Как настроить WireGuard-клиент на TP-Link Archer AX55 и направить через него выбранные устройства

MAATRIX · Обновлено 24 октября 2026

Если VPN-подключение настроено на роутере, телевизору, планшету и другим домашним устройствам не нужны отдельные приложения. На Archer AX55 это можно сделать штатными средствами, если прошивка вашей ревизии поддерживает WireGuard. Ниже описано, как импортировать клиентский профиль, выбрать устройства и проверить, куда на самом деле уходит их трафик.

Основная схема статьи выглядит так: домашнее устройство → Archer AX55 → WireGuard-сервер → интернет. Роутер здесь работает VPN-клиентом и сам устанавливает исходящее соединение с удалённым сервером. Обратная задача, когда вы подключаетесь к домашней сети из поездки, разобрана в конце.

Определите ревизию, регион и версию прошивки

Начните с наклейки на нижней стороне роутера. Аппаратная версия указана рядом с названием модели, обычно после обозначения Ver:. Archer AX55 разных ревизий и регионов получают разные прошивки, поэтому одинаковое название на коробке не означает одинакового набора функций.

На страницах TP-Link поддержка WireGuard упоминается, например, в следующих случаях:

Источники: страницы поддержки AX55 V1 и AX55 V2, а также спецификация AX55 V4. Из таблицы не следует, что у всех ревизий одинаковые возможности: названия пунктов, допустимые поля импорта и дополнительные функции зависят от конкретной прошивки. Поэтому встречающиеся на форумах утверждения вроде «на V2 WireGuard не работает» относятся к определённым версиям прошивки и не применимы ко всем устройствам.

Наличие поддержки на своём экземпляре проверьте в интерфейсе. Откройте создание профиля в разделе VPN Client и посмотрите, есть ли в списке типов именно WireGuard. Сам раздел VPN Client может существовать и без этого протокола.

Если нужна новая прошивка, скачивайте её только для своей ревизии и региона. Перед обновлением сохраните резервную копию настроек и по возможности подключите компьютер кабелем. Ставить прошивку другого региона ради нужного пункта меню не стоит. TP-Link отдельно предупреждает, что файл нужно выбирать внимательно, а для некоторых обновлений откат невозможен (см. правила обновления).

Инструкция рассчитана на штатную прошивку и режим роутера. В режиме точки доступа или узла Mesh часть настроек может быть недоступна.

Подготовьте клиентский файл WireGuard

Для настройки понадобятся доступ к панели роутера, работающее подключение к интернету и клиентский файл WireGuard с расширением .conf. Его выдаёт VPN-провайдер или администратор сервера. Если сервер ваш, создайте для роутера отдельного клиента. Как подготовить серверную сторону, описано в статье «Как установить и настроить WireGuard на VPS».

Импорт файла на роутере не настраивает удалённую сторону. На сервере уже должны работать WireGuard, правила межсетевого экрана и маршрутизация. Чтобы клиенты могли выходить через него в интернет, нужен корректный обратный путь для пакетов, в типичной конфигурации VPS это NAT.

Структура клиентского файла выглядит примерно так. Ключи здесь заменены условными обозначениями, а адрес сервера взят из диапазона для документации:

[Interface]
PrivateKey = <PRIVATE_KEY_ROUTER_PLACEHOLDER>
Address = 10.66.0.2/32
DNS = 10.66.0.1

[Peer]
PublicKey = <PUBLIC_KEY_SERVER_PLACEHOLDER>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0

В секции [Interface] описан сам роутер: PrivateKey — его секретный ключ, Address — адрес внутри туннеля, DNS — резолвер для запросов имён. В секции [Peer] описан сервер: PublicKey — его открытый ключ, Endpoint — внешний адрес и UDP-порт, AllowedIPs — адреса, которые разрешено передавать через этого участника. Подробно о роли AllowedIPs написано в документации WireGuard.

Значение 0.0.0.0/0 охватывает весь IPv4, но не IPv6. Какие домашние устройства пойдут через туннель, оно тоже не определяет: этот выбор делается в настройках роутера. В примере предполагается, что по адресу 10.66.0.1 работает DNS-служба. Сам WireGuard её не создаёт, поэтому указывайте резолвер из своей рабочей конфигурации.

У импорта на AX55 есть ограничения. В руководстве TP-Link показан ограниченный набор полей, и адреса IPv6 или строка MTU могут не приниматься. Удалять из файла всё, что выглядит лишним, или менять AllowedIPs наугад не нужно. Лучше попросите у администратора совместимый профиль IPv4. Если правите файл сами, работайте с копией и не трогайте ключи, в том числе PresharedKey, если он используется: это защитный параметр, и сервер без него соединение не примет.

В файле хранится приватный ключ, поэтому относитесь к нему как к паролю. Не публикуйте его на форумах и не загружайте в онлайн-сервисы для проверки конфигураций.

Включите VPN Client и добавьте профиль

Подключитесь к сети роутера и откройте tplinkwifi.net или локальный адрес роутера. Часто это 192.168.0.1, но адрес мог быть изменён. Узнать его можно в свойствах сетевого подключения компьютера: это значение основного шлюза. Для входа нужен пароль администратора, который может отличаться от пароля Wi-Fi.

В английском интерфейсе нужный раздел находится в Advanced → VPN Client. В русской локализации это дополнительные настройки и пункт VPN-клиента. Порядок действий по инструкции TP-Link для Archer AX55:

1. Включите VPN Client и сохраните изменение.
2. В блоке Server List нажмите Add.
3. Задайте понятное имя профиля, например WG-VPS-основной.
4. В поле VPN Type выберите WireGuard.
5. Нажмите Browse, загрузите свой .conf и сохраните профиль.
6. Включите созданную запись в списке.

Название Server List не означает, что роутер стал сервером. В этом списке хранятся удалённые серверы, к которым AX55 подключается как клиент.

Отметьте устройства в VPN Device List

После того как профиль включён, нужно указать, какие устройства будут им пользоваться. В схеме TP-Link это делается в отдельном списке VPN Device List: устройство добавляется туда, и для него включается VPN Access. Остальные клиенты сети продолжают работать через обычное подключение провайдера. Подробнее в описании настройки списка устройств.

Сначала добавьте один тестовый компьютер, так проблемы с настройкой не затронут остальных домашних. Если нужного устройства нет в списке, подключите его к Wi-Fi этого роутера. Телефоны часто используют случайный MAC-адрес для каждой сети, поэтому убедитесь, что выбрали актуальную запись. Когда проверка на компьютере пройдёт успешно, добавьте телевизор, планшет и другие устройства.

Проверьте внешний IP, IPv6 и DNS

Статус подключения в панели показывает, что туннель поднят. Пойдёт ли через него трафик конкретного устройства, нужно проверять отдельно, на самом устройстве.

Перед включением VPN Access запишите внешний IPv4-адрес тестового компьютера, а после включения проверьте его снова. Если весь IPv4 идёт через туннель, должен отображаться адрес выхода VPN. У простого VPS это обычно его публичный адрес, в более сложной инфраструктуре адрес выхода может отличаться. На время проверки отключите VPN-приложения и прокси на самом компьютере, иначе будет непонятно, какое подключение вы проверяете. На телефоне выключите мобильные данные, потому что при проблемах с Wi-Fi он может незаметно переключиться на сотовую сеть.

Затем проверьте IPv6. Устройство может пользоваться обоими протоколами одновременно, и если IPv4 показывает адрес сервера, а IPv6 принадлежит домашнему провайдеру, часть соединений идёт мимо туннеля. Удаление IPv6-адресов из файла конфигурации IPv6 в домашней сети не отключает. Если нужен выход только через VPN, а прошивка не поддерживает IPv6 в туннеле, можно отключить IPv6 на конкретном устройстве или в сегменте сети. Перед этим оцените, не перестанут ли работать сервисы, которым он нужен.

Последний пункт — DNS. Если туннель работает, а сайты не открываются по именам, проверьте, доступен ли резолвер из профиля. Учтите, что браузер или операционная система могут использовать собственный защищённый DNS в обход настроек роутера. Онлайн-тест DNS показывает, какие серверы отвечают на запросы, но по стране или названию резолвера нельзя судить о маршруте запроса, поэтому оценивайте результат вместе с остальными проверками.

Проверьте, что происходит при обрыве туннеля

Включённый VPN Access сам по себе не гарантирует, что при отказе туннеля устройство не выйдет в интернет напрямую. Есть ли в вашей прошивке Kill Switch и как он работает, нужно выяснять для конкретной версии. Сведения об Archer AX55 Pro к обычному AX55 не относятся.

Для проверки оставьте подключение к провайдеру работающим и сделайте удалённый сервер недоступным. Если сервер ваш, временно остановите на нём WireGuard, предварительно убедившись, что сможете вернуть его через консоль хостера или другой независимый доступ. После этого откройте на тестовом устройстве новые страницы и проверьте внешний адрес. Если интернет работает и отображается адрес провайдера, при обрыве трафик пошёл напрямую. Если новые соединения не устанавливаются, в этом сценарии утечки не произошло.

После теста запустите сервер снова. Отдельно проверьте, что происходит при ручном отключении профиля на роутере: результат может отличаться от реакции на недоступность сервера.

Найдите причину, если подключение не работает

Ищите причину, исходя из того, что именно не работает, и меняйте по одному параметру за раз. Если одновременно заменить ключи, порт и DNS, будет невозможно понять, какое изменение помогло.

WireGuard отсутствует в списке типов VPN

Проверьте ревизию, регион, установленную прошивку и режим работы роутера. Наличие OpenVPN в списке ничего не говорит о поддержке WireGuard. Если подходящая прошивка установлена, а пункта всё равно нет, обратитесь в поддержку TP-Link и укажите полное обозначение модели и номер сборки.

Файл не импортируется

Убедитесь, что это клиентский файл WireGuard, а не серверная конфигурация, и что расширение не превратилось в .conf.txt после сохранения в редакторе. Затем сверьте содержимое с ограничениями из руководства TP-Link. Если вы не знаете, для чего нужна какая-то строка, попросите совместимый профиль у администратора, а не удаляйте её наугад.

Профиль долго остаётся в состоянии Connecting

Проверьте Endpoint, UDP-порт, ключи и доступность сервера. Порт должен совпадать с настройкой на сервере и быть открыт в его межсетевом экране. Чтобы понять, в чём проблема — в файле, на сервере или на роутере, отключите профиль на AX55 и подключитесь с тем же файлом с компьютера через официальное приложение WireGuard. Этот способ рекомендует и поддержка TP-Link. На Linux-сервере состояние интерфейса показывает команда wg show, выполненная с правами администратора (см. руководство WireGuard). Попробуйте передать трафик с роутера и посмотрите для нужного участника значение latest handshake и счётчики переданных данных.

Туннель установлен, но интернета нет

Сначала убедитесь, что устройство добавлено в VPN Device List и для него включён VPN Access. Затем проверьте DNS и настройки сервера: пересылку пакетов, правила межсетевого экрана, NAT. Успешное рукопожатие означает только, что роутер и сервер обменялись пакетами. Доступ в интернет через сервер оно не гарантирует.

Открываются не все сайты или обрываются загрузки

Одна из возможных причин — неподходящий MTU. Если импорт на вашей прошивке не принимает строку MTU, повторное её добавление ничего не даст. Проверьте тот же сервер через обычный клиент WireGuard и узнайте, есть ли в вашей прошивке другие способы задать MTU.

Скорость ниже ожидаемой

Для сравнения измеряйте скорость на одном и том же компьютере, лучше по кабелю, через один тестовый сервер и примерно в одно время. На результат влияют процессор роутера, Wi-Fi, маршрут до сервера и его загрузка. Обозначение AX3000 относится к пропускной способности Wi-Fi и не говорит о скорости шифрованного туннеля.

Подключайтесь к домашней сети через AX55 как WireGuard-сервер

Этот вариант нужен, чтобы из поездки открывать файлы на NAS или подключаться к домашнему компьютеру. Схема обратная: устройство вне дома → интернет → Archer AX55 → домашняя сеть.

На прошивке с поддержкой сервера откройте Advanced → VPN Server → WireGuard и включите его. Для каждого удалённого устройства создайте отдельный профиль, затем экспортируйте файл или отсканируйте QR-код в приложении WireGuard (см. инструкцию для AX55). В параметре Client Access выберите Home Network Only, если нужен только доступ к домашней сети, или Internet and Home Network, если через домашнее подключение нужно выходить и в интернет. Оба режима описаны в руководстве TP-Link.

Чтобы входящие подключения работали, у роутера должен быть публично доступный адрес и открытый UDP-порт. Если перед AX55 стоит ещё один ваш роутер, перенаправьте этот порт на Archer (см. настройку перенаправления портов), а в экспортированном профиле укажите внешний адрес или доменное имя. При CGNAT у провайдера такой схемы недостаточно. DDNS связывает имя с меняющимся адресом, но входящий доступ из-за CGNAT не открывает. В этом случае нужен публичный адрес от провайдера или схема с промежуточным сервером. Проверяйте подключение с телефона через мобильную сеть с выключенным Wi-Fi: из домашней сети проблемы внешнего доступа не видны.

Разделите профили и запомните, как вернуть обычное подключение

Если телефон должен подключаться к тому же серверу напрямую, создайте для него отдельный профиль со своими ключами и адресом. Сервер отличает участников по ключу и запоминает адрес, с которого пришли последние пакеты (см. раздел о roaming). Если один профиль одновременно используют телефон и роутер, соединения будут обрываться. Устройствам за роутером отдельные профили не нужны: они пользуются туннелем AX55.

Через VPN Device List можно направить в туннель отдельные устройства, но не отдельные сайты. Есть ли в прошивке правила по доменам, нужно проверять отдельно. Статический маршрут на один IP-адрес плохо подходит для сайтов, которые используют много меняющихся адресов.

Чтобы вернуть обычное подключение, зайдите в панель по локальному адресу и выключите VPN Access для нужного устройства или отключите весь профиль. Если вы меняли DNS или IPv6 на устройствах, верните прежние значения. Сброс к заводским настройкам для этого не нужен. Когда всё работает, сохраните резервную копию настроек роутера.