TP-Link Archer MR600 - Konfiguracja VPN i ograniczenia

Pytanie

Archer MR600 vpn

Odpowiedź Sztucznej Inteligencji

Bezpośrednia odpowiedź na pytanie

• Archer MR600 na oryginalnym firmware działa wyłącznie jako serwer VPN (OpenVPN, PPTP; IPSec zależnie od wersji sprzętowej). Nie posiada funkcji klienta VPN. (tp-link.com)
• Na łączu LTE często występuje CG‑NAT – bez publicznego IP nie zestawisz z zewnątrz połączenia do serwera VPN na MR600. (tp-link.com)

Kluczowe punkty

• V1: serwer OpenVPN/PPTP/IPSec; brak klienta VPN. (tp-link.com)
• V2: serwer OpenVPN/PPTP (IPSec usunięty); brak klienta VPN. (community.tp-link.com)
• V3: wciąż tylko serwer (co najmniej OpenVPN); brak klienta VPN. (community.tp-link.com)

Szczegółowa analiza problemu

• Modele i funkcje:

  • Archer MR600 V1 (User Guide): udokumentowane IPSec site‑to‑site, serwer OpenVPN i serwer PPTP. Brak klienta VPN. (tp-link.com)
  • Archer MR600 V2 (oficjalne forum): IPsec VPN Server nieobsługiwany – pozostają OpenVPN/PPTP. Brak klienta VPN. (community.tp-link.com)
  • Archer MR600 V3 (TP‑Link Community, 2024–2025): urządzenie działa jako serwer VPN, klient VPN nie jest wspierany. (community.tp-link.com)

• Implikacje praktyczne:

  • Nie tunelujesz całego ruchu domowej sieci przez komercyjnego dostawcę VPN na samym MR600 (brak klienta). Jeśli to był Twój cel (privacy/geo‑unlock), potrzebny jest inny element w topologii. (community.tp-link.com)
  • Zdalny dostęp do sieci (serwer) działa tylko, gdy WAN MR600 ma publiczny adres IP; w sieciach komórkowych najczęściej obowiązuje CG‑NAT – konieczny wykup publicznego IP u operatora albo obejście (np. overlay). (tp-link.com)

• Scenariusze rozwiązań:

  1. Serwer VPN na MR600 (zdalny dostęp do domu/biura)
     • Konfiguracja (OpenVPN, skrót):
       • Advanced > VPN Server > OpenVPN: Generate cert, Enable, UDP, port (np. 1194), zakres VPN, tryb “Internet and Home Network” (jeśli chcesz hairpin do Internetu), Export .ovpn, import na kliencie. (tp-link.com)
     • Uwaga: przy CG‑NAT usługa nie będzie osiągalna – potrzebny publiczny IP/alternatywny tunel. (tp-link.com)
  2. Chcesz “klienta VPN” dla całej sieci (tunel do dostawcy VPN)
     • Dodaj drugi router/urządzenie z klientem VPN za MR600 (kaskada): np. mini‑router/box z OpenWrt/klientem WireGuard/OpenVPN. MR600 pozostaje bramą LTE, drugi router terminuję tunel. (Brak funkcji klienta w MR600 to fakt potwierdzony przez TP‑Link.) (community.tp-link.com)
     • Alternatywa DIY: Raspberry Pi z WireGuard/Tailscale jako bramka dla wybranych urządzeń (policy‑based routing).
  3. Firmware alternatywny
     • OpenWrt wspiera MR600 V2 (od 23.05; aktualnie 24.10.2) – pozwala uruchomić klienta WireGuard/OpenVPN na samym MR600 V2. V1 i V3: wsparcie brak/ograniczone (V3 – brak wsparcia wg stanu na połowę 2025). (openwrt.org)
     • Uwaga: flashowanie wymaga ostrożności i znajomości procedur (różnice regionalne, recovery TFTP). (reddit.com)

• Wydajność:

  • Sprzętowa platforma (MT7621 w V2) pozwala na przepustowości rzędu “kilkudziesięciu Mb/s” dla OpenVPN (zależnie od szyfrowania i MTU). Dla wyższych prędkości preferuj WireGuard (na OpenWrt/urządzeniu zewnętrznym).

Aktualne informacje i trendy

• Na dzień 2025‑11‑28 MR600 (w tym V3) nie otrzymał klienta VPN w oficjalnym firmware – potwierdzone wątkami TP‑Link Community (ostatnie edycje w czerwcu 2025). (community.tp-link.com)
• OpenWrt: stabilne wsparcie MR600 V2 (24.10.2), co umożliwia pełny klient VPN (WireGuard/OpenVPN) na urządzeniu. (openwrt.org)
• Mobilni operatorzy konsekwentnie używają CG‑NAT – TP‑Link wprost zaleca wykup statycznego/publicznego IP, w przeciwnym razie serwer OpenVPN “nie zadziała”. (tp-link.com)

Wspierające wyjaśnienia i detale

• Protokoły:
  • OpenVPN (serwer na MR600): dobry kompromis bezpieczeństwo/elastyczność; klient na zdalnych urządzeniach. (tp-link.com)
  • PPTP: łatwy, ale przestarzały i słabszy kryptograficznie – stosuj tylko, gdy wymaga tego kompatybilność. (tp-link.com)
  • IPSec: w MR600 V1 dostępny jako serwer site‑to‑site; w V2 usunięty. (tp-link.com)

Aspekty etyczne i prawne

• Korzystanie z VPN może podlegać regulaminom pracodawcy/dostawcy usług; w niektórych jurysdykcjach istnieją ograniczenia dot. tunelowania. Zapoznaj się z warunkami operatora komórkowego (publiczny IP często jako usługa dodatkowa). (tp-link.com)

Praktyczne wskazówki

• Jeśli potrzebujesz zdalnego dostępu do sieci domowej:
  • Skonfiguruj DDNS (np. TP‑Link DDNS), wygeneruj certyfikat i uruchom serwer OpenVPN na MR600. (tp-link.com)
  • Sprawdź, czy WAN MR600 to publiczny adres (nie z prywatnych zakresów 10.x, 100.64/10, 172.16/12, 192.168/16). Przy prywatnym – poproś operatora o publiczny IP. (tp-link.com)
• Jeśli chcesz “klienta VPN” dla całej sieci:
  • Najprościej dołożyć mini‑router z OpenWrt/klientem WireGuard (GL.iNet/Mikrotik/Asus z klientem) za MR600.
  • Dla MR600 V2 możesz rozważyć OpenWrt (po potwierdzeniu wersji sprzętowej i procedury flashowania). (openwrt.org)
• Porty:
  • OpenVPN: domyślnie UDP/1194; przy problemach z sieciami restrykcyjnymi rozważ TCP/443. (tp-link.com)

Ewentualne zastrzeżenia lub uwagi dodatkowe

• Funkcje VPN różnią się między V1/V2/V3; interfejs i dostępne pozycje menu mogą się zmieniać między regionami/wersjami firmware. Zawsze weryfikuj w instrukcji dla Twojej rewizji. (tp-link.com)
• OpenWrt: wsparcie dotyczy V2; V3 nie (wg stanu 2025‑07). Instalacja zawsze na własne ryzyko. (openwrt.org)

Sugestie dalszych badań

• Instrukcja MR600 V1 – rozdział VPN (dla procedury OpenVPN/IPSec/PPTP). (tp-link.com)
• Wątki TP‑Link Community dot. braku klienta VPN (MR600 – różne rewizje). (community.tp-link.com)
• OpenWrt – karta sprzętu MR600 V2 (aktualne wsparcie i obrazy). (openwrt.org)
• FAQ TP‑Link nt. OpenVPN i ograniczeń CG‑NAT. (tp-link.com)

Krótkie podsumowanie

• MR600 (V1/V2/V3) na stock firmware to wyłącznie serwer VPN; klienta VPN brak. V1 ma IPSec Server, V2 – nie; V3 – tylko serwer (co najmniej OpenVPN). Jeśli potrzebujesz klienta VPN dla całej sieci, dodaj drugi router/urządzenie z klientem lub (dla V2) użyj OpenWrt. Na LTE pamiętaj o CG‑NAT – bez publicznego IP serwer VPN nie będzie osiągalny z Internetu. (tp-link.com)

Jeśli podasz swój cel (zdalny dostęp vs. “VPN dla całej sieci”), wersję sprzętową MR600 i operatora LTE, przygotuję precyzyjną instrukcję krok‑po‑kroku dla Twojej konfiguracji.