WireGuard-клиент на GL.iNet Flint 2, Flint 3, Beryl AX и Slate 7: профиль, маршрут и защита при обрыве

MAATRIX · Обновлено 24 октября 2026

Роутер GL.iNet с фирменной прошивкой может сам подключаться к вашему WireGuard-серверу. Тогда устройствам в его сети не нужно отдельное VPN-приложение. Ниже описано, как загрузить клиентский профиль, направить через туннель сначала один ноутбук и проверить внешний IP, DNS, IPv6 и поведение при обрыве. Остальные устройства подключаются только после этих проверок.

Как устроена схема

В этой схеме GL.iNet работает как VPN-клиент. Он устанавливает соединение с VPS, а VPS выпускает трафик в интернет. Поэтому точку выхода определяет расположение сервера, а не роутера: Beryl AX в гостинице и Flint 2 дома будут выходить в сеть с одного и того же адреса, если используют один сервер.

Раздел WireGuard Server в панели GL.iNet нужен для обратной задачи — удалённого подключения к самому роутеру. Здесь он не используется. Ещё одно условие: GL.iNet должен работать как маршрутизатор. В режиме точки доступа трафик клиентов идёт через вышестоящий шлюз, и настроенный на GL.iNet туннель его не затрагивает.

У Slate 7 есть экран для быстрых действий, но первичную настройку удобнее делать в веб-панели: там видны и профиль, и правила маршрутизации.

Запишите модель и версию прошивки

Прежде чем что-то менять, посмотрите в панели точную модель и версию прошивки. От версии зависит устройство раздела VPN. В прошивках 4.8 и 4.9+ меню называются по-разному, а маршруты задаются разными способами. Дальше в статье эти ветки описаны отдельно. Это не означает, что любая версия доступна для каждой модели: какие сборки выпущены для вашего роутера, проверяйте на странице модели у GL.iNet.

Менять фирменную прошивку на стороннюю ради этой настройки не нужно, штатных средств достаточно. Если ваш сервер использует AmneziaWG, совместимость проверяется отдельно: пункт WireGuard в меню ещё не значит, что роутер поддерживает маскирующие расширения. Эта тема разобрана в статье AmneziaWG на GL.iNet. Для OpenVPN есть отдельная инструкция: OpenVPN на GL.iNet: Flint 2/3, Beryl AX и Slate 7.

Подготовьте отдельный профиль для роутера

Нужен клиентский файл .conf, выпущенный на сервере именно для роутера. Дайте ему понятное имя, например home-router-uk.conf, чтобы позже было ясно, какое устройство и какая локация за ним стоят. Сервер можно поднять самостоятельно или взять VPS MAATRIX с установленным WireGuard и создать на нём профиль для роутера.

Не используйте профиль, который уже работает на телефоне или ноутбуке. Если два устройства подключаются с одним ключом, сервер переключает сессию на того, кто отправил пакет последним, и соединение у обоих работает с перебоями. Файл содержит закрытый ключ, поэтому не отправляйте его в общие чаты и не показывайте на скриншотах.

Структура типичного профиля выглядит так. Ключи здесь заменены заглушками, адреса взяты из документационных диапазонов:

[Interface]
PrivateKey = <CLIENT_PRIVATE_KEY>
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
PresharedKey = <PRESHARED_KEY>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Строка AllowedIPs = 0.0.0.0/0 направляет в туннель весь IPv4-трафик. IPv6 она не затрагивает. Добавлять ::/0 имеет смысл, только если сервер поддерживает IPv6 и в разделе [Interface] есть IPv6-адрес (например, из диапазона вида 2001:db8::/32 в примерах документации, на практике — выданный вашим сервером). Если дописать ::/0 без этих условий, IPv6 перестанет работать, а защиты это не добавит.

Проверьте обычный интернет до включения туннеля

Подключите ноутбук к GL.iNet кабелем или по Wi-Fi и откройте панель. После заводской настройки она обычно доступна по адресу 192.168.8.1, но в вашей сети адрес может быть другим. Если GL.iNet стоит за другим роутером, их локальные подсети не должны совпадать. Две сети 192.168.8.0/24 по разные стороны Beryl приводят к непредсказуемой маршрутизации.

Без VPN откройте несколько сайтов, запишите внешний IPv4 ноутбука и отметьте, есть ли у него IPv6. Эти значения понадобятся для сравнения. Проверьте, что время на роутере верное. В гостиничной сети сначала пройдите авторизацию на странице отеля: пока портал не пропустил устройство, туннель не установится.

Загрузите профиль

Порядок зависит от версии прошивки. Личный профиль загружается вручную, выбирать встроенного VPN-провайдера не нужно.

• 4.9 и новее: откройте VPN → VPN Client Profile, переключателем протокола справа выберите WireGuard и нажмите Add Manually.
• 4.8: откройте VPN → WireGuard Client → Add Manually.

Создайте группу, загрузите в неё .conf и сохраните. Название профиля нужно только для того, чтобы различать подключения. Страну выхода определяет адрес сервера в строке Endpoint. Подробности импорта есть в официальном руководстве по WireGuard-клиенту. Почему в новых версиях клиентские разделы объединены, объясняется на странице VPN Client Profile.

Назначьте туннель одному ноутбуку

Сам по себе загруженный профиль трафик не перенаправляет. Нужно правило, которое указывает, какие устройства и к каким адресам пойдут через туннель. Для начала это будет один тестовый ноутбук.

VPN Dashboard в прошивке 4.9+

В новых версиях маршруты создаются на странице VPN Dashboard через мастер Add VPN Tunnel. В нём выберите загруженный профиль WireGuard, в качестве источника укажите тестовый ноутбук, а в качестве назначения — All Targets. Сохраните правило и включите туннель. Состав полей мастера в разных сборках 4.9+ может немного отличаться, поэтому сверяйтесь с документацией для своей версии.

VPN Dashboard в прошивке 4.8

В 4.8 есть два режима: Global Mode направляет в туннель всю сеть, Policy Mode — только выбранные устройства. Для тестового ноутбука подходит второй:

1. На VPN Dashboard переключите VPN Mode → Policy Mode и нажмите Apply.
2. В блоке Primary Tunnel в поле From выберите Specified Devices и отметьте ноутбук.
3. В поле To укажите All Targets.
4. В поле Via выберите Use VPN и импортированный профиль, затем примените настройки.
5. Нажмите на шестерёнку туннеля, откройте Options, проверьте состояние Kill Switch и IP Masquerading и включите туннель.

Эта последовательность соответствует официальному руководству для 4.8. Обновлять прошивку посреди настройки не требуется.

В обеих версиях оставьте IP Masquerading включённым. Тогда сервер видит трафик домашних устройств как трафик туннельного адреса роутера и знает, куда отправлять ответы. Без маскарадинга на сервере нужны обратные маршруты к вашей локальной подсети. Отключение этой функции скорости не прибавляет.

Проверьте IP, IPv6 и DNS на самом ноутбуке

В панели GL.iNet должно отображаться установленное соединение, а счётчики полученных и отправленных данных должны расти при открытии страниц. Этого достаточно, чтобы понять, что туннель поднялся. Попадает ли в него нужный трафик, проверяется уже на ноутбуке.

Внешний IPv4. Откройте сервис проверки IP. Адрес должен совпасть с выходным адресом VPS. Сравнивайте сам адрес, а не флаг или город: геобазы обновляются с задержкой и могут показывать устаревшую страну.

IPv6. Если рядом с адресом VPS виден ваш домашний или гостиничный IPv6, часть соединений идёт мимо IPv4-туннеля. Когда сервер работает только по IPv4, проще всего отключить выдачу IPv6 в локальной сети в настройках роутера, переподключить клиентов и повторить проверку. Если IPv6 нужен, настройте его прохождение через туннель на сервере и в профиле.

DNS. DNS-тест показывает, какой резолвер обработал запрос, но не показывает, каким путём запрос до него дошёл. Поэтому одно название резолвера в результатах ещё не означает утечку. Сопоставьте результат с настройками: что задано в строке DNS профиля, использует ли браузер собственный защищённый DNS, работает ли на роутере AdGuard Home или другой фильтр. Начните с системного DNS без дополнительных фильтров, затем включайте их по одному и повторяйте тест. В итоге вы должны точно знать, кто разрешает имена для устройств в туннеле.

После этого откройте сервисы, ради которых настраивался туннель: страницу входа, загрузку файла, длинный ответ ИИ-ассистента. Загрузка главной страницы проверяет лишь часть соединений, которые открывает приложение. Доступность конкретного сервиса зависит ещё и от его правил, состояния аккаунта и отношения к адресу сервера. Туннель не гарантирует, что любой ресурс откроется.

Настройте и проверьте поведение при обрыве

Если выбранные устройства не должны при падении туннеля выходить в интернет напрямую через провайдера, включите Kill Switch в параметрах туннеля. Эта настройка относится к трафику, который назначен туннелю.

Есть и общий запрет для трафика, которому туннель не назначен. В 4.9+ он называется Enhanced Kill Switch. В 4.8 в Policy Mode тот же эффект даёт отключение пункта All Other Traffic. Пока туннелем пользуется один ноутбук, включать общий запрет незачем: он отключит интернет всем остальным устройствам. Учтите, что он не заменяет Kill Switch самого туннеля. Назначение обоих механизмов описано в документации GL.iNet о блокировке трафика вне VPN.

Проверять защиту нужно имитацией аварии на стороне сервера:

1. Заранее откройте доступ к управлению VPS, который не зависит от этого туннеля, например веб-консоль хостинга. Если сервер общий, согласуйте проверку с администратором.
2. Оставьте профиль и правило маршрутизации на роутере включёнными.
3. Ненадолго остановите службу WireGuard на сервере.
4. На ноутбуке откройте сайты, которые раньше не посещали, или обновите страницу проверки IP с обходом кеша. Можно также запустить ping до внешнего адреса. Страница, загруженная из кеша браузера, ничего не доказывает.
5. Новые внешние соединения должны перестать устанавливаться, а сервис проверки IP не должен показать адрес провайдера.
6. Запустите службу на сервере и убедитесь, что доступ восстановился.

Выключение профиля или удаление правила на роутере аварию не имитирует. Так вы сами разрешаете устройству другой маршрут, и трафик законно пойдёт через провайдера.

Подключите остальные устройства

Когда проверки пройдены, добавьте в правило остальные устройства или переключитесь на маршрутизацию всей сети. Решение принимайте отдельно для каждого устройства. Телевизорам, кассовым терминалам и рабочим компьютерам с корпоративным VPN зарубежный адрес выхода может помешать.

Телефоны и ноутбуки часто используют частный MAC-адрес для каждой сети Wi-Fi. Если такой адрес сменится, правило по устройству перестанет срабатывать. Проверьте эту настройку на клиенте или привяжите правило к устройству после того, как его адрес зафиксирован.

Диагностика и откат

Ищите неисправность по симптомам и меняйте один параметр за раз, сохраняя исходные значения:

• Соединение не устанавливается. Сверьте endpoint, порт, ключи и время на роутере, проверьте, доступен ли сервер и не блокирует ли порт сеть, к которой подключён роутер.
• Туннель поднят, а IP прежний. Проверьте, что в правило выбрано именно это устройство и что назначение — All Targets.
• IP сменился, но сайты открываются частично или зависают. Сначала проверьте DNS, затем MTU: уменьшите его небольшим шагом и повторите проверку.

Переустанавливать VPS в начале диагностики не нужно: большинство проблем решается в профиле и правилах роутера.

Чтобы отключить VPN без последствий, сначала уберите устройство из правила и убедитесь, что обычный доступ работает. Только после этого останавливайте профиль. Если включали общий запрет трафика вне VPN (Enhanced Kill Switch в 4.9+ или отключённый All Other Traffic в 4.8), верните разрешение. Сбрасывать роутер и удалять настройки Wi-Fi не требуется.

Когда всё настроено, сохраните резервную копию конфигурации и запишите, какие устройства используют туннель и через какой профиль. Схема для разных роутеров и протоколов описана в обзорной статье VPN на роутере для всего дома.