WireGuard на TP-Link Deco: как подключить Mesh-сеть к своему VPN-серверу

MAATRIX · Обновлено 24 октября 2026

Если VPN-клиент работает на главном узле Deco, выбранные устройства используют туннель в любой комнате. Отдельное приложение на ноутбуке или телефоне для этого не нужно. Ниже описано, как проверить совместимость, импортировать профиль WireGuard и убедиться, что внешний IP, DNS и IPv6 ведут себя так, как вы ожидаете, в том числе при обрыве туннеля.

Определите модель, ревизию и прошивку главного узла

Поддержка WireGuard в Deco зависит от модели, аппаратной ревизии, региона и версии прошивки. Класс Wi-Fi вроде AX3000 или BE9300 ничего не говорит о VPN-функциях, а два устройства с одинаковым названием могут получить WireGuard в разное время. Поэтому начните с фактов о своём устройстве. В приложении Deco откройте главный узел и запишите модель, аппаратную версию и номер прошивки. Ревизия также напечатана на наклейке снизу корпуса. Обновления скачивайте только с региональной страницы поддержки, которая соответствует вашему устройству.

Ниже собраны примеры, которые TP-Link подтвердил публично на момент подготовки статьи. Это ориентиры, а не полный список:

Если у вас другая ревизия или регион, например BE65 не V1 или XE75 не US V3.6, проверяйте свою страницу поддержки отдельно. Прошивку одной ревизии нельзя ставить на другую, даже когда номера выглядят похожими, как V1 и V1.3. Устанавливать старый выпуск из таблицы тоже не нужно: обычно разумнее взять актуальную прошивку для своей модели.

После обновления найдите WireGuard в разделе VPN Client. Раздел VPN Server решает другую задачу: он нужен для подключения к домашней сети извне. Если в Mesh объединены разные модели Deco, доступные функции могут зависеть от состава сети. Поэтому ориентируйтесь на то, что показывает приложение для вашей системы, а не на описание отдельного узла в магазине.

Переведите главный Deco в режим роутера

Режим работы находится в More → Advanced → Operation Mode. VPN-клиенту нужен Router Mode. В режиме Access Point роль шлюза выполняет другое устройство, и, согласно сравнению режимов TP-Link, VPN Server и VPN Client в нём недоступны.

Прежде чем менять режим, запишите параметры подключения к провайдеру: тип соединения, логин и пароль PPPoE, VLAN, если он используется. Если перед Deco уже стоит работающий роутер, решите, какое устройство останется главным шлюзом. Два DHCP-сервера в одной сети и двойная трансляция адресов обычно приводят к трудноуловимым проблемам, и VPN их только усложнит.

Для первой проверки выберите одно устройство, удобнее всего ноутбук, подключённый к Deco. Узнайте его обычный внешний IPv4 без VPN и запишите адрес: позже с ним будет удобно сравнивать результат. Остальные устройства в доме пока трогать не нужно.

Подготовьте отдельный профиль WireGuard для роутера

Для работы понадобится клиентский файл .conf. В нём указаны адрес сервера, ключи и внутренний адрес в туннеле. Если своего сервера пока нет, в MAATRIX можно заказать VPS с установленным WireGuard, дождаться окончания установки и скачать конфигурацию в личном кабинете. Точку выхода определяет расположение сервера: США, Великобритания или Франция. Сам Deco при этом остаётся у вас дома.

Выделите роутеру собственный профиль и не используйте его параллельно в приложении на телефоне или компьютере. Если один ключ подключается с двух адресов, сервер переключается между ними, и соединение работает нестабильно. Устройствам, которые просто подключены к Wi-Fi Deco, отдельные профили не нужны: их трафик через туннель передаёт роутер.

Сохраните оригинальный файл, а для импорта сделайте копию. Внутри лежит приватный ключ, поэтому храните файл как пароль. Понятное имя вроде deco-home-fr.conf помогает не запутаться, но страну выхода определяет строка Endpoint, а не название файла.

Типичный клиентский профиль выглядит примерно так. Все значения здесь вымышленные:

[Interface]
PrivateKey = CLIENT_PRIVATE_KEY_PLACEHOLDER
Address = 10.8.0.2/32
DNS = 192.0.2.53

[Peer]
PublicKey = SERVER_PUBLIC_KEY_PLACEHOLDER
PresharedKey = PRESHARED_KEY_PLACEHOLDER
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0

Импортируйте профиль в приложении Deco

Откройте актуальную версию приложения Deco под учётной записью владельца сети. Где находится раздел VPN, зависит от версии приложения и прошивки. В одних интерфейсах путь выглядит как More → VPN, в других как More → Advanced → VPN Client. Сама настройка от этого не меняется. Как устроено меню в конкретной версии, можно посмотреть в руководстве по приложению Deco.

1. Откройте раздел VPN Client, включите его и нажмите Add VPN Server. Эта кнопка добавляет удалённый сервер в список подключений, сам Deco сервером при этом не становится.
2. Если приложение предлагает список готовых VPN-провайдеров, выберите вариант для собственной конфигурации (обычно Custom).
3. Укажите протокол WireGuard VPN.
4. Импортируйте конфигурацию. По инструкции TP-Link можно загрузить файл или отсканировать QR-код, если сервер его выдаёт.
5. Сверьте адрес сервера с Endpoint из профиля и сохраните подключение.
6. В настройках доступа выберите Client List вместо All Clients и добавьте в список только тестовый ноутбук.
7. Включите сохранённое подключение и дождитесь, пока приложение покажет, что оно установлено.

Режим All Clients отправляет в туннель все устройства сети. Он подходит для финальной схемы, если она вам нужна. Для первых проверок удобнее Client List: в случае ошибки пострадает только одно устройство.

Если приложение не принимает файл

TP-Link отдельно предупреждает, что импортёр Deco понимает ограниченный набор параметров WireGuard. Ошибку импорта могут вызывать IPv6-адреса, строка MTU и дополнительные директивы. Это особенность реализации в прошивке, с сервером она обычно не связана.

Правьте только копию файла. Для сервера с IPv4 обычно достаточно приватного ключа, IPv4-адреса интерфейса, DNS, публичного ключа сервера, Endpoint и маршрута 0.0.0.0/0. От удаления остальных строк есть последствия, их стоит учитывать:

• Если вы уберёте IPv6-адрес интерфейса и ::/0 из AllowedIPs, IPv6-трафик перестанет идти через туннель. Тогда обязательно выполните проверку IPv6, описанную ниже.
• Без строки MTU роутер подставит собственное значение. Если после этого часть сайтов загружается не полностью, причину стоит искать в первую очередь здесь.
• PresharedKey удалять нельзя, если сервер его выдал. Без него рукопожатие не состоится.

Профиль AmneziaWG не станет обычным WireGuard, если удалить из него незнакомые поля: протоколы несовместимы на уровне пакетов. С таким файлом нужен клиент с поддержкой AmneziaWG или отдельный стандартный WireGuard-сервер. Если с WireGuard на вашем Deco ничего не получается, посмотрите материал про OpenVPN на TP-Link Deco. Если нужна более гибкая настройка туннеля, может подойти роутер с WireGuard на OpenWrt.

Проверьте внешний IP в разных комнатах

Когда подключение установлено, откройте на тестовом ноутбуке любой сервис проверки IP. Он должен показать адрес VPS, а не тот домашний IPv4, который вы записали раньше. Потом перейдите туда, где ноутбук подключается к другому узлу Mesh, и повторите проверку. Туннель держит главный шлюз, поэтому на спутниках ничего настраивать не нужно, и адрес должен остаться прежним.

Если после смены комнаты или переподключения IP снова стал домашним, откройте Client List и проверьте, какое устройство там записано. Телефоны и некоторые ноутбуки используют частные MAC-адреса, которые могут меняться. Тогда роутер видит новое устройство, которого нет в списке. В таком случае закрепите для домашней сети постоянный адрес в настройках Wi-Fi на устройстве или добавьте новую запись.

Если возле главного узла всё работает, а у спутника страницы грузятся медленно или не до конца, сначала проверьте связь между узлами Mesh. Для сравнения подключите ноутбук кабелем к главному Deco. VPN добавляет к пути ещё один участок, но качество радиосвязи между узлами от него не зависит, и плохое расположение спутника туннель не исправит.

Проверьте DNS

Сначала убедитесь, что сайты открываются по именам. Если адреса открываются, а имена нет, значит, прошивка не применила DNS из профиля или указанный резолвер недоступен через туннель.

После этого запустите тест DNS-утечки на тестовом ноутбуке. Такой тест показывает резолвер, который обработал запрос, но не показывает путь, по которому запрос до него дошёл. Поэтому по одному названию провайдера в результатах утечку определить нельзя. Сравните результат с ожиданием: увидеть резолвер, указанный в профиле, или резолвер в сети сервера нормально. Если же стабильно появляется DNS вашего домашнего провайдера, проверьте, принимает ли прошивка строку DNS из профиля и не задан ли DNS вручную на самом ноутбуке.

Для диагностики можно временно указать на тестовом ноутбуке известный IPv4-резолвер и повторить проверку. DNS для всей сети при этом менять не нужно: это затронет всех домашних. Где в Deco находятся общесетевые настройки DNS, описано в инструкции TP-Link.

Проверьте IPv6

Если профиль работает только по IPv4, а провайдер выдаёт IPv6, часть трафика может идти напрямую в обход туннеля. Откройте на тестовом ноутбуке проверку, которая показывает оба адреса. Если сервис видит IPv6-адрес вашего провайдера, этот трафик через VPN не проходит.

В таком случае отключите IPv6 в More → Internet Connection → IPv6. В старых версиях приложения этот пункт находится в разделе Advanced. Затем переподключите клиентов и повторите проверку. Учтите, что настройка действует на всю домашнюю сеть, а не только на тестовое устройство. Подробнее о разделе написано на странице поддержки TP-Link. Если ваш сервер и прошивка Deco поддерживают IPv6 внутри туннеля, можно оставить IPv6 включённым, но тогда проверка должна показывать IPv6-адрес сервера.

Проверьте, что происходит при обрыве туннеля

Поддержка WireGuard не означает, что в Deco есть kill switch, то есть запрет прямого выхода в интернет при падении туннеля. Наличие такой функции зависит от модели и версии прошивки. Если в параметрах VPN Client есть соответствующий переключатель, включите его, но всё равно проверьте, как он работает на практике. Если переключателя нет, исходите из того, что при обрыве трафик может пойти напрямую через провайдера.

Для проверки временно остановите WireGuard на своём сервере или выключите VPS в панели управления. Подключение в Deco при этом не трогайте. Потом откройте с ноутбука новое соединение: страницу проверки IP в приватном окне или сайт, на который вы сегодня не заходили. Обновить уже открытую вкладку недостаточно: страница может прийти из кеша, а установленные соединения иногда какое-то время живут. Запишите результат. Если доступа в интернет нет, туннель при обрыве не подменяется прямым выходом. Если появился домашний IP, трафик ушёл напрямую.

Затем запустите сервер снова и проверьте, восстановилось ли подключение само и вернулся ли IP сервера. Отключить VPN кнопкой в приложении Deco — это другая проверка: так вы сами отменяете схему, и прямой выход в этом случае ожидаем.

Откатите настройку или подключите остальные устройства

Чтобы вернуть всё как было, выключите подключение в разделе VPN Client и уберите ноутбук из Client List. Если вы отключали IPv6 или меняли DNS только для теста, верните прежние значения.

Когда тесты пройдены, добавляйте остальные устройства небольшими группами и после каждой группы проверяйте IP. Сервисы, ради которых настраивался туннель, проверяйте полноценно: войдите в аккаунт, выполните обычное действие, загрузите файл, если это нужно для работы. Зарубежный IP не отменяет правил сервиса и условий вашего аккаунта, а блокировки на стороне конкретного сайта настройка роутера не обходит. Сравнить Deco с другими роутерами и протоколами можно в обзоре VPN на роутере для всего дома.