Настройка Wireguard VPN в роутере LT40/LT5x

Введение: Зачем нужен WireGuard?

WireGuard — это современный, быстрый и безопасный протокол VPN, разработанный для упрощения настройки и повышения производительности по сравнению с традиционными решениями (например, OpenVPN). Он идеально подходит для создания защищённых соединений между удалёнными сетями или устройствами.

Основные преимущества WireGuard:

Высокая скорость: Минимальные накладные расходы благодаря простой архитектуре.
Простота настройки: Меньше параметров и конфигураций по сравнению с другими VPN.
Надёжная криптография: Использует современные алгоритмы шифрования (ChaCha20, Poly1305, Curve25519).
Поддержка NAT и мобильных устройств: Хорошо работает через NAT и сохраняет соединение при переключении сетей.

В данной статье описана настройка WireGuard между двумя роутерами TELEOFIS LT50 на версии прошивки va1.2.0 для объединения двух локальных сетей через интернет, как будто они находятся в одном сегменте.

Настройка на стороне сервера

Перейдите в раздел Сеть → Интерфейсы.
Нажмите кнопку "Добавить новый интерфейс".
Укажите имя интерфейса (например, wg) и выберите протокол WireGuard VPN, затем нажмите "Применить".
На вкладке "Основные настройки":
- Сгенерируйте пару ключей, нажав кнопку "Сгенерировать ключи" (1)
- Скопируйте публичный ключ — он понадобится при настройке клиента (2)
- Укажите порт для входящих соединений (например, 1515) (3)
- В поле "IP-адреса" задайте туннельный адрес сервера, например: 10.0.0.1/24 (4)
Перейдите во вкладку "Настройки межсетевого экрана":
- Создайте новую зону (например, wg) и нажмите "Сохранить и применить".

Настройка межсетевого экрана

Перейдите в раздел Сеть → Межсетевой экран → Правила для трафика.
Внизу страницы найдите поле "Открыть порты на маршрутизаторе".
Укажите:
- Имя правила: например, wg
- Протокол: UDP
- Внешний порт: тот же, что указан в настройках интерфейса (в нашем случае — 1515)
Нажмите "Добавить", затем "Сохранить и применить".

Настройка на стороне клиента

Аналогично серверу, перейдите в Сеть → Интерфейсы и создайте новый интерфейс wg с протоколом WireGuard.
На вкладке "Основные настройки":
- (1) Сгенерируйте новую пару ключей.
- (2) Скопируйте публичный ключ для последующего использования на сервере.
- (3) Укажите туннельный IP-адрес клиента: 10.0.0.10/24.
Ниже на странице в разделе "Пиры" нажмите "Добавить" (4).
Заполните поля:
- Описание: например, server
- Публичный ключ: вставьте ключ, скопированный ранее на сервере (1)
- Разрешённые IP-адреса: укажите 10.0.0.1/32, 192.168.88.0/24 (2)
  Примечание: Разрешённые IP определяют, какой трафик будет направляться через туннель. Указывайте здесь сети или адреса, доступ к которым должен быть у клиента (например, LAN-подсеть сервера). Если вы хотите пробросить весь интернет через сервер, используйте 0.0.0.0/0. Но если нужно только соединение с локальной сетью сервера — указывайте конкретные подсети.
- Маршрутизировать разрешённые IP: установите галочку (3)
  Примечание: Эта опция добавляет маршруты в систему. Включайте её, если вы хотите, чтобы трафик к указанным в "Разрешённые IP" адресам автоматически шёл через туннель. Отключайте, если маршрутизация настраивается вручную.
- Адрес конечного хоста: внешний IP или доменное имя сервера (4)
- Порт конечного хоста: порт, указанный на сервере (например, 1515) (5)
- Постоянное поддержание активности: установите значение 25 (6)
  Рекомендация WireGuard: keepalive каждые 25 секунд помогает поддерживать соединение при NAT и предотвращает его обрыв.

Настройка пира на сервере

Вернитесь на сервер, откройте интерфейс wg и перейдите в раздел "Пиры".
Нажмите "Добавить" и заполните:
- Описание: например, client
- Публичный ключ клиента: вставьте ключ, скопированный на клиенте
- Разрешённые IP-адреса: 10.0.0.10/32 (или подсеть клиента, например 192.168.89.0/24)
- Адрес и порт клиента: не указываются (сервер принимает подключения от любого IP)
- Постоянное поддержание активности: 25, аналогично клиенту

Настройка межсетевого экрана на обоих сторонах

Перейдите в Сеть → Межсетевой экран → Основные настройки.
Найдите созданную зону wg и нажмите "Изменить".
Установите следующие параметры:
- Перенаправление: Принимать
- Разрешить перенаправление в зоны-назначения: lan
- Разрешить перенаправление из зон-источников: lan
Сохраните изменения.

Завершение настройки

Перейдите в Сеть → Интерфейсы.
Перезапустите интерфейс wg на обоих роутерах (нажмите "Перезапустить").

Дополнительная проверка и диагностика

В консоли роутера выполните команду для проверки таблицы маршрутизации:
```
route -n
```
Убедитесь, что маршрут через интерфейс wg добавлен корректно.
Проверьте связь с обеих сторон:
- Пинг до туннельного адреса (например, ping 10.0.0.1 или ping 10.0.0.10).
- Пинг до локального IP-адреса устройства на противоположной стороне (например, ping 192.168.88.1).
Для отслеживания состояния соединения перейдите в веб-интерфейс:
Состояние → WireGuard Status
Здесь отображается текущее состояние туннеля, количество переданных данных и активные пиры.

Заключение

Настройка WireGuard на роутерах LT40/LT5x позволяет быстро и безопасно объединить удалённые сети. После настройки устройства в разных локациях могут взаимодействовать так, как будто они находятся в одной локальной сети. Это удобно для доступа к принтерам, NAS, камерам и другим сервисам без необходимости сложной маршрутизации.