WireGuard на TP-Link Omada: подключение ER605 V2 и ER707-M2 к своему VPS

MAATRIX · Обновлено 24 октября 2026

Шлюз Omada может сам держать WireGuard-туннель до VPS, и тогда компьютеры в офисе выходят в интернет через этот сервер без отдельного VPN на каждом устройстве. Ниже разобрано, как это настроить на ER605 V2 и ER707-M2 под управлением контроллера и в автономном режиме, а затем проверить внешний IP, DNS, IPv6 и поведение при обрыве туннеля.

Определите ревизию, прошивку и режим управления

Сначала посмотрите наклейку на корпусе: модель и аппаратную версию. ER605 V1 и ER605 V2 — разные устройства с разными прошивками. WireGuard для второй ревизии описан в официальном руководстве по WireGuard для ER605 V2, а поддержка протокола у ER707-M2 указана в его характеристиках.

Прошивка шлюза и версия контроллера обновляются независимо друг от друга. Новый контроллер не добавит шлюзу функции, которых нет в его прошивке. Производитель указывает совместимость с Controller 6.2, например, в примечаниях к выпускам ER605 V2 2.4.3 и ER707-M2 1.4.2. Эти выпуски подтверждают совместимую ветку, но устанавливать нужно актуальную исправленную прошивку для вашей ревизии. Перед выбором загляните в бюллетень безопасности Omada.

Затем выясните, как управляется шлюз. Если он принят контроллером, все изменения делаются через контроллер. Выводить устройство из управления ради VPN не стоит: повторное принятие сбросит часть настроек и займёт больше времени, чем сама настройка. Если контроллера нет, шлюз работает в автономном режиме (Standalone) со своим веб-интерфейсом. Дальше эти два варианта описаны отдельно, и шаги из одного не переносятся в другой.

До начала работ сохраните резервную копию конфигурации и подключитесь к шлюзу из локальной сети, лучше по кабелю.

Подготовьте отдельный peer на VPS

Сервер WireGuard на VPS должен уже работать и выпускать клиентов в интернет. Если его ещё нет, пригодится инструкция как установить и настроить WireGuard на VPS. Пересылка трафика и NAT на стороне сервера проверяются заранее с отдельного устройства, например с ноутбука с обычным клиентом WireGuard. Если через сервер не работает даже он, настройки Omada этого не исправят.

Для шлюза создайте отдельный peer со своей парой ключей. Если роутер и телефон используют один и тот же ключ, сервер будет запоминать то один, то другой адрес клиента, и оба соединения начнут обрываться. Страну VPS выбирайте по задержке до нужных сервисов; местоположение сервера не гарантирует доступ к конкретному сервису и не меняет условий использования вашего аккаунта.

Конфигурация WireGuard симметрична. У шлюза в секции интерфейса задаются его собственный приватный ключ и адрес в туннеле, а в секции peer — публичный ключ сервера, Endpoint, разрешённые адреса и keepalive. Пример клиентского профиля с вымышленными значениями:

[Interface]
PrivateKey = <OMADA_CLIENT_PRIVATE_KEY>
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
PublicKey = <VPS_SERVER_PUBLIC_KEY>
PresharedKey = <OMADA_PRESHARED_KEY>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

На сервере этому соответствует peer с публичным ключом шлюза, тем же PresharedKey и разрешённым адресом 10.8.0.2/32. Если сервер знает только туннельный адрес роутера, трафик офисной сети на шлюзе должен транслироваться (NAT) в этот адрес. Если же NAT на шлюзе не выполняется, в разрешённые адреса peer на сервере нужно добавить офисную подсеть, например 192.168.0.0/24, а сервер должен уметь маршрутизировать её и выпускать в интернет. Выберите одну из схем и держите обе стороны согласованными.

PresharedKey — дополнительный симметричный ключ. Если он есть в профиле, он должен совпадать на обеих сторонах. Удалять его ради совместимости не нужно. Сам файл профиля содержит приватный ключ, поэтому не публикуйте его в обсуждениях и не пересылайте по открытым каналам.

Строка AllowedIPs = 0.0.0.0/0 означает полный IPv4-туннель. IPv6 она не охватывает, к этому вернёмся при проверке.

Настройка через Omada Controller 6.2

В Controller 6.2 VPN разделён по назначению: сервер, клиент и соединение между площадками. Для подключения к VPS используется отдельный клиентский раздел с импортом файла, что описано в обзоре интерфейса Controller 6.2. Если в вашем контроллере такого раздела нет или в нём нельзя выбрать WireGuard, остановитесь и проверьте совместимость версий. Раздел VPN Server решает обратную задачу и для подключения к VPS не подходит.

Откройте нужную площадку (Site) и выполните следующие шаги:

1. Перейдите в Network Config → VPN → VPN Client и нажмите Create New VPN Client.
2. Выберите WireGuard, задайте понятное имя, например Office-WG-UK, и включите Status.
3. В блоке Set Up выберите настройку файлом и загрузите профиль через Configuration File → Import.
4. Разверните Connection и сверьте с профилем Endpoint, порт, публичный ключ сервера, адрес туннеля и DNS. Приватный ключ после импорта не меняйте. Если в профиле есть PresharedKey, убедитесь, что он перенёсся. Если ваша версия не показывает такого поля, сверьтесь с документацией, но не убирайте ключ на сервере.
5. В Allowed Server Address для полного IPv4-туннеля должно быть 0.0.0.0/0, а не только внутренняя подсеть VPS.
6. В Local Network Type выберите Custom IP и укажите адрес одного тестового компьютера. Вариант Network понадобится позже, когда будете переводить целую сеть. Сохраните через Apply.

Названия полей взяты из руководства Controller 6.2, раздел 9.3.3. Если ваша связка шлюза и контроллера показывает другой набор полей, ориентируйтесь на документацию именно к ней. Выполняет ли контроллер NAT в туннельный адрес автоматически, зависит от версии. Это видно по результату проверки: если handshake есть, а сайты не открываются, первым делом проверьте, разрешена ли офисная подсеть в peer на сервере.

Состояние соединения смотрите в Network Config → VPN → VPN Status → VPN Client, выбрав WireGuard. Свежий handshake и растущие счётчики обмена показывают, что узлы связаны. О том, какой дорогой идёт трафик компьютеров, они ещё ничего не говорят.

Настройка в автономном режиме

В Standalone WireGuard настраивается вручную: отдельно интерфейс и отдельно удалённый узел. Порядок полей описан в официальном руководстве для ER605 V2, но учтите, что его пример построен вокруг Omada в роли сервера. Для подключения к VPS роли меняются: шлюз выступает клиентом, а данные peer берутся из сервера. Названия разделов зависят от прошивки.

1. В разделе VPN откройте WireGuard и создайте интерфейс. Укажите приватный ключ из профиля (<OMADA_CLIENT_PRIVATE_KEY>), туннельный адрес 10.8.0.2/32 и при необходимости MTU. Порт прослушивания для клиента принципиального значения не имеет.
2. На вкладке Peers добавьте узел, привязанный к этому интерфейсу. Публичный ключ — ключ сервера, Endpoint — 203.0.113.10 с портом 51820, Allowed Address — 0.0.0.0/0, PresharedKey — из профиля, Persistent Keepalive — 25.
3. Создайте правило политики маршрутизации: источник — тестовый компьютер или нужная подсеть, назначение — интернет, выход — интерфейс WireGuard. Одно лишь создание peer не доказывает, что весь интернет пойдёт через туннель.
4. Исключите из туннеля локальные и служебные направления: офисные подсети, адрес самого шлюза и, если интерфейс позволяет, публичный адрес VPS. Трафик к Endpoint должен идти через WAN, иначе туннель попытается проходить сам через себя.
5. Проверьте NAT для интерфейса WireGuard. Если сервер знает только адрес 10.8.0.2, трафик LAN должен транслироваться в него. Если вы выбрали схему без NAT, офисная подсеть должна быть разрешена в peer на сервере.

Маршрутизация, NAT и исключения должны соответствовать друг другу. Типичная ошибка выглядит так: политика отправляет подсеть в туннель, NAT отсутствует, а сервер отбрасывает пакеты с незнакомого адреса источника.

Проверьте внешний IP на одном компьютере

Для первой проверки возьмите ноутбук с закреплённым за ним DHCP-адресом, чтобы правило не потеряло его после продления аренды. Отключите на нём браузерный прокси и собственный VPN. Откройте сервис проверки внешнего адреса до включения правила и после. При работающем полном туннеле должен отобразиться адрес VPS. Проверять нужно именно с компьютера за шлюзом: запрос из контроллера или из самого роутера маршрут клиента не показывает.

Если результат правильный, постепенно добавляйте нужные компьютеры или сети. Принтеры, кассовые терминалы и телефонию переносите только при реальной необходимости: им важнее стабильный прямой доступ.

Проверьте DNS и IPv6

Сайт может открываться через VPS, а имя этого сайта при этом будет разрешаться прежним DNS-сервером. Запустите DNS-тест, посмотрите DNS-серверы, полученные ноутбуком, и проверьте, включён ли в браузере защищённый DNS. Учтите, что тест показывает резолвер, обработавший запрос, а не путь, которым запрос к нему дошёл. Одно незнакомое имя резолвера ещё не означает утечку. Делать выводы стоит, сопоставив адрес резолвера с настройками DNS на шлюзе и в профиле.

IPv6 проверяется отдельно, потому что 0.0.0.0/0 его не охватывает. Если в офисе работает IPv6, а профиль рассчитан только на IPv4, часть сайтов пойдёт напрямую через провайдера. Откройте сервис, который показывает IPv6-адрес отдельно. Для теста можно временно отключить IPv6 на одном компьютере или настроить и проверить IPv6-маршрутизацию через туннель, если её поддерживают сервер и ваша версия прошивки. Отключать IPv6 на всём WAN наугад не стоит: у некоторых провайдеров от него зависит само подключение.

Проверьте поведение при обрыве туннеля

Обеспечьте себе доступ к VPS, не зависящий от этого туннеля, например через консоль провайдера. На короткое время остановите службу WireGuard на сервере, оставив профиль и правила на Omada включёнными. Если сервер используется не только вами, согласуйте это заранее. Затем проверьте внешний адрес с тестового компьютера в новом соединении: в приватном окне или на другом сервисе проверки. Обновление уже открытой страницы может показать результат из кеша. Если появился адрес провайдера, при падении туннеля трафик уходит напрямую.

Выключение профиля в Omada для такой проверки не подходит, потому что оно снимает саму VPN-политику. Описанная настройка не включает автоматическую блокировку трафика при обрыве. Есть ли в вашей версии прошивки или контроллера подобная опция, нужно уточнять в документации к ней. Если её нет, строгий запрет прямого выхода для выбранных клиентов строится правилами межсетевого экрана и проверяется тем же способом. После теста запустите службу на сервере и убедитесь, что handshake обновился и внешний адрес снова принадлежит VPS.

Диагностика по признакам

Меняйте по одному параметру за раз. Если handshake не появляется, сверьте Endpoint, UDP-порт, пары ключей, PresharedKey и доступность порта на VPS. Если обмен есть, а внешний адрес не меняется, проверьте выбранный локальный адрес или правило политики и значение 0.0.0.0/0. Если адрес сменился, но сайты не открываются, проверьте NAT на шлюзе или разрешённую подсеть на сервере. Если открывается только часть сайтов, займитесь DNS и размером пакетов.

MTU не стоит уменьшать наугад. Запишите текущее значение и выясните MTU внешнего соединения: у PPPoE он меньше, чем у обычного Ethernet, а универсального числа для всех провайдеров нет. Keepalive нужен, чтобы соединение за NAT не простаивало; принцип описан в официальном Quick Start WireGuard.

Чтобы вернуть прежнюю схему, отключите созданный клиент или интерфейс и удалите относящиеся к нему правила маршрутизации и NAT. На тестовом компьютере верните DNS и IPv6 в исходное состояние. Сбрасывать шлюз к заводским настройкам для этого не нужно. Если WireGuard в вашей версии недоступен, есть вариант с OpenVPN на TP-Link Omada, а другие роутеры и протоколы собраны в обзоре VPN на роутере для всего дома.