Как настроить доступ к видеорегистратору через VPN: инструкция для владельца

Материал актуален на 19 октября 2026 года: пути меню сверены с официальной документацией производителей на эту дату. Интерфейсы роутеров меняются с обновлениями, поэтому мы будем обновлять инструкцию. Автор — команда Video-Standart: продажа, монтаж и настройка систем видеонаблюдения.

Кратко. VPN позволяет смотреть камеры с телефона так, будто вы в локальной сети объекта, и при этом не открывать регистратор в интернет. Для этого нужен роутер с функцией VPN-сервера и, чаще всего, «белый» (публичный) IP-адрес от провайдера. Ниже — что именно нужно, как настроить популярные роутеры по их официальной документации, как подключить телефон и как проверить, что лишних портов наружу не осталось.

Пометки в тексте: документация — официальная документация производителя оборудования или программы; наш опыт — наш опыт и практические советы. Ссылки на документацию — в тексте и в конце статьи.

Зачем VPN вместо открытых портов и P2P

• Открытые порты (переадресация 37777, 80, 554 и т. д. на роутере) делают регистратор доступным для любого в интернете. Именно через открытый порт 37777 в 2026 году получили доступ к большинству устройств в крупной кампании против камер Dahua — подробно в статье «Взлом камер Dahua в 2026 году: что известно и как защитить видеонаблюдение».
• P2P (облако производителя) прост в настройке, но доступ зависит от сервера производителя, а устройство должно быть с актуальной прошивкой и сложным паролем.
• VPN — защищённое соединение с сетью объекта. Из интернета виден только VPN-сервер роутера, а регистратор и камеры — нет. Минус: нужна разовая настройка.

Что нужно

1. Роутер с VPN-сервером

Самый распространённый современный протокол — WireGuard; также часто доступен OpenVPN. Поддержка зависит от модели и версии прошивки роутера — ниже для каждого производителя указано, что сказано в документации.

2. Белый IP или DDNS

Чтобы телефон мог «найти» роутер из интернета, у роутера должен быть публичный («белый») IP-адрес. Многие провайдеры выдают серые адреса по технологии CGNAT — тогда VPN-сервер на роутере извне недоступен.

• Как проверить. документация По справке Keenetic: сравните WAN-адрес в роутере с адресом, который показывает любой сайт вроде «мой IP». Если они разные или WAN-адрес в диапазоне 100.64.0.0–100.127.255.255, у вас CGNAT и белого IP нет.
• DDNS — постоянное доменное имя для роутера, если белый IP меняется. Но DDNS не заменяет белый IP: документация TP-Link прямо пишет, что DDNS не работает с приватным WAN-адресом, документация ASUS — что за CGNAT или двойным NAT функция работает некорректно, а документация облачный режим KeenDNS без белого IP даёт доступ только к веб-интерфейсу роутера, а не к VPN.

3. Если белого IP нет

• Заказать белый IP у провайдера. наш опыт Самый простой путь: дальше всё настраивается так же, как с белым IP. Стоимость и условия — у вашего провайдера.
• MikroTik Back To Home. документация По документации MikroTik, работает и без белого IP: тогда соединение идёт через ретранслятор MikroTik, трафик остаётся зашифрованным, но скорость может быть ниже. Нужен роутер MikroTik с RouterOS 7.12 или новее на процессоре ARM, ARM64 или TILE.
• Tailscale или ZeroTier. Сервисы, которые соединяют устройства через собственные серверы координации. Чтобы добраться до регистратора, на объекте нужно постоянно включённое устройство-шлюз: документация в Tailscale это «subnet router», в ZeroTier — шлюз с настроенными маршрутами. Бесплатные планы ограничены и предназначены для некоммерческого использования: документация в Tailscale — до 6 пользователей, в ZeroTier — до 10 устройств. Минусы: зависимость от учётной записи и стороннего сервиса.
• VPN-сервер на арендованном сервере (VPS). наш опыт И роутер объекта, и телефон подключаются к серверу в интернете. Работает без белого IP, но требует технических навыков и ежемесячной оплаты сервера.

Перед настройкой

• Дайте регистратору постоянный адрес в локальной сети (статический IP в настройках регистратора или закреплённый за ним в роутере). Запишите его — он понадобится в приложении.
• Проверьте, чтобы сети не совпадали. Если дома и на объекте одинаковая сеть (например, обе 192.168.1.x), телефон, подключённый к домашнему Wi-Fi, может не добраться до регистратора через VPN. документация О недопустимости пересечения подсетей пишут и Keenetic, и Tailscale. наш опыт Проще всего сменить сеть на объекте на менее распространённую, например 192.168.77.x.
• Уберите старую переадресацию портов и отключите UPnP на роутере, если раньше доступ был настроен через порты.
• Обновите прошивку роутера с официального сайта: функции VPN-сервера появляются и меняются с обновлениями.

Пошаговые инструкции для роутеров

Названия пунктов меню приведены так, как их даёт официальная документация (на английском). В локализованном интерфейсе они могут быть переведены.

Keenetic (WireGuard)

наш опыт Мы работаем с роутерами Keenetic, поэтому инструкцию для них приводим первой и подробнее всего.

документация По документации Keenetic, приложение WireGuard VPN Server есть в KeeneticOS 5.0 и новее.

1. Откройте General System Settings → раздел KeeneticOS Updates and Component Options → Component options и установите компонент WireGuard VPN Server.
2. Перейдите в Applications и откройте плитку WireGuard VPN Server.
3. В поле Network access выберите сегмент сети, где стоит регистратор. В поле Server IP address укажите адрес туннеля, который не пересекается с вашими сетями (в документации пример — 172.16.6.1/24).
4. Нажмите + Add client, введите имя (например, «Мой телефон»), поставьте отметку доступа и сохраните.
5. В окне Client Peer Configuration появится QR-код для телефона и кнопка Download configuration для компьютера.
6. Включите сервер переключателем.

Альтернатива — документация OpenVPN-сервер, который тоже устанавливается как компонент.

TP-Link (WireGuard или OpenVPN)

документация По инструкции TP-Link (обновлено 17.04.2026), WireGuard-сервер поддерживают, в частности, Archer AX12, AX17, AX53, AX55, AX55 Pro и модели серий BE и GE из списка на странице.

1. Войдите в веб-интерфейс (tplinkwifi.net) и откройте Advanced → VPN Server → WireGuard, включите сервер.
2. В Client Access выберите Home Network Only — тогда через VPN идёт только трафик в сеть объекта, а остальной интернет работает напрямую.
3. Создайте учётную запись в Account List, нажмите Modify и отсканируйте QR-код приложением WireGuard или нажмите EXPORT, чтобы сохранить файл.

документация TP-Link отмечает, что одной учётной записью одновременно может пользоваться только один клиент — создайте отдельную для каждого телефона. Для моделей без WireGuard есть OpenVPN-сервер в меню Advanced → VPN Server → OpenVPN.

ASUS (WireGuard или OpenVPN)

документация По инструкции ASUS (обновлено 18.12.2025), WireGuard-сервер доступен в прошивке 3.0.0.4.388 и новее на моделях из списка поддержки.

1. Откройте VPN → VPN Server, включите сервер и выберите WireGuard VPN.
2. Нажмите «+», чтобы добавить клиента, и Apply.
3. Отсканируйте QR-код приложением WireGuard на телефоне или экспортируйте файл профиля для компьютера.

документация ASUS отмечает: если на iPhone после подключения не открываются сайты, в профиле WireGuard стоит вручную указать DNS-сервер. Для OpenVPN в том же разделе есть вариант Local network only; после любого изменения настроек файл конфигурации нужно экспортировать заново.

MikroTik (Back To Home)

документация По документации MikroTik, функция Back To Home превращает роутер в WireGuard-сервер и настраивается через одноимённое приложение.

1. Подключите телефон к Wi-Fi или локальной сети роутера.
2. В приложении Back To Home выберите Create new, введите локальный адрес роутера, логин и пароль, нажмите Connect.
3. Дайте туннелю название, нажмите Create tunnel и разрешите телефону добавить VPN-конфигурацию.
4. Отключитесь от локального Wi-Fi и проверьте подключение с мобильного интернета.

Ручная настройка WireGuard на MikroTik описана в документации RouterOS; наш опыт она рассчитана на опытных пользователей и требует правила брандмауэра для порта WireGuard.

Подключение с телефона

1. Установите официальное приложение WireGuard с сайта WireGuard (App Store или Google Play). Для OpenVPN — официальный OpenVPN Connect.
2. Добавьте профиль: в WireGuard нажмите «+» и отсканируйте QR-код с роутера. Для каждого телефона — отдельный профиль.
3. Включите VPN и добавьте регистратор в приложение просмотра по его локальному адресу:
   • Dahua DMSS: документация по справке DahuaWiki — «+» → IP/Domain → тип устройства → IP-адрес регистратора (например, 192.168.77.10), порт (по умолчанию 37777), имя, логин и пароль → сохранить.
   • Hikvision Hik-Connect: документация по справке Hik-Connect — добавление → Manual Adding → IP/Domain → адрес, логин и пароль; серверный порт по умолчанию, по данным поддержки Hikvision, — 8000. Hik-Connect предупреждает, что устройства, добавленные по IP, не получают уведомлений о тревогах.
4. Проверьте, что видео открывается с мобильного интернета, а без включённого VPN — нет.

наш опыт Если раньше регистратор был добавлен через P2P (по серийному номеру) и теперь вы им не пользуетесь, P2P на регистраторе можно отключить.

Как проверить, что порты наружу закрыты

1. Таблица переадресации в роутере (раздел вроде «Port Forwarding», «Виртуальные серверы» или «NAT») должна быть пустой в отношении регистратора и камер.
2. UPnP отключён в роутере и в регистраторе; если роутер показывает список UPnP-правил, в нём не должно быть регистратора.
3. Проверка извне. наш опыт Отключите VPN и Wi-Fi на телефоне, а в DMSS попробуйте добавить регистратор по белому IP-адресу роутера и порту 37777. Подключение должно не удаться. Можно также воспользоваться онлайн-проверкой портов (например, canyouseeme.org): она показывает, отвечает ли порт из интернета.

наш опыт У онлайн-сервисов есть ограничения: порт показывается открытым, только если за ним что-то «слушает», а поисковые сервисы вроде Shodan показывают лишь то, что уже успели просканировать. Пустой результат не гарантирует, что порты закрыты, поэтому основная проверка — таблица переадресации и UPnP в самом роутере.

Типичные ошибки

• Нет белого IP (CGNAT). VPN-сервер на роутере и DDNS извне не работают — нужен белый IP или один из вариантов без него.
• Одинаковые сети дома и на объекте. Регистратор не открывается через VPN, когда телефон в домашнем Wi-Fi. Смените сеть на объекте.
• Один профиль на несколько телефонов. документация И TP-Link, и MikroTik пишут, что один профиль работает на одном устройстве одновременно. Создавайте отдельный профиль на каждый телефон — так его легко отозвать, если телефон потеряется.
• Весь интернет через VPN. Если нужен только доступ к камерам, выбирайте режим «только домашняя сеть» (Home Network Only в TP-Link, Local network only в ASUS). Тогда обычный интернет на телефоне не замедляется.
• Оставили старые порты или UPnP. VPN не поможет, если регистратор всё ещё доступен через переадресацию портов.
• Не обновили профиль после изменений. документация ASUS требует заново экспортировать конфигурацию OpenVPN после изменения настроек сервера.

Источники

• документация Keenetic. WireGuard VPN server; OpenVPN server; KeenDNS; публичный и частный IP-адрес
• документация TP-Link. WireGuard VPN Server (17.04.2026); OpenVPN Server; DDNS
• документация ASUS. WireGuard VPN server (18.12.2025); OpenVPN server; DDNS
• документация MikroTik. Back To Home; WireGuard
• документация Tailscale. Subnet routers; пересечение подсетей; тарифы
• документация ZeroTier. маршрутизация в локальную сеть; тарифы
• документация WireGuard. официальные приложения; OpenVPN. OpenVPN Connect
• документация DahuaWiki. добавление устройства в DMSS по IP
• документация Hikvision. Hik-Connect: добавление по IP/Domain; порты устройств