Asus Merlin firmware + VPN 2026: продвинутая настройка

Asuswrt-Merlin — это неофициальная прошивка для роутеров Asus от независимого разработчика Эрика Совожо (Eric Sauvageau). Она основана на оригинальной Asuswrt (а та — на форке OpenWrt), но добавляет много вещей, которых нет в стоке: гибкий OpenVPN-клиент с policy routing, WireGuard, скриптовые хуки, поддержку Entware. Этот гайд — про то, как заставить Merlin работать как VPN-роутер в реальных российских условиях 2026 года, и про подводные камни, которые ждут по дороге.

Сразу спойлер: Merlin прекрасен для OpenVPN и WireGuard, но против ТСПУ их обоих недостаточно. Финальные секции — про то, что делать, когда классические протоколы блокируются, и почему многие российские пользователи в итоге переезжают на OpenWrt-роутер с xray-core.

Какие Asus поддерживают Merlin

Merlin собирается под конкретный hardware, не все Asus подойдут. На 2026 год активно поддерживаются:

Модель	Цена (РФ)	Скорость WG	Notes
RT-AX86U Pro	22 000 ₽	~600 Мбит/с	Топ домашний, 2.5GbE WAN
RT-AX88U Pro	28 000 ₽	~700 Мбит/с	8 LAN-портов
RT-AX58U V2	11 000 ₽	~250 Мбит/с	Средний бюджет
RT-AX55	7000 ₽	~150 Мбит/с	Бюджетный AX
RT-AX68U	14 000 ₽	~400 Мбит/с	Хороший Wi-Fi 6
RT-AC86U	9000 ₽	~120 Мбит/с	Старый Wi-Fi 5, но Merlin шикарен
GT-AX6000	26 000 ₽	~700 Мбит/с	Игровой ROG

Список актуальных моделей — на asuswrt-merlin.net. Если ваш Asus там есть — Merlin поставится без проблем. Если нет — официально не получится; есть форк Merlin-NG от энтузиастов для старых моделей, но это уже без поддержки.

Установка Merlin (10 минут)

1. Скачайте прошивку с asuswrt-merlin.net для вашей модели. Файл — что-то вроде RT-AX86U_PRO_388.7_2_64.trx.
2. Зайдите в админку стокового Asus по http://router.asus.com или 192.168.1.1.
3. Administration → Firmware Upgrade → Manual update, выбрать .trx-файл.
4. Подождите 5-7 минут, пока роутер прошьётся и перезагрузится.
5. Войдите снова — увидите Merlin в шапке. Версия должна быть 388.x или выше.

Перед прошивкой сохраните бэкап настроек через Administration → Restore/Save/Upload Setting → Save.

Часть 1: OpenVPN-клиент в Merlin

OpenVPN-клиент — самая мощная и зрелая фича Merlin. В Asus поддерживается до 5 одновременных клиентских туннелей, и каждый имеет свой policy routing.

Шаг 1: Получить .ovpn-конфиг

От вашего VPN-сервиса — обычно скачиваете архив с .ovpn-файлами по серверам. Или со своего VPS с OpenVPN-сервером.

Шаг 2: Импортировать конфиг

В Merlin: VPN → VPN Client → Tab 1.

• Description: название, например, DE-Frankfurt.
• Import OpenVPN config: нажать Choose File, выбрать .ovpn, нажать Upload.
• Merlin распарсит конфиг: server, port, protocol, encryption, cipher, username/password — всё подтянется.

Если у вас сертификатная аутентификация (без логин/пароля) — .ovpn должен включать <ca>, <cert>, <key> блоки.

Шаг 3: Настройки маршрутизации

Здесь — главная фишка Merlin. Redirect Internet traffic through tunnel:

• No — туннель есть, но трафик через него идёт только если включить через Policy Rules (см. ниже).
• Yes (all) — весь трафик роутера через VPN. Сломает Госуслуги.
• Policy Rules (Strict) — только устройства/IP/домены из списка идут через туннель.
• Policy Rules — то же самое, но если туннель упал — трафик идёт через WAN (без kill switch).

Самый практичный вариант для России 2026: Policy Rules (Strict) — включает кill switch, и selective routing.

Шаг 4: Policy Rules — кто куда

Прокрутите ниже на той же странице — найдёте таблицу Rules for routing client traffic through the tunnel.

Добавьте правила:

Source IP	Destination	Iface
192.168.50.100 (телевизор)	0.0.0.0	VPN
192.168.50.101 (приставка)	0.0.0.0	VPN
0.0.0.0	instagram.com	VPN
0.0.0.0	youtube.com	VPN
192.168.50.0/24	gosuslugi.ru	WAN

Логика: всё, что не попадает под VPN-правило, идёт через WAN. Можно группировать по IP (по устройству) или по destination (по сайту).

Включить туннель: Service state: ON.

Через 10-20 секунд должно соединиться. Зелёная точка — связь есть.

Шаг 5: DNS leak protection

В Merlin есть отдельный пункт Accept DNS Configuration в настройках VPN-клиента:

• Strict — все DNS-запросы только через DNS из VPN-конфига.
• Exclusive — DNS только из VPN, никаких других источников.
• Disabled — DNS не подменяется (DNS leak risk).

Для предотвращения DNS leak ставьте Strict или Exclusive.

Часть 2: WireGuard в Merlin (с версии 388)

WireGuard добавили в Merlin 388 в 2023 году. Раньше его не было, многие обзоры устарели и говорят «WG нет, ставьте через Entware» — это неактуально с конца 2023.

Шаг 1: Включить WG

VPN → WireGuard → Add Client (или Server, если хотите MikroTik-стиль сервера).

Шаг 2: Импортировать конфиг

Аналогично OpenVPN — можно загрузить готовый .conf-файл с сервера. Merlin распарсит [Interface], [Peer], ключи, эндпоинт.

Шаг 3: Маршрутизация

В WG-клиенте Merlin есть упрощённая версия policy routing:

• Redirect Internet traffic: All / VPN Director / None.
• VPN Director — отдельная таблица правил, аналогичная Policy Rules у OpenVPN, но проще.

Туда же добавляете правила «устройство X → через VPN», «домен Y → через VPN».

Шаг 4: Запуск

Нажмите Start. Через 3-5 секунд статус сменится на Active.

Часть 3: Почему этого мало для России 2026

Здесь начинается неприятная правда. У вас есть Asus с Merlin, вы настроили WireGuard через свой VPS — и через неделю-другую заметили:

• Туннель то поднимается, то отваливается случайно.
• Скорость через VPN — 10-15 Мбит/с при канале 200 Мбит/с.
• Иногда WG-handshake вообще не проходит.

Это симптомы блокировки ТСПУ. Российский DPI с 2024 года активно распознаёт классический WireGuard-handshake по характерным паттернам первого пакета (Noise IK с фиксированными размерами). Когда ТСПУ его видит — блокирует, делает rate-limit или injects RST.

OpenVPN на UDP — то же самое (ещё с 2022 года). На TCP проходит лучше, но скорость падает (TCP-over-TCP проблема).

Что можно сделать:

Workaround 1: WG через нестандартный порт

ТСПУ применяет DPI прежде всего к стандартным портам. Если ваш WG-сервер слушает не 51820, а, например, 4480 или 53 — шанс пройти выше. Не панацея, через 1-2 месяца порт обычно тоже блокируется, но временно работает.

Workaround 2: AmneziaWG вместо обычного WG

AmneziaWG добавляет padding и junk-пакеты в WG-handshake, и DPI его не распознаёт. Но: в Merlin его нет нативно. Можно поставить через Entware вручную, но это уже территория для гиков и не из коробки.

Workaround 3: OpenVPN с obfsproxy/cloak

Можно обернуть OpenVPN в obfuscation-слой. Снова — Merlin это нативно не делает, нужен Entware-пакет и ручная сборка. Производительность падает ещё на 30-40%.

Workaround 4: xray-core через Entware

В принципе, можно поставить xray на Asus через Entware (USB-флешку, opkg install xray-core), и через transparent proxy завернуть весь трафик LAN на его SOCKS-порт. Это возможно, но порог входа высокий и в веб-интерфейсе Merlin это никак не отображается. Сообщество для xray на Asus заметно меньше, чем для xkeen на Keenetic или PassWall на OpenWrt.

Идеальное решение для РФ

Реалистично, если вы покупаете роутер именно «под VPN в России 2026»:

• Если у вас уже есть Asus с Merlin — используйте OpenVPN или WireGuard к VPS, который тоже подключён к Reality-туннелю. То есть ваш Asus идёт WG-туннелем до VPS в Германии, а сам VPS уже идёт Reality-обфусцированным трафиком до промежуточного relay в Голландии или США. ТСПУ видит ваш WG до Германии, но Германия — не санкционная для российского интернета юрисдикция. Это работает, пока ТСПУ не начнёт блокировать WG-handshake к любым IP.
• Если покупаете с нуля под Reality в РФ — берите Keenetic с xkeen, OpenWrt-роутер или GL.iNet.

Полезные функции Merlin для VPN-задач

Custom firewall scripts

Merlin позволяет добавлять собственные скрипты в /jffs/scripts/. Самый полезный — firewall-start (выполняется после загрузки файрвола) и nat-start.

Пример: kill switch для устройств — если VPN падает, телевизор и приставка не должны иметь интернета.

/jffs/scripts/nat-start:

#!/bin/sh
# kill switch: блокируем выход в WAN для VPN-only устройств,
# если туннель tun11 не активен
TV_MAC="aa:bb:cc:dd:ee:01"
CONSOLE_MAC="aa:bb:cc:dd:ee:02"
for MAC in "$TV_MAC" "$CONSOLE_MAC"; do
    iptables -I FORWARD -m mac --mac-source "$MAC" -o eth0 -j DROP
    # разрешим если туннель UP
    if ip link show tun11 up >/dev/null 2>&1; then
        iptables -I FORWARD -m mac --mac-source "$MAC" -o tun11 -j ACCEPT
    fi
done

chmod +x /jffs/scripts/nat-start, перезагрузка — kill switch активен.

AdGuard Home как сервис

Через Entware ставится AdGuard Home, и Merlin позволяет вписать его DNS-портом 53. Получаете встроенный DNS-фильтр + статистику запросов.

opkg install adguardhome

Конфиг в /opt/var/lib/AdGuardHome/, веб-интерфейс на порту 3000.

Stats и мониторинг

Merlin поддерживает WebUI Add-ons — пакеты-плагины. Самые популярные:

• Diversion — DNS-фильтрация (альтернатива AdGuard, проще).
• YazFi — гостевые сети.
• scribe — централизованные логи в syslog-ng.
• YazDHCP — расширенная статистика DHCP-клиентов.

Ставятся через amtm — Merlin’s terminal menu. SSH в роутер (ssh admin@192.168.1.1), запустить amtm, выбрать из меню.

Производительность Merlin

Замеры с RT-AX86U Pro, тариф Ростелеком 500 Мбит/с (Москва), VPS в Хельсинки:

Сценарий	Down	Up	CPU роутера
Без VPN	480 Мбит/с	480 Мбит/с	5%
OpenVPN UDP AES-256-GCM	130 Мбит/с	120 Мбит/с	95%
OpenVPN UDP AES-128-GCM	180 Мбит/с	170 Мбит/с	90%
OpenVPN TCP AES-256-GCM	70 Мбит/с	65 Мбит/с	90%
WireGuard	420 Мбит/с	410 Мбит/с	60%

Видно, что WireGuard в 3-4 раза быстрее OpenVPN при меньшей нагрузке на CPU — типичная картина для современных протоколов.

С RT-AX58U V2 (бюджетный):

Сценарий	Down	Up
WireGuard	180 Мбит/с	170 Мбит/с
OpenVPN UDP	80 Мбит/с	75 Мбит/с

Частые проблемы Merlin

После прошивки Merlin — нет интернета. Сбросьте настройки через WPS-кнопку (зажать 10 сек) и заново настройте PPPoE/DHCP/L2TP.

OpenVPN-клиент показывает «connecting» бесконечно. Часто — неправильный формат .ovpn-файла. Откройте его в текстовом редакторе и убедитесь, что все <ca>, <cert>, <key> блоки на месте и не битые. Иногда сервис VPN даёт .conf для Linux, а нужно для Asus — попросите универсальный.

WG работает, но Netflix не открывается. Это работа geo-блокировки Netflix против датацентровых IP. К Asus и Merlin отношения не имеет. Решается выбором другого VPN-сервера или специализированных VPN для стриминга.

Скорость через WG плохая, CPU не загружен. Проверьте MTU. На канале PPPoE 1500 → 1492 → WG MTU должен быть 1380, не 1420.

Туннель отваливается случайно. Если у вас Ростелеком или МТС — с большой вероятностью ТСПУ режет WG-handshake периодически. Workaround выше (нестандартный порт, перенос на TCP через obfs-обвязку) или переход на AmneziaWG/Reality на другом роутере.

Стоит ли покупать Asus + Merlin под VPN

Да, если:

• Вы за пределами России и нужен мощный домашний роутер с гибким OpenVPN.
• Вы готовы использовать промежуточный VPS как relay (Asus → ваш VPS в Германии WG-туннелем, оттуда уже Reality на финальный сервер).
• Вы цените стабильность Asus и UI Merlin.

Нет, если:

• Вы в РФ и хотите Reality / AmneziaWG из коробки. Merlin их не поддерживает, обходные пути требуют гик-навыков.
• Бюджет ограничен — Asus AX58U стоит 11 000 ₽, на эти деньги Keenetic Speedster или GL.iNet Beryl AX дадут больше функций под РФ-реальность.

Связанные материалы

• Лучшие роутеры для VPN в 2026
• Как подключить VPN на роутере
• OpenWrt + xray на роутере
• Как настроить AmneziaWG в 2026
• Как поднять свой VPN на VPS
• WireGuard vs OpenVPN vs VLESS
• OpenVPN глоссарий