Mesh Wi-Fi 搭配 VPN：家庭网络设置要点

Mesh Wi-Fi 已经成为覆盖复式住宅、长条形公寓或院子里小办公室的常见方案。不再是一台路由器孤零零放在走廊，而是由几台小设备（称为节点）协同组成同一个网络。覆盖问题解决了，可一旦你想加上 VPN，就会冒出一个实际问题：VPN 该装在设备上，还是装在 Mesh 里？手机在节点之间切换时，连接会怎样？

本文讨论的是 Wi-Fi 意义上的 Mesh 与 VPN 搭配使用。我们会讲清 Mesh 是怎么组成的，哪些特点会影响 VPN，推荐怎样的设置顺序，以及家庭里真实遇到的问题如何排查。如果你想找的是把自己的设备跨互联网连接起来的点对点工具，那是另一个话题，可以看 Mesh VPN 是什么。

“Mesh”的两种含义，本文说的是哪一种

这个词被用在两种差别很大的东西上，先分清楚。

• Mesh Wi-Fi 是硬件布局。多个接入点共用同一个网络名称和同一套设置，让整栋房子的信号连续覆盖。它关心的是你家里的无线电信号。
• Mesh VPN 是软件布局。你的设备之间直接建立加密链路，无论身在何处。它关心的是安全地访问你自己的设备。

Mesh Wi-Fi 不会让你更私密，Mesh VPN 也不会让信号变强。两者可以只用其一、同时使用，或者都不用。本文只讨论第一种：你家里有 Mesh Wi-Fi，并且想搭配 VPN 服务使用。

核心思路很简单：VPN 是叠加在网络之上的一层。你的设备把流量包进加密隧道，送往 VPN 服务器；下面的 Wi-Fi，不管是一台路由器还是六个 Mesh 节点，只是负责运送这些已经打包好的数据。所以最简洁、通常也最稳定的设计，是让 VPN 在设备上运行，让 Mesh 去做它擅长的事。

Mesh Wi-Fi 究竟是怎么组成的

弄清下面四个部分，后面的决定都会容易很多。

主节点。 用网线连接光猫或运营商设备的那一台，通常同时担任路由器：分配局域网地址、运行防火墙，并在家里的地址和公网地址之间做转换。

卫星节点。 其余的节点负责扩展覆盖。它们通过网线（有线回程）或专用无线链路（无线回程）与主节点通信，你的设备会连接信号最好的那一个。

同一个网络名称。 所有节点广播相同的名称和密码。手机看到的是一个网络，自己决定连哪个节点。新型系统使用标准的漫游功能，帮助设备平滑切换。

同一个地址空间。 设备在移动时保持原来的局域网地址，因为分配地址的是主节点，而不是卫星节点。这些地址来自 RFC 1918 规定的私有地址段，例如 192.168.x.x 或 10.x.x.x。

对 VPN 用户来说，结论很直接：节点是带点智能的接入点，默认并不是 VPN 的端点，也很少有足够的处理能力和软件来胜任这个角色。

VPN 该装在哪里：设备、Mesh 还是光猫

在使用 Mesh Wi-Fi 的家庭里，有三个现实可行的位置。

方案	工作方式	优点	局限
每台设备装 VPN 应用	手机、电脑、平板各自建立隧道	在任何 Wi-Fi 下都能用，在家或外出皆可；可逐台控制	无法覆盖没有 VPN 应用的设备，如不少智能电视和音箱
装在主路由上	主节点或其后的路由器让全部流量走隧道	覆盖所有设备，包括没有应用的	需要支持 VPN 客户端的路由器；全屋变慢；一个开关影响所有人
在 Mesh 后另加一台路由器	专用路由器建立隧道，选定设备连到它	可有选择地使用，Mesh 保持简单	多一件硬件，还多出一层 NAT

对大多数家庭来说，第一种最合适，也最容易看清哪些流量受到了保护。VPN 路由器与 VPN 应用的对比里有更详细的权衡，如果你决定走路由器方案，可以看帮助指南在路由器上设置 VPN。

许多消费级 Mesh 系统的 VPN 客户端功能有限，甚至没有。有些型号自带某种内置服务，只保护特定路径，对你在其他网络上的情况帮不上忙。规划之前请先查看你所用型号的厂商文档。不要以为 Mesh 应用里的“安全”开关就表示流量已加密发往 VPN 服务器，它通常指的是别的东西，比如过滤已知的恶意地址。

在节点之间漫游，对 VPN 隧道有什么影响

这是被问得最多的问题。你在客厅开着视频通话，走上二楼，手机从一个节点换到另一个节点，VPN 会怎样？

按常规配置，手机在移动时保留原来的局域网地址，因为服务它的仍然是同一台路由器。VPN 隧道是建立在这个地址之上的，所以从 VPN 的角度看什么都没变，数据包只是改走了另一个节点。你可能感觉到短暂的卡顿，一般不到一秒，那是设备重新关联所需的时间。

当设置破坏了这个前提时，问题就出现了。

• 每个节点各用一个网络名称。 手机会把切换视为换网络，隧道可能断开后重建。
• 卫星节点处于路由模式。 如果卫星节点有自己的地址池，移到它那里的设备会拿到另一个网段的新地址。
• 省电策略过于激进。 某些手机在移动或锁屏时会暂停后台连接，VPN 应用可能需要几秒钟才能恢复。
• 回程链路太弱。 节点之间的链路差时，数据包延迟或丢失，隧道看起来像卡住了，虽然并没有正式断开。

如果你的 VPN 应用带有 kill switch，隧道一断，互联网也会一并被切断，直到恢复，这正是它的设计行为。想知道屏幕上会看到什么，可以读一读 VPN 的 Kill Switch 是什么。

双重 NAT、桥接模式，为什么值得关心

NAT（网络地址转换）让许多设备共用一个公网地址。当两台路由器依次做 NAT，就是双重 NAT。这在 Mesh 家庭里很常见：运营商的光猫往往自带路由功能，而 Mesh 主节点又作为第二台路由器接在后面。

对手机或电脑上的 VPN 客户端来说，双重 NAT 通常无伤大雅。隧道由你的设备向外发起，出站连接穿过两层转换也没有问题。受影响的是需要入站连接的东西。

• 在家里搭建 VPN 服务器供自己使用。
• 某些依赖点对点连接的在线游戏功能。
• 远程访问摄像头或存储设备。
• 端口转发规则，现在两台路由器上都要设置。

比较整洁的办法是只保留一台路由器。如果运营商设备支持，把它设为桥接模式，让 Mesh 主节点直接获得公网地址；或者把 Mesh 设为接入点（AP）模式，让运营商路由器继续当路由器。无论哪种，最终都只剩一层 NAT。更改之前请先看运营商的说明，因为切换模式有可能中断服务，或让运营商自带的 Wi-Fi 消失。

按各自承担的功能来选。如果你依赖运营商路由器提供固话或电视服务，就让它继续担任路由器，把 Mesh 用作 AP；如果 Mesh 系统的管理功能更好，则让 Mesh 当路由器。

一套行之有效的设置顺序

第一次按这个顺序做，你能把问题隔离开，而不是制造新问题。

1. 先让 Mesh 稳定。 加入 VPN 之前，确认每个房间信号良好，普通网络下的速度也合理。在至少两个房间做测速并记下基准值。
2. 确定路由器角色。 尽量只保留一层 NAT：给运营商设备做桥接，或把 Mesh 设为 AP 模式。
3. 能用有线回程就用。 节点之间的网线能把无线频段留给你的设备，也更稳定。无法布线时，让每个节点以较强信号看到上一个节点，而不是放在覆盖边缘。
4. 先在一台设备上安装 VPN 应用。 使用 XPASS 时，从下载页面安装免费的 VPNclient 应用，用 My Pass 页面显示的 VPN 用户名和密码登录，而不是网站的邮箱。
5. 在离主节点最近的房间测试。 连接后确认可用，并记下速度。
6. 在最远的房间测试。 与第 1 步的基准对比。如果下降幅度比不开 VPN 时更大，问题多半在无线链路，而不在 VPN。
7. 边通话边在家里走一圈。 开着 VPN 在节点之间走动，观察通话是否保持，停顿多久。
8. 逐台推广到其他设备。 没有应用的设备继续使用普通网络。
9. 把你的改动记下来。 以后若再调整路由器角色，你会知道原来的状态。

常见问题排查

多数问题都落在几种固定模式里，先做最快的检查。

现象	可能原因	可以尝试
走到另一个房间 VPN 就断	节点网络名称不同，或节点之间地址发生变化	统一网络名称，只保留一台路由器
靠近主节点正常，楼上不行	回程链路弱或节点位置不合适	把卫星节点挪近，或在节点之间加网线
已连接但网页打不开	更改路由模式后 DNS 或地址冲突	依次重启主节点、运营商设备，然后重新连接
开 VPN 后速度明显下降	多跳无线、信道拥挤、VPN 开销	在节点附近用 5 GHz 或 6 GHz 测试；试试有线；与关闭 VPN 对比
家里 Wi-Fi 无法连接 VPN，但移动数据可以	路由器或 Mesh 的某项设置拦截了这类流量	更新节点固件；检查“安全”或家长控制过滤功能；关闭后再试
更换路由设置后音箱或电视不能用	设备仍绑定旧网络或旧地址	让设备重新连接 Wi-Fi；Mesh 应用允许的话，为它设置固定地址

如果 VPN 应用能连接但很慢，请读 为什么用 VPN 后速度会变化，区分哪些来自 VPN、哪些来自 Wi-Fi 的限制。对通话和游戏来说，延迟（发送与接收之间的时间）比原始速度更重要，Cloudflare 关于延迟的说明是通俗易懂的参考。如果连接有但不稳，可以对照提高 VPN 连接稳定性里的检查项，这些适用于任何 Wi-Fi。

三个家庭场景

两层楼的家庭住宅。 小林家有三个节点，用无线回程。大人用手机和笔记本办公，孩子用来上课和玩游戏，电视没有 VPN 应用。小林在笔记本和手机上装好 VPN 应用，电视保持原样。楼上卧室网速慢，她把中间的节点从楼梯间移到楼梯平台，并拉了一根网线过去。卧室笔记本的速度恢复，开会时 VPN 也不再卡顿。

使用运营商路由器的出租房。 阿龙不能更换运营商的光猫路由器，也不想冒断网的风险。他加装了 Mesh 系统，但设为 AP 模式，让运营商设备保持唯一的路由器。这样只有一层 NAT，没有双重 NAT，手机上的 VPN 应用在客厅走到卧室时也能继续工作。

院子里的家庭办公室。 小美在离主屋约 20 米的小房间工作。她在花园门边放了一个卫星节点，通过穿管埋地的网线连到主节点。每天早上她在工作笔记本上打开 VPN，确认视频通话依然流畅。由于回程是有线的，她的速度与室内相当，只扣除 VPN 的开销。

局限与常见错误

• 把 Mesh 应用里的安全功能当成 VPN。 它们是两种工具，各有任务。路由器层面的过滤不会加密你发往互联网的流量。
• 每一层都装 VPN。 在路由器上开一次、设备上再开一次，会形成两层嵌套隧道，更慢，也更难排查。选一个位置就够了。
• 明明是双重 NAT，却一直盯着信号格数。 某些特定功能变慢或失效，往往是 NAT 的问题，而不是无线信号。
• 忘了访客网络和物联网网络。 许多 Mesh 系统提供与主网络隔离的访客网络，连在上面的设备享受不到你手机上 VPN 的保护。
• 不更新固件。 Mesh 固件更新会修复真实的故障，包括漫游方面的问题。
• 指望 VPN 修好差的信号。 VPN 改善不了无线链路，最多只会增加一点开销。关于多设备的使用，可以看 多设备使用 VPN 要检查什么。

VPN 也不会让你对自己的账号隐身。你登录的服务仍然知道你是谁，VPN 对钓鱼也没有作用。在决定对它的依赖程度之前，建议读一读VPN 无法保护你的哪些方面。

总结

Mesh Wi-Fi 只是把同一个网络铺满整个家的方式，而 VPN 是叠在它上面的一层。最可靠的做法是：在每台设备上安装 VPN 应用，只保留一层 NAT，尽量使用有线回程，并通过边通话边走动来测试漫游。出现异常时，先检查网络名称、路由器角色和节点位置，再怀疑 VPN。

准备好在自己的设备上试用简单的预付通行证时，可以到价格页面看看有哪些选择。