如何在华硕（ASUS）路由器上设置 VPN

华硕路由器在家庭和小型办公室里很常见，网页管理界面功能丰富，VPN 客户端往往也在其中。于是很多人会搜索“华硕路由器 VPN”：菜单就在眼前，却不清楚哪个页面是做什么的、该选哪种隧道类型，也不确定这台路由器是否有足够的性能为全家承载 VPN。

本文面向华硕硬件，按实际操作顺序往下讲。我们不会声称覆盖所有型号，因为菜单名称、标签页和可选项会随产品线与固件版本变化；也不保证某项服务一定能在你的路由器上使用。XPASS 尚未验证过路由器方案，所以请把下面的内容当作检查和测试的方法；如果路由器这条路走不通，可以改用手机或电脑上免费的 VPNclient 应用。想先了解路由器 VPN 的整体思路，可以阅读路由器 VPN 设置指南。

先确认路由器型号和固件版本

动手改任何 VPN 设置之前，先记下三项信息，后面几乎所有决定都取决于它们。

1. 型号和硬件版本。 型号印在路由器底部的标签上。像 A1、B1 这样的硬件版本有时很关键，因为同一个名称下销售的机器，可能用的是不同的芯片。
2. 固件版本。 登录路由器（登录地址通常也印在标签上，属于 RFC 1918 所说的私有地址），在状态页或管理页里能看到固件版本，记下来。
3. 这个型号是否还有固件更新。 打开更新页面看看。如果路由器已经很久没人维护，自带的 VPN 客户端可能过于陈旧，这时在每台设备上装应用也许更合适。

接着在左侧菜单里找名为 VPN 的条目。较新的型号里它通常有多个标签页。名称会有差异，但一般能看到 VPN 服务器、VPN 客户端，较新的固件还会有一个综合页面，可以同时管理多个连接，并指定哪些设备使用哪个连接。如果完全找不到 VPN 条目，说明这个型号或固件大概率没有这些功能。

建议把结果简单记成一条笔记：型号、硬件版本、固件版本、有哪些 VPN 标签页。以后联系客服或到论坛求助时，能省下大量时间。

服务器还是客户端：先选对页面

在华硕路由器上最常见的错误，就是点开了错误的标签页。这两件事完全不同。

用途	作用	常见标签页	适用场景
VPN 服务器	让你从外部连进家里的网络	VPN Server	出差时想访问家里的文件或设备
VPN 客户端	让路由器与 VPN 服务建立隧道	VPN Client	希望家里的设备通过 VPN 上网
综合管理页	管理多个客户端配置与按设备的规则	仅较新固件	希望部分设备走隧道、部分不走

如果你想要的是 VPN 应用通常提供的那种隐私保护，需要的是客户端这一侧。服务器是另一种工具，适合远程访问家里，并不会让运营商看不到你家里的上网流量。文章路由器 VPN 与 VPN 应用有何不同解释了为什么许多家庭两者并用。

你需要从 VPN 服务拿到什么

路由器上的 VPN 客户端不是手机上那种好看的应用，它需要 VPN 服务提供的原始连接信息，而且必须是路由器能识别的连接类型。要弄清两件事：

• 你的路由器提供哪些连接类型。 固件通常只支持一份很短的清单，例如较老的隧道类型和 OpenVPN，较新的固件可能增加 WireGuard。页面里会以下拉菜单或不同标签页的形式列出。
• 你的 VPN 服务给了你哪一类的信息。 一般是配置文件或一组数值：服务器地址、登录凭据，有时还有证书或密钥。想了解常见协议的差异，可以读 WireGuard 与 OpenVPN 对比，WireGuard 和 OpenVPN 的官方网站也介绍了格式。

对 XPASS 来说，“My Pass”页面会显示适用于你通行证的设置说明和连接方式，应用登录用的就是页面上的用户名和密码。我们没有测试过路由器，所以请不要想当然地认为路由器能使用这些信息。如果路由器和服务之间根本没有共同的连接类型，就到此为止，不要硬凑，改用应用即可。

另外，不要在不可信的网络上把登录信息或密钥输入路由器，也不要把配置文件贴到论坛上，因为里面含有机密内容。

逐步添加客户端配置

各型号界面不同，但在大多数华硕固件上，操作顺序基本一致。

1. 先备份。 在管理页面里找到把当前设置保存成文件的选项，把文件放在安全的地方。这是你的“撤销键”。
2. 更新固件（如果有稳定版），然后重新登录。不要在修改 VPN 设置的中途升级。
3. 打开 VPN 栏目，进入客户端标签页。 如果有带“添加配置”按钮的综合页面，就用它。
4. 选择连接类型，要与手里的信息对应。给配置起个清楚的名字，例如 home-vpn-test。
5. 输入或导入信息。 使用配置文件的类型通常有导入按钮；否则逐字填写服务器地址和凭据，因为错一个字符是连接失败最常见的原因。
6. 先保存，不要立刻对所有设备生效。 如果支持按设备的规则，先只给一台测试设备使用；如果不支持，启用后整个网络都会跟着 VPN 走。
7. 启用连接并等待。 状态应在大约一分钟内从“连接中”变为“已连接”。如果一直不变，看下面的排查部分。
8. 测试：用连着该路由器 Wi-Fi 的手机，按后文的测试方法检查。

只要网络出现无法使用的情况，就把配置关掉。路由器会马上回到正常线路，其他设置不受影响。

决定哪些设备走隧道

较新的华硕固件提供按设备的规则，这正是路由器 VPN 变得好用的地方。思路就是路由器层面的分流（split tunneling）：一部分流量进隧道，其余走正常线路。

决定之前，先想想家里有哪些成员设备。

• 智能电视或游戏机装不了应用，天然适合放进隧道。
• 公司笔记本通常自带公司的 VPN，让它留在家庭隧道之外，可以避免两个 VPN 互相冲突。
• 银行和支付类应用有时不喜欢 VPN 地址。常用来办理银行业务的手机最好放在隧道外，或使用时暂时关闭策略。
• 打印机、网络存储和摄像头属于本地设备。把它们的云端流量走隧道是可以的，但在沙发上就能打印这类本地功能应继续可用，务必测试。
• 访客网络适合来家里的客人，他们得到普通上网，不影响你自己的设备。

如果固件只有整个客户端的开关，就把它当成全家的决定：要么全部使用，要么全不使用。这种情况下路由器 VPN 更简单但不够灵活，在重要设备上装应用可能更合适。

写规则时，请针对固定地址的设备。先在路由器的 DHCP 设置中为每台设备保留地址，否则按某个地址写好的规则，会在设备重启拿到新地址后悄悄失效。

认真测试

“已连接”的指示灯不等于成功。请检查三件事。

1. 公网 IP 发生变化。 在走隧道的手机或笔记本上，对比开启前后的公网 IP，两者应该不同。而被规则排除的设备，IP 应保持不变，这同时证明规则生效了。
2. DNS 跟随隧道。 如果域名查询仍然发给运营商，你的一部分浏览行为仍然可被其看到。可以按检查 VPN 是否正常工作中的方法做 DNS 测试。
3. 重连行为。 拔掉上网网线二十秒再插回去，看隧道能否自动恢复，以及断开期间设备是否仍受保护。

还要测速。在用网线连接的电脑上，分别在关闭和开启隧道时各测一次。如果下降很多，通常说明路由器处理器是瓶颈，因为为全家加密所有流量，对一般性能的硬件来说是很重的工作。如果路由器和服务都提供更轻量的隧道类型，往往会有帮助。

常见问题与解决办法

一直不显示“已连接”。 检查路由器的日期和时间，因为基于证书的隧道在时钟错误时会失败。然后重新输入凭据，确认连接类型与收到的信息一致。

已连接，但网页打不开。 这通常与 DNS 或数据包大小有关。可以在客户端设置里换一种 DNS 选项；如果网页只加载一半，就一点点调小隧道的 MTU。这类症状在任何设备上都很常见，不只出现在路由器上。

能用，但几个小时后掉线。 查看路由器的系统日志找原因。有些隧道类型需要设置保活（keepalive）。更新固件、用网线直连光猫，稳定性也会改善。

只有一台设备出问题。 检查该设备的地址保留和规则。使用随机 Wi-Fi 地址的手机，可能脱离为另一个地址写的规则。

流媒体或银行应用拒绝运行。 很多服务不信任 VPN 地址。把这台设备移出隧道，比和应用较劲更省事。

路由器变慢或发烫。 减少经过隧道的内容，更新固件，或者把任务交给真正需要它的设备上的应用。

局限与合理预期

路由器 VPN 有真实的局限，了解它们能避免失望。

• 它保护的是离开你家的流量，无法管住设备本身发生的事。钓鱼、弱密码和恶意应用，隧道解决不了。
• 出了家门，路由器就不再保护你的手机和笔记本，这时需要设备上的应用。
• 它会增加路由器的负担，可能降低速度。
• 固件或 VPN 服务的更新可能改变设置，每次更新后都应重新测试。
• 路由器本身的安全由你负责：设置强的管理员密码，除非确实需要，否则不要开启从互联网远程管理，并定期更新。
• 你使用的网站和应用的服务条款依然适用。

对很多人来说，最好的安排是简单的那种：路由器负责电视这类固定设备（前提是运行良好），手机和笔记本则使用 VPNclient 应用，应用提供 iOS、Android、Windows 和 macOS 版本。

总结

在华硕路由器上设置 VPN，先要确认型号、硬件版本和固件，然后选对客户端而不是服务器页面，导入正确的信息，先用一台测试设备验证，再检查 IP、DNS 和重连表现。如果固件支持按设备的规则，使用体验会好得多。记得保留配置备份，预期会有一些速度损失，并记住 XPASS 尚未验证过路由器方案。

如果最后发现在每台设备上用应用更省事，可以随时看看价格页面，了解预付通行证是怎么运作的。