自建 VPN 与商业 VPN 服务怎么选

“既然我能在树莓派上自己跑一个 VPN，为什么还要花钱买？”这是个合理的问题，诚实的回答是：这两种选择其实并不是竞争对手。自建 VPN 与商业 VPN 是为不同的任务设计的，很多人最后两者都会用。

本文从用途、维护难度、如何应对 CGNAT 这类麻烦的家庭网络，以及出问题时谁来负责这几个方面对两者进行比较。它不会告诉你哪个更好，而是帮你先弄清自己真正要做的是什么，再选合适的工具。

两种工具，两种任务

VPN 在你的设备和另一个网络之间建立加密隧道。差别在于那个“另一个网络”在哪里，以及你想用它做什么。

• 自建 VPN 的终点是你自己拥有的机器，通常在家里。它的主要价值是在你外出时访问自己网络上的东西：NAS、打印机、监控系统、家用服务器。
• 商业 VPN 的终点是服务商运营的服务器。它的主要价值是在你和不可信的本地网络之间建立加密链路，比如咖啡馆、酒店或机场。

对比一下目标：“从外面进入我的家”和“在公共 Wi-Fi 上保护我的流量”并不是一回事。家里的服务器能把前者做得很好，后者只能做到一部分，并且有下文所述的取舍。

自建 VPN 擅长什么

访问家中的资源。 如果你把文件放在 NAS 上、运行媒体服务器，或者维护一个小型家庭实验环境，通过 VPN 进入家庭网络，就能像坐在家里一样使用它们。你的设备保留 RFC 1918 所描述的私有地址，除了 VPN 本身，不需要向公网暴露任何东西。

完全掌控。 软件、密钥、谁能访问、日志保留多久，都由你决定。你与你的流量之间没有别人的政策。

运行成本低。 一块小开发板或一台已有的 NAS 耗电很少，软件也免费。对爱好者来说，成本主要是时间。

学习价值。 亲手搭建一个会让你学到大量网络知识，这本身就很有价值。

它不擅长什么

隐藏的东西比人们以为的少。 离开你家服务器的流量，是以你家的地址到达网站的。屏蔽或记录地址的网站，看到的是你的家庭，而不是遥远的某台服务器。你家的网络运营商依然在传输这些流量。家里的 VPN 保护的是手机到家之间的这一段，而不是之后发生的事。

一个位置，一条线路。 你的出口就是你家的宽带。如果这条线路慢，那么套餐的上传速度就成了你在外面所做一切的上限。许多家庭套餐的上传速度远低于下载速度。

你就是管理员。 更新、密钥、防火墙规则、备份和故障排查全都是你的事。如果你在国外时服务器宕机，没有别人能替你重启。

家里的网络必须可达。 服务器只有在你的网络能接受外部连入时才有用，这就引出了一个常见障碍。

方案一：用树莓派做 VPN 服务器

树莓派是经典的入门选择，因为它便宜、安静，而且可以一直开着。常见的做法是选用现代、轻量的协议，比如 WireGuard，WireGuard 项目官网介绍了它的工作方式。如果想与较老的方案比较，可以看WireGuard 与 OpenVPN 的对比。

典型的部署需要：

1. 一块通过网线连接路由器的树莓派、可靠的电源和质量好的存储卡。
2. 保持更新的操作系统，并开启自动安全更新。
3. 一个 WireGuard 服务器，每台接入的设备使用一对独立的密钥。
4. 在路由器上把一个 UDP 端口转发给树莓派，端口转发一文解释了其中的思路。
5. 在家庭地址变化时仍能找到它的办法，通常是一个动态域名。
6. 只允许你有意放行内容的防火墙。

如果你喜欢折腾、需要远程访问，树莓派很合适。如果你期望“设好就忘”，它就没那么合适：存储卡会磨损，系统需要更新，停电后可能一直离线。

方案二：在 NAS 上运行 VPN

许多网络附加存储设备，包括群晖（Synology）和威联通（QNAP）的产品，自带或提供 VPN 服务器应用。这很方便：设备本来就开着，本来就存着你的文件，也本来就有管理界面。

需要权衡的几点：

• 便利。 开启内置的 VPN 服务，通常比从零搭建简单。
• 暴露风险。 NAS 保存着你的数据，是高价值目标。请保持固件为最新，使用强而唯一的密码并开启多因素认证，绝不要把管理页面暴露到互联网，只转发 VPN 端口。
• 性能。 小型 NAS 的处理器可能限制加密吞吐量，较旧的型号尤其如此。
• 范围。 NAS 上的 VPN 往往可以访问 NAS，有时还能访问整个家庭网络。请确认是哪一种，并把权限限制在你需要的范围内。

对 NAS 来说，使用 VPN 通常比把文件服务直接开放到互联网更好。通过隧道访问 NAS，可以让文件服务本身不暴露在公网上。

CGNAT 问题

自建服务器假定外部设备可以连到你家。可是在 CGNAT（运营商级 NAT）下，它们往往连不上。

在 CGNAT 下，你的运营商让许多用户共用一个公网 IPv4 地址。你的路由器拿到的是 RFC 6598 中保留的共享地址段内的地址，而不是真正的公网地址。外部连入的请求永远到不了你的路由器，所以端口转发无法生效。这在移动宽带、部分光纤和有线套餐，以及 IPv4 地址紧缺的地区很常见。

如何检查。 把路由器状态页面上显示的地址，与“我的 IP 是什么”这类网站报告的地址对比。如果两者不同，或者路由器的地址以 100.64 到 100.127 开头，你很可能处于 CGNAT 之后。公网 IP 地址一文解释了其中的差别。

你可以怎么做：

1. 询问运营商。 申请一个公网地址。有些运营商在客户要求时提供，有时需要付费。
2. 使用 IPv6。 如果运营商提供 IPv6，而连入一方的网络也支持，你也许可以不经过 NAT 直接连接。
3. 通过租用的服务器中转。 运行一台带公网地址的小型服务器，让家里的机器主动连出去，你的设备就能在中间会合。这会增加费用，也多出一台需要保护安全的机器。
4. 使用点对点协调方式。 有些工具借助协调服务器，让两台设备互相找到对方并穿透 NAT。这就是网状网络背后的思路，下一节会介绍。

如果这些办法都不适合你，那么对于“在公共网络上保护我”这项任务，商业服务可以完全避开这个问题，因为根本不需要有任何东西连进你家。

点对点与网状 VPN 设计

传统 VPN 采用**中心辐射（hub-and-spoke）**模型：每台设备都连到一台中心服务器，流量经由它转发。点对点或网状设计则让设备之间直接连接，由协调服务帮助它们找到路径。

设计	优点	缺点
中心辐射	容易理解，集中管理	所有流量都经过同一台机器
点对点或网状	设备间路径直连，减轻中心节点负担	组件更多，依赖协调服务
商业服务	无需硬件，家里的网络无需接受外部连入	要信任服务商，出口也不是你家

网状设计很适合把你自己的设备连起来，例如笔记本电脑、NAS 和手机。但它主要解决的是设备之间的互联，而不是改变网站看到的地址。它是解决 CGNAT 问题的一种办法，而不是能够在咖啡馆网络上保护你的服务的替代品。

并排对比

问题	在家自建	商业服务
主要目的	从外部访问家庭网络	在不受自己控制的网络上保护流量
部署投入	数小时，另加持续维护	安装应用并登录
在 CGNAT 下能否使用	需要变通办法	可以，不需要任何东西连入
谁来打补丁、保障安全	你	服务商
你必须信任谁	你自己和你的硬件	服务商
网站看到的地址	你家的地址	服务商的地址
速度上限	家里的上传速度	取决于服务商和线路
费用	硬件、电费和你的时间	通行证或订阅费
出行时出了故障	你自己修，常常要远程操作	联系客服

让工具匹配任务

阿诺，有 NAS 的远程工作者。 阿诺把项目文件放在家里的 NAS 上，想在咖啡馆访问。家里的 VPN 正合适。连上之后，她的笔记本电脑看到的 NAS 就像坐在客厅里一样。她不需要把 NAS 暴露到互联网上。

马克，经常出差的人。 马克主要担心酒店和机场的 Wi-Fi。商业通行证更适合他：安装应用、登录，就完成了，家里没有任何东西会在他外出时出问题。

莉娜，两者兼用。 莉娜用家里的 VPN 访问文件，旅行时用预付通行证日常上网。她把它们看作两种工具、两项任务。也有人把所有流量都通过家里的 VPN 转发，这可行，但一切都得绕回家里的上传速度。

如果你只需要在公共网络上保护自己，如何更安全地使用公共 Wi-Fi一文介绍了更全面的内容，包括与任何工具同样重要的使用习惯。

自建的安全与维护清单

如果你决定自建，请把它当作任何其他面向互联网的服务来对待。

1. 保持操作系统和 VPN 软件更新，最好自动更新。
2. 只转发单一的 VPN 端口，绝不转发管理界面。
3. 每台设备使用一对密钥，这样丢失手机时可以单独吊销，而不影响其他设备。
4. 限制 VPN 客户端能访问的范围，而不是让每台设备都能访问整个网络。
5. 在 NAS 或树莓派上使用强而唯一的凭据，并开启多因素认证。
6. 把配置和密钥备份到安全的地方。
7. 在依赖它出行之前，先从你的网络之外测试。
8. 查看运营商的条款，因为有些住宅套餐限制运行服务器。

关于远程访问安全的更广泛指导，NIST SP 800-46 对远程办公和远程访问做了更深入的介绍。

局限与注意事项

• 没有任何工具能让你匿名。 家里的 VPN 把你的活动与你的家庭绑在一起。商业 VPN 则把信任转移给了服务商。两者都不会让你变得无法被识别。
• 你无法从外部验证服务商的政策。 对商业服务，你依靠的是它的承诺和过往记录；对自建，你依靠的是自己。
• 上传速度很重要。 在外面时，一切都要经过你的上传速度。
• 各国、各网络的规则不同。 请遵守法律以及你所使用网络的条款。

小结

自建 VPN 最适合访问你自己的设备，例如 NAS 或树莓派项目，它需要时间、维护，以及一个接受外部连入的网络。CGNAT 可能让它失效，除非你采用变通办法。商业 VPN 最适合在不受自己控制的网络上保护流量，不需要在家里维护硬件。很多人两者兼用。先决定你要做的是哪项任务，再选工具。

如果你要做的是第二项任务，价格页面列出了可购买的预付通行证。