物联网设备用 VPN：靠路由器来保护

现代家庭里可能有三四十个联网小设备：智能插座、灯泡、摄像头、门铃、扫地机器人、打印机、温控器、音箱，甚至带屏幕的冰箱。它们没有一个能让你安装 VPN 应用。它们运行的是固定的小程序，与厂商的云端通信，而且很多设备出厂后就再也没有更新过。所以“物联网设备能用 VPN 吗”这个问题，几乎总是落到路由器上。

本文只谈这一个思路：把 VPN 放在路由器上，让后面的设备无需安装任何软件就能得到覆盖。我们会看看它真正保护了什么、解决不了什么、在碰 VPN 之前应该先做什么、怎样决定哪些设备走隧道，以及门铃或音箱遇到隧道时出现的怪问题该怎么排查。更宽泛的智能家居话题请看 智能家居用 VPN，路由器与应用的取舍请看 路由器 VPN 与 VPN 应用的对比。

为什么 IoT 设备装不了 VPN 应用

手机或笔记本有操作系统，可以安装应用并授权 VPN。智能灯泡只有固件，也就是厂商写好的一个程序。没有应用商店，也没有可以输入用户名和密码的设置页。就连看起来像电脑的智能电视、流媒体棒和部分摄像头，通常运行的也是受限版本的系统，只允许厂商认可的软件。电视和机顶盒有时有 VPN 应用，我们的帮助文档也讲了 智能电视，但大多数小设备没有这个选项。

路由器是所有这些设备本来就信任的那台设备。它们发往互联网的所有东西都要经过它。如果路由器自己保持一条 VPN 连接，并把选定的流量送进去，设备就在不知情的情况下进了隧道。这就是在路由器层面做保护的全部吸引力。

路由器 VPN 对 IoT 设备有什么帮助

要具体地说，因为真实的好处比宣传所说的更窄。

• 对运营商隐藏目的地。 没有 VPN 时，运营商能看到你的摄像头和音箱连接了哪些云服务、什么时候连接。有了 VPN，它只能看到一条通往 VPN 服务器的加密连接。
• 加密设备可能以较弱方式发送的流量。 一些廉价设备仍使用旧的或配置不当的连接。路由器的隧道会在流量离开家时把它包起来。
• 让选定的设备使用同一个出口地址。 各设备不再以你家宽带的地址出现，而是共用 VPN 服务器的地址。
• 保护出行时的设备组合。 在租来的房子里，把装有 VPN 客户端的小型旅行路由器放在流媒体棒或便携摄像头前面，就能覆盖那些运行不了应用的设备。

可以把它想象成给整组设备披上一件外套。外套能挡风，但补不了里面设备上的洞。

它做不到的事

这一部分是大多数指南跳过的。

问题	路由器 VPN 能解决吗	真正有用的做法
摄像头仍用默认密码	不能	改成强密码，并在应用账号上开启两步验证
设备固件很旧、存在已知漏洞	不能	更新，或者换掉设备
家里另一台设备已被控制	不能	把 IoT 设备隔离到单独的网络
设备悄悄向厂商发送数据	不能	厂商依然收到数据，只是路径变了
有人试图登录你的摄像头应用账号	不能	唯一的密码和多因素验证
运营商能看到家里的访问目的地	部分可以	运营商看到的是隧道而不是目的地
攻击者就在你的局域网里	不能	隧道从路由器开始，家里的设备彼此仍然看得见

最后一行很重要。路由器 VPN 只保护流量离开路由器之后的部分。同一个网络里一个被攻陷的插座，仍然可能试图访问你的笔记本或摄像头，因为它们在同一个局域网中。我们在 VPN 无法保护你的哪些方面 中总体谈过这个限制。

加 VPN 之前先做这四件事

隧道是第五步，不是第一步。这四步通常更能降低风险。

1. 隔离网络。 大多数路由器都有访客网络或第二个 Wi-Fi。把 IoT 设备放到那里，笔记本、手机和文件服务器留在主网络。访客网络里的设备不应能访问主网络里的设备。如果路由器支持 VLAN，思路相同，但控制更精细。
2. 更改所有默认密码和名称。 摄像头和门铃在互联网上会被不断扫描出厂账号。每台设备或每个账号用唯一的密码。
3. 更新，并在厂商提供时开启自动更新。 如果某个设备已不再收到更新，把它列为需要放进隔离网络或更换的对象。
4. 关闭不用的远程功能。 很多设备默认会打开入站端口或中继连接。在路由器上关闭 UPnP，并对只需本地控制的设备关闭云端访问。

账号安全同样重要，因为多数 IoT 入侵始于被盗的应用密码，而不是流量被截获。为摄像头、门铃和温控器的应用账号开启两步验证。CISA 关于多因素验证的说明解释了原因。

选择哪些设备走隧道

不必把所有东西都放到 VPN 后面。好的方案是按设备的用途分组。

设备类型	是否走 VPN	原因
上传到云端的摄像头和门铃	通常建议	内容敏感，出站流量稳定
语音助手和智能音箱	视情况	有隐私收益，但延迟和地区相关的行为可能改变
智能灯泡、插座、开关	可选	数据量小；地址变化后云端控制可能失灵
温控器和传感器	可选	数据量小；测试应用是否仍能访问
局域网内的打印机和 NAS	通常不用	主要与本地设备通信，隧道没有额外价值
游戏机和流媒体棒	逐个判断	速度和服务端检查的表现可能不同

能否做到取决于路由器的 VPN 功能。有些路由器只能把全部流量送进隧道；更好的可以按本地地址或标签选择设备。阅读 路由器上的分流 了解该看什么，阅读 路由器的 kill switch 了解隧道断开时应发生什么。如果隧道断开后路由器回到正常路径，设备仍可工作，但流量不再受保护；如果路由器改为阻断流量，设备在隧道恢复前没有网络。请按每台设备的重要程度选择合适的行为。

一步步在路由器上为 IoT 设置 VPN

具体菜单因路由器而异，请结合厂商说明和我们的 在路由器上设置 VPN 使用下面的大纲。

1. 确认路由器能作为 VPN 客户端。 许多运营商提供的路由器做不到。如果你的做不到，可以在它后面再接一台小路由器，专门负责 IoT 网络的 VPN。
2. 确认你的 VPN 服务允许在路由器上使用。 不同服务商的条款和技术支持不同，开始前先阅读账号附带的设置信息。对 XPASS 来说，设置说明和支持的连接方式显示在你的 My Pass 页面。
3. 在路由器的 VPN 客户端页面填入账号的登录信息。 不要把它们放进截图或聊天消息。
4. 为 IoT 创建单独的网络或分组。 如果路由器支持，让 VPN 只绑定到该网络。
5. 先从一台设备开始。 把一台摄像头或音箱放进隧道，用手机应用观察一天。
6. 慢慢加入其余设备。 移动一台，测试它的应用，再移动下一台。
7. 写下撤销的办法。 在路由器旁贴一张说明如何让设备退出隧道的便条，能省下一整晚的烦恼。

如果路由器无法运行 VPN 客户端，你仍然可以通过选择能运行应用的设备，或在流媒体棒前使用旅行路由器做桥接，来保护最重要的那些设备。

三个真实场景

使用廉价摄像头的公寓。 小韦装了三个把视频片段上传到云端应用的便宜摄像头。他把它们移到开启客户端隔离的访客网络，更改了出厂密码，为账号开启了两步验证，然后让该访客网络通过路由器 VPN 出去。运营商不再能看到摄像头连接了哪些服务。如果 VPN 断开，摄像头会停止上传，而不是悄悄改走普通路径，这正是他对这一组设备想要的行为。

有语音助手的家庭。 安雅家里有两个智能音箱和几只灯泡。把音箱移到隧道后，语音指令变慢，一个音乐服务还要求额外确认。她觉得收益有限，就让音箱留在正常路径上，改为把它们放进单独的 Wi-Fi，并在家里没人时关闭麦克风。

租来的房子。 托马斯经常出差，带着流媒体棒、便携摄像头和一台小路由器。小路由器连接房子的 Wi-Fi，运行 VPN 客户端，并提供自己的私有网络。他接入的所有设备都被覆盖，却不必改动房东的网络。

设备停止工作时的排查

开启 VPN 后出现问题很常见，而且通常好解释。

• 设备离线。 先把它退出隧道，看是否恢复。如果恢复，说明隧道是原因。可以在 VPN 设置里换一个服务器，或让这台设备留在隧道之外。
• 应用提示无法访问设备。 许多应用通过局域网发现设备。如果手机和设备处于不同网络，发现可能失败。把它们放到同一网络，或确认本地流量没有被强制送入隧道。
• 语音或视频有延迟。 隧道会增加少量延迟。更近的服务器延迟更低，用网线连接路由器也有帮助。
• 某个服务要求额外验证或出现验证码。 该地址属于与他人共用的 VPN 服务器。让这台设备留在隧道之外，或稍后再试。
• 所有设备都没网了。 检查是否因为隧道断开，路由器的 kill switch 在阻断流量。重新连接隧道，或修正登录信息。
• 设备夜里反复掉线。 有些路由器在长时间空闲后重新协商隧道的表现不好。更新路由器固件，如果有其他连接选项也可以试试。

常见错误

• 指望路由器 VPN 修好密码薄弱或软件过时的设备。
• 把所有设备放在同一个扁平网络里，然后靠隧道来保证安全。
• 把对延迟敏感的设备也放进隧道，然后奇怪语音指令为什么变慢。
• 忘记测试隧道断开时会发生什么。
• 为了“帮朋友设置”而在聊天里分享 VPN 登录信息。
• 只看到功能列表里有 VPN 服务器，就买了无法运行 VPN 客户端的路由器。

总结

IoT 设备运行不了 VPN 应用，所以如果想让它们的流量进入隧道，路由器是切实可行的位置。它向运营商隐藏设备连接的对象，并在流量离开家时加密较弱的链路，但它修不好弱密码、过时固件，也修不好你自己网络里的恶意设备。先隔离 IoT 设备、保持更新、为账号开启两步验证，再把受益的设备一台一台地放进隧道，并想好隧道断开时的处理方式。

如果你也希望自己的笔记本和手机在离家后得到覆盖，可以随时在 价格页面 比较各种选择。