家庭网络 OPNsense VPN 配置指南

OPNsense 是一个开源的防火墙与路由平台，很多家庭在觉得普通路由器不够用时会选择它。它可以运行在无风扇的小型主机或专用设备上，通过网页管理，提供 VLAN、细致的防火墙规则以及多种 VPN 技术。对于家庭网络来说，真正有意义的问题不是“该点哪些菜单”，而是“家里哪些部分应该用 VPN，以及怎样让这套安排长期可靠”。

本指南以家庭为出发点。先设计谁、什么设备走隧道，再按 OPNsense 要求的顺序完成配置，最后讲 DNS、更新、备份和测试。菜单名称会随版本变化，所以请把这些步骤当作地图，而不是脚本。如果你还没比较过防火墙和简单应用，可以先看路由器 VPN 与 VPN 应用对比。

先画家庭设备地图，而不是先看菜单

动手之前，先写下网络里都有什么。一般家庭的设备类型比想象中多，每一类都值得单独决定。

设备类别	例子	合理的做法
工作设备	笔记本、书房电脑	若单位规定允许可走隧道；很多时候保留单位自己的 VPN 更好
娱乐设备	智能电视、流媒体棒、游戏机	想用就走隧道；有的服务可能不喜欢 VPN 连接
手机和平板	家人在家用 Wi-Fi 的设备	在设备上用应用，或走隧道，但不要两者同时用
智能家居	摄像头、门铃、插座	通常走普通线路，以便在外面仍可控制
访客	客人的手机	单独的访客网络，走普通线路
服务器与打印机	NAS、打印机	仅限本地，不走隧道

这张表带来两点启示。第一，“所有设备都走 VPN”很少是家庭的最佳答案。出门时靠应用控制的小设备可能失灵，打印机可能连不上，部分银行或视频服务也可能提出异议。第二，一台设备只应有一条 VPN 路径，而不是两条。手机在防火墙隧道之上再开一个 VPN 应用，会多一层加密，还可能引起奇怪的故障。

把决定画成几个网络，例如“可信”“走隧道”“小设备”和“访客”。这张图就是你的 VLAN 或子网规划。如果交换机和无线设备不支持 VLAN，同样可以通过为单个地址设置路由来达到目的。

一个具体例子：陈先生一家

假设一家四口住在公寓里。陈先生每周在家办公两天，女儿读大学，孩子们用平板，客厅有一台电视，还有几个智能插座。

• 陈先生的工作笔记本通过公司自己的远程访问连接，所以放在“可信”网络，防火墙不去碰它。
• 电视、两台平板和女儿的笔记本放在“走隧道”的 Wi-Fi 上，那里的一切都经 VPN 出去。
• 智能插座和门铃放在“小设备”网络，走普通线路，且不能访问其他网络。
• 客人连接“访客”网络，它与其他网络隔离，也不经过 VPN。

四个网络，一条隧道，三条关键规则。没有人需要在平板上安装或记住任何东西；如果有一天全家不再需要 VPN，只要删掉一条规则。这才是在 OPNsense 上做这件事的真正优势。

家庭场景的硬件与软件规模

VPN 会增加加密工作。对于普通的家庭宽带，带有支持 AES 指令的 CPU 的现代小型设备通常游刃有余。若是高速光纤，而且有很多设备走隧道，处理器的性能就会起作用。测速的同时观察 CPU 占用：如果传输时某个核心跑满，那就是你的上限。

另外要让系统本身保持健康：

• 使用稳定且仍受支持的版本，大版本升级前阅读说明。
• 给设备配独立并贴好标签的电源，条件允许就加一个小型 UPS，避免瞬间断电损坏配置。
• 至少保存两份配置备份，一份在电脑上，另一份放在别处。

按顺序搭建隧道

OPNsense 的流程与其他防火墙的逻辑一致：凭据、隧道、接口、网关、NAT、规则。你的 VPN 服务决定你能建立哪种隧道，所以先读服务的说明。对于 XPASS 的通行证，My Pass 页面会显示支持的连接方式和设置说明，请不要自行假设使用哪种协议。

1. 准备隧道信息。从服务商处下载配置文件、证书或密钥并妥善保存，不要修改密钥值。
2. 添加客户端。在 VPN 部分，按服务提供的隧道类型创建客户端条目。服务器地址、端口和凭据要原样填写。如果不确定技术差异，WireGuard 与 OpenVPN 对比用通俗的语言介绍了常见类型。
3. 分配接口。在 Interfaces 下的 Assignments 中添加新的隧道设备，启用并起一个清晰的名字，如“VPN_OUT”。除非服务商给出隧道地址，否则地址配置保持“None”。
4. 创建网关。为该接口添加网关，并设置一个能经隧道响应的监控地址。不要把它设为默认网关，普通互联网线路必须仍是默认出口。
5. 把出站 NAT 切换为 Hybrid，并添加规则：当“走隧道”网络的流量从 VPN_OUT 出去时做地址转换。家庭网络使用的是私有地址段，不转换的话 VPN 一侧无法回包。
6. 添加防火墙规则：在“走隧道”网络的接口上放行流量并指定 VPN 网关。如果你选择允许，则在它上面再放一条规则，让该网络仍可访问想保留的本地资源（例如“可信”网络里的打印机）。

如果使用 VLAN，第 5 步和第 6 步只需为“走隧道”VLAN 做一次。如果按地址分流，就创建一个包含所选地址的别名，用静态 DHCP 为这些设备预留地址，并把别名作为规则的源。背后的概念见什么是分应用隧道（split tunneling）。

家庭里的 DNS 决策

家里的 DNS 值得单独考虑，因为家庭里有许多设备会自己决定把查询发往何处。

• 走隧道的网络：下发能经隧道到达的 DNS 服务器，并添加规则，禁止该网络里的设备使用其他解析器。否则你的域名查询仍可能经过家里的宽带运营商。
• 可信网络和小设备网络：保持使用常规解析器。尤其是智能家居设备，改了 DNS 可能就不能用了。
• 本地名称：如果你依赖“nas.home”这类名称访问本地设备，要确认走隧道的设备所用解析器仍能解析它们，否则这些名称会失效。文章分离式 DNS解释了原因。
• 自带加密 DNS 的设备：有些电视和浏览器会忽略网络下发的 DNS。每种设备都应测试一次。

一个简单的检查方法，是在走隧道的设备上打开 DNS 泄漏测试，看显示的解析器是否就是你选择的那个。

让系统长期保持可靠

家庭防火墙不是装好就能忘的设备。下面这些习惯能让它保持可靠。

1. 每次改动成功后都备份。导出配置，并在文件名中写上日期。
2. 按计划更新。每月挑一个安静的晚上检查更新，并且先备份。
3. 想好后备方案。隧道断开时，走隧道的网络应该怎么办？可以选择完全断网直到隧道恢复（fail closed），也可以让这些设备改走普通线路。对注重隐私的家庭，fail closed 更稳妥，但要告诉家人电视为什么不能看了。概念见VPN kill switch 是什么。
4. 停电后测试。故意重启一次设备，确认隧道会自行恢复。
5. 记录布局。用一页纸写下各网络、VLAN 编号、地址和每条规则的用途，几个月后你或者来帮忙的亲戚才容易找到问题。

测试完成后的家庭配置

带着一部手机，依次在每个网络上走一遍这份清单。

1. 在走隧道的网络上，查询公网 IP 应显示 VPN 的地址。
2. 在可信网络和小设备网络上，显示的是你家的地址。
3. 在走隧道的网络上做 DNS 泄漏测试，显示你预期的解析器。
4. 走隧道的设备下载大文件不会卡住。如果小页面能打开而大文件卡住，请降低隧道 MTU 或启用 MSS clamping。
5. 获准打印的网络里，本地打印仍然正常。
6. 故意关闭隧道，观察走隧道的网络是断网还是回落到普通线路，看是否符合你的选择。
7. 重启防火墙，观察隧道是否恢复。

出问题时怎么办

现象	首先检查
隧道已连接但走隧道的设备没网	VPN 接口上该网络的出站 NAT
网关一直显示 pending	监控地址，以及隧道握手状态
全家变慢	默认网关是否被误改
某个电视应用拒绝播放	该服务可能不喜欢 VPN 连接，把电视移到普通网络
手机应用控制不了智能插座	插座在走隧道的网络里，把它移到小设备网络
用一天就失效	隧道保活或服务商一侧的会话限制，参考服务商说明
只有夜间速度差	线路拥堵，试试应用里的其他位置

如果问题持续存在，提升 VPN 连接稳定性列出了适用于任何设备或路由器的步骤。

需要了解的局限

防火墙隧道只保护你家与 VPN 服务器之间的流量。它不能防止钓鱼、弱密码或设备上的恶意软件；不会改变网站和应用通过账号与 Cookie 对你的了解；不会让任何人匿名；也不会凌驾于某项服务关于 VPN 使用的规定之上。随身携带的设备离开家后，从家里的隧道得不到任何好处，所以请在随身带的电脑或手机上装应用。XPASS 客户使用的免费 VPNclient 应用见下载页面，用 My Pass 页面上的用户名和密码登录即可。

有两个网络方面的小知识容易让新手困惑。如果运营商让许多用户共用运营商级地址，也就是使用 RFC 6598 定义的共享地址段，你就很难在家里接收外部发起的连接。这影响的是服务器角色，而不是本文所述的客户端隧道。另外，如果运营商提供 IPv6，要确认走隧道的网络不会悄悄在隧道之外使用它：要么也让 IPv6 走隧道，要么在该网络上关闭。

总结

好的 OPNsense VPN 方案从家庭设备地图开始：哪些设备走隧道，哪些保持普通线路，哪些只限本地。按顺序搭建隧道（凭据、客户端、接口、网关、NAT、规则），有意识地处理 DNS 和 IPv6，决定隧道故障时网络该如何表现，并备份已经正常运行的配置。从每个网络分别测试，并在会带出家门的设备上保留应用。

如果想把简单的预付通行证与防火墙项目做个比较，可以随时查看价格页面。