при обрыве туннеля

Полезно заранее знать, как роутер поведёт себя, если сервер станет недоступен: заблокирует трафик выбранных устройств или пустит их в интернет напрямую. Наличие и работа такой защиты зависят от модели и прошивки, поэтому лучше проверить это на практике.

1. Временно остановите WireGuard на сервере или отключите профиль на его стороне, не меняя настроек роутера.
2. Подождите, пока роутер зафиксирует потерю связи; счётчик принятых данных перестанет расти.
3. На устройстве из списка VPN откройте сервис проверки IP в приватном окне или выполните принудительное обновление страницы. Открыть ранее загруженную страницу недостаточно: она может показаться из кеша без реального запроса в сеть.
4. Если страница загрузилась и показывает адрес провайдера, при обрыве трафик уходит напрямую. Если соединения нет, роутер блокирует выход для этих устройств.
5. Верните сервер в работу и убедитесь, что туннель восстановился и внешний IP снова совпадает с адресом VPS.

Найдите причину, если туннель не работает

Если трафик на устройстве идёт напрямую, а профиль активен, проверьте, назначено ли устройство профилю. Если роутер отправляет данные, но ничего не получает, причина обычно в самом подключении: сверьте ключи и Endpoint с исходным файлом, убедитесь, что сервер запущен и UDP-порт из Endpoint доступен, и попробуйте импортировать файл заново. Ошибка часто появляется после ручного редактирования, когда случайно задет ключ или удалён лишний символ.

Если небольшие страницы открываются, а крупные зависают, похоже на проблему с MTU. Там, где прошивка позволяет менять этот параметр, попробуйте уменьшить значение и проверить снова. Универсального числа для всех подключений нет, подбирать его приходится под свою сеть.

Если нужна помощь с импортом, сообщите модель, аппаратную ревизию, версию прошивки и точный текст ошибки. Приватный ключ и полный конфиг для этого не нужны, и в публичных местах их размещать не следует.

Если WireGuard-клиента в вашей модели нет

Сначала убедитесь, что установлена последняя прошивка именно для вашей ревизии. Если клиента нет и в ней, можно оставить TP-Link основным роутером и подключить к нему отдельный совместимый роутер, в сеть которого направить только нужные устройства. Такой вариант разобран в статье о настройке VPN-клиента на GL.iNet.

OpenVPN в некоторых TP-Link есть, но это другой протокол со своей серверной настройкой и своим файлом .ovpn. Переименовать конфиг WireGuard в .ovpn не получится, а MAATRIX при автоматической установке выдаёт именно WireGuard-конфиг.

Прошивку OpenWrt имеет смысл рассматривать, только если ваша точная модель и ревизия есть в официальном списке поддерживаемых устройств; порядок настройки описан в статье об OpenWrt как WireGuard-клиенте. Если вы только выбираете оборудование, поможет сравнение роутеров для WireGuard.