如何在 TP-Link 路由器上配置 VPN

TP-Link 是销量很大的家用路由器品牌，产品从入门的单机到 Mesh 组网系统、再到商用网关都有。人们搜索“TP-Link 路由器 VPN”时，通常期待一个简单答案：打开菜单，填几项信息，搞定。但老实的回答要从更早一步说起：不少 TP-Link 产品带有用于回家的 VPN 服务器，而带有能把全家流量经由 VPN 服务发出去的 VPN 客户端的相对较少，具体有哪种，取决于你手里这台的确切型号。

所以本文先讲检查，再讲有客户端的型号怎么配置，最后给没有客户端的型号提供合理的替代方案。我们并不对某个具体的 VPN 服务作保证：XPASS 尚未验证过路由器方案，受支持的方式是免费的 VPNclient 应用。想先了解路由器如何处理 VPN 的整体情况，可以看路由器 VPN 指南。

先弄清你的 TP-Link 到底提供什么

TP-Link 有好几个产品系列，它们的表现相差不小。

产品系列	典型管理方式	可能见到的 VPN	说明
Archer 家用路由器	网页和 Tether 应用	常有 VPN 服务器，部分型号有客户端	查看型号页面和“高级设置”菜单
Deco Mesh	Deco 应用	很少有客户端	主打简单，高级选项少
Omada 商用设备	控制器或云端门户	网关上有站点到站点、客户端到站点选项	面向办公室，更复杂
旅行/便携路由器	网页	部分有客户端模式	常为酒店和出行场景设计

建议这样做：

1. 读取确切的型号和硬件版本，位置在机身底部的标签上。型号末尾的 v1、v2 是硬件版本，看起来相同的路由器，不同版本之间功能可能不同。
2. 打开厂商网站上的产品规格页，寻找 VPN client、VPN server、OpenVPN、WireGuard、PPTP 或 IPsec 等字样，从措辞就能判断存在哪一侧。
3. 登录路由器，进入“高级设置”，找 VPN 条目。有的型号把服务器和客户端分成两个页面，有的是一个页面加模式切换，还有的什么都没有。
4. 记下固件版本，到更新页面看有没有更新的版本。功能有时会随更新出现。

要小心一个说法。盒子上写的“支持 VPN”常常指的是穿透或服务器，两者都不是客户端。路由器 VPN 与 VPN 应用的对比一文解释了为什么这个区别决定你该买什么。

穿透、服务器、客户端是三回事

很多配置问题都来自把它们混为一谈。

• 穿透（Passthrough）。 路由器允许你在笔记本或手机上发起的 VPN 通过。对于较老的隧道类型，它通常默认开启，本身不增加任何保护。
• VPN 服务器。 你人在外面时，路由器接受你发来的连接，例如用来访问家里的网络硬盘。它不会向运营商隐藏你家里的上网流量。
• VPN 客户端。 路由器主动向 VPN 服务建立隧道。人们说“路由器上要有 VPN”时，通常指的就是这个功能。

如果你的路由器只有穿透或服务器，那就没有客户端可配置，不必再去找隐藏的开关，直接看后面的备选方案部分即可。

VPN 服务需要提供哪些信息

路由器上的客户端不能像 VPNclient 应用那样直接登录，它需要它能理解的格式的原始信息。打开路由器页面之前，先弄清两件事。

第一，你的路由器客户端支持哪些隧道类型。入门级客户端通常提供较老的隧道类型，部分型号可导入 OpenVPN 配置文件或 WireGuard 参数。OpenVPN 社区资源和 WireGuard 官网介绍了这些文件里包含什么。如果不知道怎么选，可以参考 WireGuard 与 OpenVPN 对比。

第二，你的 VPN 服务能以这些格式提供什么。对 XPASS 而言，“My Pass”页面显示适用于你通行证的设置说明和连接方式，应用使用页面上的用户名和密码登录。具体某台路由器能否使用，我们没有测试过，所以请先做小规模试验，而不是想当然。

任何文件或密钥都要当作密码对待：不要用邮件发送，不要贴在公开帖子里，也不要放在共享文件夹中。

在有客户端的型号上配置

菜单名称随型号和固件而异，请把下面的步骤当作通用模式来读。

1. 保存当前配置。 在系统工具页面里，如果路由器提供备份功能就用上，并把文件保存在路由器之外。
2. 更新固件（如果有稳定版），之后重新登录。
3. 进入“高级设置”，打开 VPN 客户端页面。 有的型号叫 VPN Client，有的在统一的 VPN 标题下，用开关切换服务器和客户端。
4. 新建一个连接。 选择与手头信息对应的隧道类型，起个清楚的名字。
5. 填写各项或导入文件。 常见字段有服务器地址、用户名、密码，有时还有预共享密钥或证书。尽量复制粘贴而不是重新输入，并检查末尾有没有多余的空格。
6. 选择设备策略（如果有）。 有些 TP-Link 客户端允许你决定是所有设备还是只有某些地址走隧道。先从一台测试设备开始。
7. 保存，然后启用连接。 状态变为“已连接”最多可能要等一分钟。
8. 用手机测试，让手机连在路由器的 Wi-Fi 上。

如果状态一直停在“连接中”，或者提示认证错误，请看排查部分，并把VPN 连接不上怎么办放在手边，其中很多检查适用于任何设备。

验证结果

绿色状态不能算证据。在测试设备上做三项快速检查。

• 地址检查。 打开能显示公网 IP 的网站并记下，再关闭路由器隧道对比。隧道开启时地址应该不同。
• 局域网检查。 确认还能打印、投屏或访问网络存储。某些策略会把本地流量引向奇怪的路径。
• 重连检查。 重启光猫，看隧道能否自行恢复，中断了多久。

然后在有线连接的电脑上，分别在关闭和开启隧道时测速。如果下降明显，多半是路由器处理器的上限。为什么用 VPN 后网速会变化一文解释了常见原因，包括距离和服务器负载，同样适用于这里。

路由器没有客户端时的选择

很多人会走到这一步，这并不是失败。你有几种合理的选择。

1. 在重要设备上用应用。 手机和笔记本存放的个人数据最多，还会跟着你出门，所以它们上的应用往往本来就是最好的保护。VPNclient 应用支持 iOS、Android、Windows 和 macOS。
2. 在前面再加一台路由器。 在光猫和 TP-Link 之间放一台支持 VPN 的路由器或小型旅行路由器，把 TP-Link 设为无线接入点（AP），连在它 Wi-Fi 上的设备就会跟着第一台路由器的隧道。这样可行，但多了一台设备、多了一层网络，还可能出现双重 NAT。
3. 看看更新是否新增了该功能。 偶尔会，请查看更新说明。
4. 第三方固件。 某些型号能刷带 VPN 客户端的社区固件，但这属于进阶操作，因型号而异且有风险：刷机失败可能让路由器无法使用，之后厂商也可能拒绝提供支持。除非你了解风险并有办法恢复，否则不要这样做。
5. 换种方式使用 Mesh。 Deco 系统通常没有客户端设置，所以把 VPN 放在设备上，而不是放在 Mesh 上。

选择最不复杂、又能满足你真实需要的那一种。

客户端不听话时的排查

认证失败。 慢一点重新输入用户名和密码。一个看不见的空格就足以让登录失败。同时确认这些信息对应你所选的隧道类型。

停在“连接中”。 检查路由器的日期和时间，并确认关闭隧道时上网本身是正常的。有些网络会阻断某些隧道类型，如果路由器还提供其他类型，可以换一种试试。

已连接，但部分网页只加载一半。 这是数据包大小不匹配的典型表现，背后的概念是路径 MTU，RFC 1191 对此有说明。把隧道 MTU 一点点调小，再重新测试。

流媒体或银行应用有意见。 如果策略允许，把该设备移出隧道。与服务的检查机制较劲，通常得不偿失。

设备失去局域网访问。 重新检查策略，排除本地地址或受影响的设备。

一切都很慢。 用网线测试，更新固件，并尝试可用的最轻量的隧道类型。如果路由器本身太旧，就接受这个上限，改用应用。

值得记住的局限

• 路由器上的隧道只覆盖家里的设备。笔记本一旦离开，就需要它自己的应用。
• 它不能阻止钓鱼、弱密码或恶意软件，也不会让你匿名。
• 策略写得粗糙时，可能破坏局域网里的便利功能。
• 路由器固件更新可能重置 VPN 设置，所以保留备份，更新后重新测试。
• 用强管理员密码保护路由器本身，并关闭用不到的远程管理。
• 网站和应用有各自的规则，有些会不信任 VPN 地址。

总结

在 TP-Link 路由器上配置 VPN，要从检查开始：区分穿透、服务器和客户端，确认确切型号和硬件版本，看看是否真有客户端。有的话，先备份、更新，用 VPN 服务能提供的信息添加连接，应用到测试设备，并验证地址、局域网访问和重连。没有的话，在设备上用应用，或在前面加一台支持 VPN 的路由器，是切实可行的备选。XPASS 尚未验证过路由器方案，所以依赖它之前请先测试。

如果在每台设备上用应用更简单，价格页面说明了固定天数的预付通行证是如何运作的。