Как настроить WireGuard на роутере ASUS

Какие ASUS поддерживают WireGuard

Короткий ответ: актуальные модели на прошивке ветки 388 и новее. ASUS добавил поддержку WireGuard в ASUSWRT начиная с версии 3.0.0.4.388.23000 — если на роутере стоит что-то более раннее, протокола в интерфейсе просто не будет, и никакие настройки его не вернут. Полный перечень совместимых устройств производитель ведёт на странице поддержки конкретной модели, поэтому самый надёжный способ — открыть карточку своего роутера на сайте ASUS и посмотреть, есть ли для него прошивка 388-й ветки.

Практическое правило звучит так: если модель вышла в последние несколько лет и относится к линейкам RT-AX, ZenWiFi или ROG Rapture, поддержка почти наверняка есть. Более старые устройства на 386-й прошивке умеют OpenVPN и IPsec, но не WireGuard — это касается и популярных моделей серии AC вроде RT-AC68U и RT-AC86U. Часть новых моделей, прежде всего с Wi-Fi 7, работает на ветке прошивки 3.0.0.6.102 — WireGuard в ней тоже есть.

Отдельная история — альтернативная прошивка Asuswrt-Merlin. Это сборка на основе официального кода ASUS с расширенными возможностями, и WireGuard-клиент с настройкой в веб-интерфейсе появился в ней в версии 388.1 — только для моделей серии AX. Логика настройки похожая, но названия разделов отличаются — разберём их ниже.

Зачем вообще поднимать туннель на роутере, а не на каждом устройстве: шифрованное соединение устанавливается один раз, и им пользуется весь дом, включая технику, куда VPN-клиент не установить — телевизоры, приставки, игровые консоли, камеры. Плюсы и минусы обоих подходов сравниваются в материале VPN на роутере или на устройстве.

Шаг 1. Обновляем прошивку

Начните с проверки версии. Откройте веб-интерфейс роутера по адресу router.asus.com или 192.168.50.1 и войдите под учётной записью администратора. Текущая версия прошивки показана в правом верхнем углу и продублирована в разделе «Администрирование» → «Обновление прошивки».

1. Нажмите проверку обновлений — роутер сам найдёт свежую версию, если она есть.
2. Если автоматическая проверка ничего не находит, скачайте файл прошивки со страницы поддержки вашей модели на сайте ASUS и загрузите его вручную на той же странице.
3. Дождитесь завершения обновления и перезагрузки. Процесс занимает несколько минут, отключать питание в это время нельзя.

После обновления с крупным изменением версии — например, с 386-й ветки на 388-ю — имеет смысл сбросить роутер к заводским настройкам и настроить заново. Это выглядит как лишняя работа, но избавляет от странных эффектов, когда часть старых параметров конфликтует с новым функционалом. Перед сбросом сохраните файл резервной копии настроек, чтобы помнить, что именно было настроено.

Проверьте результат: в боковом меню в разделе VPN должен появиться пункт VPN Fusion, а внутри него — возможность создать профиль с типом WireGuard.

Шаг 2. Получаем конфиг для роутера

ASUSWRT работает с обычным файлом конфигурации WireGuard — тем же .conf, который используют приложения на телефоне и компьютере. Ключи, адрес сервера и параметры туннеля внутри файла уже прописаны, вручную вводить ничего не нужно.

Важное правило: конфиг для роутера должен быть отдельным. Одна пара ключей рассчитана на одно устройство — если поднять тот же файл ещё и на телефоне, сервер увидит два источника с одним ключом и начнёт рвать соединение обоим. В Muhomor VPN на одном доступе выпускается до пяти конфигов, и в разделе «Устройства» на главной странице для роутера создаётся собственный профиль с понятным именем.

Если доступа ещё нет, оформите пробный период на главной странице: 3 дня бесплатно, без карты и автосписаний, нужен только e-mail. Файл придёт письмом в течение нескольких минут. Сохраните его на тот компьютер, с которого открыт веб-интерфейс роутера — загружать конфиг вы будете именно оттуда.

Не открывайте файл в текстовом редакторе с последующим пересохранением: изменённая кодировка или лишние символы в конце строк ломают импорт, и роутер откажется принимать конфигурацию без внятного объяснения причин.

Шаг 3. Создаём профиль в VPN Fusion

VPN Fusion — это раздел ASUSWRT, который отвечает за исходящие VPN-подключения роутера. Его главная особенность в том, что одновременно может работать несколько туннелей, а для каждого устройства локальной сети выбирается, каким из них пользоваться.

1. В боковом меню откройте раздел VPN и выберите VPN Fusion.
2. Нажмите Add profile («Добавить профиль»).
3. В типе подключения выберите WireGuard.
4. Задайте описание профиля — например «Домашний туннель», чтобы потом отличать его от других подключений.
5. Нажмите Upload Config и укажите свой файл .conf. Поля с ключами, адресом и портом сервера заполнятся автоматически.
6. Сохраните профиль и включите его — подключение активируется по нажатию на строку профиля в списке.

После включения в списке профилей появится индикатор состояния. Подключённый туннель отображается как активный; если состояние остаётся в ожидании, переходите к разделу с разбором ошибок в конце статьи.

Пошаговые скриншоты официального интерфейса производитель публикует в собственной базе знаний — если ваша версия прошивки выглядит иначе, сверяйтесь именно с ней, потому что мелкие детали оформления от версии к версии меняются.

Шаг 4. Выбираем, какие устройства идут в туннель

Это самая полезная часть VPN Fusion и причина, по которой на ASUS удобно жить с туннелем постоянно. Роутер не обязан отправлять через шифрованный канал весь трафик — можно перечислить конкретные устройства.

В карточке профиля прокрутите страницу вниз до блока со списком клиентов локальной сети. Нажатием на значок устройства откроется перечень всего, что подключено к роутеру: телефоны, ноутбуки, телевизор, приставка. Отметьте те, которым положен туннель, и нажмите Apply all settings — изменения применятся сразу, перезагрузка не нужна.

Схема, которая на практике работает лучше всего: телевизор, медиаприставка и рабочий ноутбук ходят через туннель, а телефон с банковскими приложениями и умные устройства с локальными сервисами остаются на прямом подключении. Так не приходится каждый раз подтверждать вход в приложениях, которые настораживаются при смене адреса.

Если хочется, наоборот, отправить в туннель вообще весь трафик, в карточке профиля выберите применение ко всем устройствам (Apply to all devices) — тогда профиль становится основным подключением для выхода в интернет. Учтите, что тогда через шифрованный канал пойдут и устройства, которым это не нужно, — включая умные колонки и камеры, чувствительные к задержкам.

Третий вариант — вообще не делить трафик настройками роутера, а взять профиль с раздельным туннелированием, где список правил лежит внутри самого конфига и обновляется на стороне сервиса. Как это устроено, объясняет материал что такое split tunneling.

Asuswrt-Merlin: WireGuard-клиент и VPN Director

На Asuswrt-Merlin интерфейс другой, хотя логика та же. WireGuard-клиент с настройкой через веб-интерфейс есть в прошивке начиная с версии 388.1 и только для моделей серии AX; одновременно можно держать до пяти клиентов.

1. Откройте VPN → VPN Client → вкладку WireGuard и выберите номер клиента — от 1 до 5.
2. В строке Import config выберите свой файл .conf и нажмите Upload: ключи, адрес, DNS, MTU и параметры сервера заполнятся из секций [Interface] и [Peer]. Если импорт не сработал, те же значения можно перенести вручную.
3. Проверьте два параметра. Enable NAT оставьте Yes — без него устройства домашней сети не выйдут в интернет через туннель. Inbound Firewall оставьте Block, чтобы снаружи через туннель к роутеру нельзя было подключиться.
4. Включите клиент и нажмите Apply.

Маршрутизация через VPN Director

Главное отличие от стоковой прошивки: у WireGuard-клиентов в Merlin нет переключателя «весь трафик в туннель», как у OpenVPN. Маршрутизацией всегда управляет страница VPN Director, где туннели обозначены как WGC1–WGC5. Правило описывается тремя параметрами: локальный IP (устройство или подсеть в вашей сети), удалённый IP (адрес назначения, можно оставить пустым) и интерфейс — нужный WireGuard-клиент или WAN.

• Весь дом через туннель: правило с локальным адресом всей подсети, например 192.168.50.0/24, и интерфейсом WGC1.
• Одно устройство: правило с его локальным IP и интерфейсом WGC1. Адрес устройства лучше закрепить в настройках DHCP, иначе после его смены правило перестанет срабатывать.
• Раздельное туннелирование по адресам: заполните удалённый IP — в туннель пойдёт только трафик к этой сети, остальное напрямую.
• Исключение из туннеля: правило с интерфейсом WAN. Правила WAN проверяются первыми, затем правила OpenVPN-клиентов и только потом WireGuard, поэтому исключение сработает даже внутри правила для всей подсети.

Несколько клиентов позволяют развести разные группы устройств по разным профилям. На каждый профиль нужен отдельный конфиг — на одном доступе Muhomor VPN их выпускается до пяти.

AmneziaWG на роутере ASUS

Короткий ответ: штатно — никак. Ни в стоковой прошивке с VPN Fusion, ни в Asuswrt-Merlin поддержки AmneziaWG нет, и автор Merlin встраивать её в прошивку не планирует: AmneziaWG работает как отдельная программа в пространстве пользователя, а WireGuard в прошивке построен на модуле ядра. Поэтому типа «AmneziaWG» в списке VPN Fusion нет, а конфиг AmneziaWG с параметрами Jc, S1, H1 и другими работать в нём не будет. Что это за протокол и зачем он нужен, объясняет статья что такое AmneziaWG.

Что остаётся:

• Сторонние аддоны для Merlin. Энтузиасты выпускают скрипты, которые ставят amneziawg-go через Entware и добавляют в интерфейс свою страницу. Маршрутизация у них своя, VPN Director они не используют. Это неофициальный путь: совместимость с обновлениями прошивки никто не гарантирует.
• AmneziaWG на устройствах. Бесплатное приложение AmneziaVPN есть для телефонов и компьютеров; роутер при этом остаётся без туннеля.
• Другой роутер. Keenetic поддерживает параметры AmneziaWG начиная с KeeneticOS 4.2, а на OpenWrt ставятся сторонние пакеты — подробности в инструкциях для Keenetic и OpenWrt.

Если же обычный WireGuard на ASUS работает стабильно, менять ничего не нужно: VPN Fusion с готовым конфигом — самый простой вариант.

Проверка, DNS и MTU

Проверка занимает пару минут и состоит из трёх пунктов.

1. Состояние профиля. В списке VPN Fusion подключение должно быть активным, а не в состоянии ожидания или ошибки.
2. Внешний адрес. С устройства, которое вы отметили в профиле, откройте любой сервис определения IP — адрес должен отличаться от провайдерского. Обязательно проверяйте именно с этого устройства и именно по Wi-Fi от настроенного роутера: половина обращений в поддержку закрывается тем, что проверку делали с мобильного интернета.
3. DNS. Убедитесь, что имена сайтов резолвятся через сервер из конфига. Как это корректно проверить, описано в статье проверка утечек DNS и IP.

Если лёгкие страницы открываются, а тяжёлые сайты и загрузки зависают на середине, дело в MTU: пакет вместе с заголовками WireGuard не помещается в канал. Штатное значение для протокола — 1420 байт, для подключений через PPPoE и мобильные модемы его снижают шагами по 20 байт: 1400, 1380, 1360. В ASUSWRT этот параметр доступен в расширенных настройках профиля, а если поля нет, значение правится в самом файле конфигурации перед загрузкой.

Типичные ошибки и что с ними делать

Ниже то, с чем чаще всего сталкиваются владельцы ASUS при первой настройке.

Если ни один пункт не подошёл, соберите факты: модель роутера, версию прошивки и состояние профиля. Общий алгоритм диагностики собран в статье WireGuard не подключается, а поддержка Muhomor VPN отвечает в Telegram-боте @muhomorvpn_bot и на почте vpn@muhomorvpn.ru. Пробный доступ — 3 дня бесплатно, дальше 30 дней стоят 320 ₽ разовым платежом, без подписок и автопродлений.