Як налаштувати доступ до відеореєстратора через VPN: інструкція для власника

Матеріал актуальний на 19 жовтня 2026 року: шляхи меню звірені з офіційною документацією виробників на цю дату. Інтерфейси роутерів змінюються з оновленнями, тому ми оновлюватимемо інструкцію. Автор — команда Video-Standart: продаж, монтаж і налаштування систем відеоспостереження.

Коротко. VPN дає змогу дивитися камери з телефона так, ніби ви в локальній мережі об'єкта, і при цьому не відкривати реєстратор в інтернет. Для цього потрібен роутер з функцією VPN-сервера і, найчастіше, «біла» (публічна) IP-адреса від провайдера. Нижче — що саме потрібно, як налаштувати популярні роутери за їхньою офіційною документацією, як підключити телефон і як перевірити, що зайвих портів назовні не лишилося.

Позначки в тексті: документація — офіційна документація виробника обладнання чи програми; наш досвід — наш досвід і практичні поради. Посилання на документацію — в тексті та в кінці статті.

Навіщо VPN замість відкритих портів і P2P

• Відкриті порти (переадресація 37777, 80, 554 тощо на роутері) роблять реєстратор доступним для будь-кого в інтернеті. Саме через відкритий порт 37777 у 2026 році отримали доступ до більшості пристроїв у великій кампанії проти камер Dahua — докладно в статті «Злам камер Dahua у 2026 році: що відомо і як захистити відеоспостереження».
• P2P (хмара виробника) простий у налаштуванні, але доступ залежить від сервера виробника, а пристрій має бути з актуальною прошивкою і складним паролем.
• VPN — захищене з'єднання з мережею об'єкта. З інтернету видно лише VPN-сервер роутера, а реєстратор і камери — ні. Мінус: потрібне разове налаштування.

Що потрібно

1. Роутер з VPN-сервером

Найпоширеніший сучасний протокол — WireGuard; також часто доступний OpenVPN. Підтримка залежить від моделі й версії прошивки роутера — нижче для кожного виробника вказано, що сказано в документації.

2. Білий IP або DDNS

Щоб телефон міг «знайти» роутер з інтернету, у роутера має бути публічна («біла») IP-адреса. Багато провайдерів видають сірі адреси за технологією CGNAT — тоді VPN-сервер на роутері ззовні недоступний.

• Як перевірити. документація За довідкою Keenetic: порівняйте WAN-адресу в роутері з адресою, яку показує будь-який сайт на кшталт «мій IP». Якщо вони різні або WAN-адреса в діапазоні 100.64.0.0–100.127.255.255, у вас CGNAT і білого IP немає.
• DDNS — постійне доменне ім'я для роутера, якщо білий IP змінюється. Але DDNS не замінює білий IP: документація TP-Link прямо пише, що DDNS не працює з приватною WAN-адресою, документація ASUS — що за CGNAT чи подвійного NAT функція працює некоректно, а документація хмарний режим KeenDNS без білого IP дає доступ лише до вебінтерфейсу роутера, а не до VPN.

3. Якщо білого IP немає

• Замовити білий IP у провайдера. наш досвід Найпростіший шлях: далі все налаштовується так само, як з білим IP. Вартість і умови — у вашого провайдера.
• MikroTik Back To Home. документація За документацією MikroTik, працює і без білого IP: тоді з'єднання йде через ретранслятор MikroTik, трафік лишається зашифрованим, але швидкість може бути нижчою. Потрібен роутер MikroTik з RouterOS 7.12 або новішою на процесорі ARM, ARM64 чи TILE.
• Tailscale або ZeroTier. Сервіси, що з'єднують пристрої через власні сервери координації. Щоб дістатися реєстратора, на об'єкті потрібен постійно ввімкнений пристрій-шлюз: документація у Tailscale це «subnet router», у ZeroTier — шлюз з налаштованими маршрутами. Безкоштовні плани обмежені і призначені для некомерційного використання: документація у Tailscale — до 6 користувачів, у ZeroTier — до 10 пристроїв. Мінуси: залежність від облікового запису і стороннього сервісу.
• VPN-сервер на орендованому сервері (VPS). наш досвід І роутер об'єкта, і телефон підключаються до сервера в інтернеті. Працює без білого IP, але потребує технічних навичок і щомісячної оплати сервера.

Перед налаштуванням

• Дайте реєстратору постійну адресу в локальній мережі (статичну IP в налаштуваннях реєстратора або закріплену за ним у роутері). Запишіть її — вона знадобиться в застосунку.
• Перевірте, щоб мережі не збігалися. Якщо вдома і на об'єкті однакова мережа (наприклад, обидві 192.168.1.x), телефон, підключений до домашнього Wi-Fi, може не дістатися реєстратора через VPN. документація Про неприпустимість перетину підмереж пишуть і Keenetic, і Tailscale. наш досвід Найпростіше — змінити мережу на об'єкті на менш поширену, наприклад 192.168.77.x.
• Приберіть стару переадресацію портів і вимкніть UPnP на роутері, якщо раніше доступ був налаштований через порти.
• Оновіть прошивку роутера з офіційного сайту: функції VPN-сервера з'являються і змінюються з оновленнями.

Покрокові інструкції для роутерів

Назви пунктів меню наведено так, як їх подає офіційна документація (англійською). В українському інтерфейсі вони можуть бути перекладені.

Keenetic (WireGuard)

наш досвід Ми працюємо з роутерами Keenetic, тому інструкцію для них наводимо першою і найдокладніше.

документація За документацією Keenetic, застосунок WireGuard VPN Server є в KeeneticOS 5.0 і новіших.

1. Відкрийте General System Settings → розділ KeeneticOS Updates and Component Options → Component options і встановіть компонент WireGuard VPN Server.
2. Перейдіть в Applications і відкрийте плитку WireGuard VPN Server.
3. У полі Network access виберіть сегмент мережі, де стоїть реєстратор. У полі Server IP address вкажіть адресу тунелю, яка не перетинається з вашими мережами (у документації приклад — 172.16.6.1/24).
4. Натисніть + Add client, введіть ім'я (наприклад, «Мій телефон»), поставте позначку доступу і збережіть.
5. У вікні Client Peer Configuration з'явиться QR-код для телефона і кнопка Download configuration для комп'ютера.
6. Увімкніть сервер перемикачем.

Альтернатива — документація OpenVPN-сервер, який теж встановлюється як компонент.

TP-Link (WireGuard або OpenVPN)

документація За інструкцією TP-Link (оновлено 17.04.2026), WireGuard-сервер підтримують, зокрема, Archer AX12, AX17, AX53, AX55, AX55 Pro і моделі серій BE та GE зі списку на сторінці.

1. Увійдіть у вебінтерфейс (tplinkwifi.net) і відкрийте Advanced → VPN Server → WireGuard, увімкніть сервер.
2. У Client Access виберіть Home Network Only — тоді через VPN іде лише трафік до мережі об'єкта, а решта інтернету працює напряму.
3. Створіть обліковий запис у Account List, натисніть Modify і відскануйте QR-код застосунком WireGuard або натисніть EXPORT, щоб зберегти файл.

документація TP-Link зазначає, що одним обліковим записом одночасно може користуватися лише один клієнт — створіть окремий для кожного телефона. Для моделей без WireGuard є OpenVPN-сервер у меню Advanced → VPN Server → OpenVPN.

ASUS (WireGuard або OpenVPN)

документація За інструкцією ASUS (оновлено 18.12.2025), WireGuard-сервер доступний у прошивці 3.0.0.4.388 і новішій на моделях зі списку підтримки.

1. Відкрийте VPN → VPN Server, увімкніть сервер і виберіть WireGuard VPN.
2. Натисніть «+», щоб додати клієнта, і Apply.
3. Відскануйте QR-код застосунком WireGuard на телефоні або експортуйте файл профілю для комп'ютера.

документація ASUS зазначає: якщо на iPhone після підключення не відкриваються сайти, в профілі WireGuard варто вручну вказати DNS-сервер. Для OpenVPN у тому ж розділі є варіант Local network only; після будь-якої зміни налаштувань файл конфігурації треба експортувати заново.

MikroTik (Back To Home)

документація За документацією MikroTik, функція Back To Home перетворює роутер на WireGuard-сервер і налаштовується через однойменний застосунок.

1. Підключіть телефон до Wi-Fi чи локальної мережі роутера.
2. У застосунку Back To Home виберіть Create new, введіть локальну адресу роутера, логін і пароль, натисніть Connect.
3. Дайте тунелю назву, натисніть Create tunnel і дозвольте телефону додати VPN-конфігурацію.
4. Відключіться від локального Wi-Fi і перевірте підключення з мобільного інтернету.

Ручне налаштування WireGuard на MikroTik описане в документації RouterOS; наш досвід воно розраховане на користувачів з досвідом і вимагає правила брандмауера для порту WireGuard.

Підключення з телефона

1. Встановіть офіційний застосунок WireGuard з сайту WireGuard (App Store або Google Play). Для OpenVPN — офіційний OpenVPN Connect.
2. Додайте профіль: у WireGuard натисніть «+» і відскануйте QR-код з роутера. Для кожного телефона — окремий профіль.
3. Увімкніть VPN і додайте реєстратор у застосунок перегляду за його локальною адресою:
   • Dahua DMSS: документація за довідкою DahuaWiki — «+» → IP/Domain → тип пристрою → IP-адреса реєстратора (наприклад, 192.168.77.10), порт (за замовчуванням 37777), ім'я, логін і пароль → зберегти.
   • Hikvision Hik-Connect: документація за довідкою Hik-Connect — додавання → Manual Adding → IP/Domain → адреса, логін і пароль; серверний порт за замовчуванням, за даними підтримки Hikvision, — 8000. Hik-Connect попереджає, що пристрої, додані за IP, не отримують сповіщень про тривоги.
4. Перевірте, що відео відкривається з мобільного інтернету, а без увімкненого VPN — ні.

наш досвід Якщо раніше реєстратор був доданий через P2P (за серійним номером) і тепер ви ним не користуєтеся, P2P на реєстраторі можна вимкнути.

Як перевірити, що порти назовні закриті

1. Таблиця переадресації у роутері (розділ на кшталт «Port Forwarding», «Віртуальні сервери» чи «NAT») має бути порожньою щодо реєстратора і камер.
2. UPnP вимкнений у роутері і в реєстраторі; якщо роутер показує список UPnP-правил, у ньому не має бути реєстратора.
3. Перевірка ззовні. наш досвід Вимкніть VPN і Wi-Fi на телефоні, а в DMSS спробуйте додати реєстратор за білою IP-адресою роутера і портом 37777. Підключення має не вдатися. Можна також скористатися онлайн-перевіркою портів (наприклад, canyouseeme.org): вона показує, чи відповідає порт з інтернету.

наш досвід Онлайн-сервіси мають обмеження: порт показується відкритим, лише якщо за ним щось «слухає», а пошукові сервіси на кшталт Shodan показують тільки те, що вони вже встигли просканувати. Порожній результат не гарантує, що порти закриті, тому основна перевірка — таблиця переадресації і UPnP у самому роутері.

Типові помилки

• Немає білого IP (CGNAT). VPN-сервер на роутері і DDNS ззовні не працюють — потрібен білий IP або один з варіантів без нього.
• Однакові мережі вдома і на об'єкті. Реєстратор не відкривається через VPN, коли телефон у домашньому Wi-Fi. Змініть мережу на об'єкті.
• Один профіль на кілька телефонів. документація І TP-Link, і MikroTik пишуть, що один профіль працює на одному пристрої одночасно. Створюйте окремий профіль на кожен телефон — так його легко відкликати, якщо телефон загубиться.
• Весь інтернет через VPN. Якщо потрібен лише доступ до камер, обирайте режим «тільки домашня мережа» (Home Network Only у TP-Link, Local network only в ASUS). Тоді звичайний інтернет на телефоні не сповільнюється.
• Залишили старі порти чи UPnP. VPN не допоможе, якщо реєстратор усе ще доступний через переадресацію портів.
• Не оновили профіль після змін. документація ASUS вимагає заново експортувати конфігурацію OpenVPN після зміни налаштувань сервера.

Джерела

• документація Keenetic. WireGuard VPN server; OpenVPN server; KeenDNS; публічна і приватна IP-адреса
• документація TP-Link. WireGuard VPN Server (17.04.2026); OpenVPN Server; DDNS
• документація ASUS. WireGuard VPN server (18.12.2025); OpenVPN server; DDNS
• документація MikroTik. Back To Home; WireGuard
• документація Tailscale. Subnet routers; перетин підмереж; тарифи
• документація ZeroTier. маршрутизація до локальної мережі; тарифи
• документація WireGuard. офіційні застосунки; OpenVPN. OpenVPN Connect
• документація DahuaWiki. додавання пристрою в DMSS за IP
• документація Hikvision. Hik-Connect: додавання за IP/Domain; порти пристроїв