双 WAN 路由器上使用 VPN 需要知道什么

第二条宽带曾经只有办公室才会装。如今不少家庭和小店用的是光纤加一条移动备份，或者两家运营商的宽带，一起接进带两个 WAN 口的路由器。想法很有吸引力：一条线路出故障，另一条接手。然后有人在这台路由器上再加一个 VPN，事情就没那么整齐了。隧道是绑定在某个公网地址上的长期连接，而双 WAN 路由器的设计初衷恰恰是在不同公网地址之间转移流量。这两种思路是朝不同方向拉的。

本文讲解双 WAN 路由器上的 VPN 如何运作：故障切换（failover）与负载均衡的差别、隧道在哪里会断、移动备份线路带来的变化，以及规划和测试的实用清单。文中假设你已了解在路由器上装 VPN 的基础；如果没有，请先读如何在路由器上设置 VPN。至于路由器是否是合适的位置，可参考路由器 VPN 与 VPN App 的区别。

双 WAN 到底做了什么

WAN 口是路由器连接互联网的接口。双 WAN 路由器有两个，主要有两种用法。

故障切换。 一条为主线路，另一条待命。路由器定期检测主线路，例如向几个可靠的地址发 ping。如果检测持续失败，路由器就把默认路由切到备用线路；主线路恢复后，流量可能再切回去。

负载均衡。 两条线路同时使用，新连接在两条线路之间分配，平均分或按你设定的比例都可以。单个下载仍然只能用一条线路，但十个浏览器标签页和三部手机可能分散到两条线路上。

路由器也可能允许你把某些设备或服务固定在指定线路上，这是一种策略路由。关于按设备分流的文章讲解了一般思路。

两条线路各有运营商分配的公网地址。VPN 正是在这里介入，因为隧道是从其中一个地址建立的。

为什么 VPN 与双 WAN 会冲突

VPN 隧道一旦建立，就是你的路由器与一台 VPN 服务器之间的对话。服务器看到你这一侧有一个特定的源地址，并期望数据包持续从那里来。由此产生几个后果：

• 换线路会改变源地址。 如果路由器从线路 A 故障切换到线路 B，VPN 服务器会突然看到来自一个从未见过的地址的数据包。视连接方式而定，旧会话要么中断，要么白白挂着直到超时。
• 重新连接需要时间。 路由器必须发现隧道已死，拆掉它，再经线路 B 建一条新的，可能需要几秒到一分多钟。
• 负载均衡会把一场对话拆开。 如果路由器把隧道的部分数据包走线路 A、部分走线路 B，服务器会看到同一会话在不同地址间跳来跳去。多数设计会让每个连接固定在一条线路上，但隧道本身必须固定在其中一条上。
• 你的公网地址会变。 关注地址变化的网站和服务可能会注意到。两家运营商的两个地址，不等于一个稳定的地址。如果这些术语不熟，可读什么是公网 IP 地址。

简言之，VPN 需要稳定的底层，而双 WAN 故意改变底层。两者可以结合，但你得选一种方式。

四种组合方式

设计	工作方式	优点	缺点
隧道只跑主线路，故障时直连	VPN 用线路 A；A 故障时路由器无隧道地走 B	简单，网络不断	在 B 上时暴露，除非另加阻断
隧道跑主线路，切换后经 B 重建	VPN 客户端在故障切换后经线路 B 重连	两种情况下都受保护	重建期间有中断
每条线路一条隧道	两个 VPN 客户端，各绑定一条线路	切换快，无需重建	复杂，设置翻倍
在路由器后面的设备上跑 VPN	路由器只做普通双 WAN，笔记本或手机自己运行 App	路由器保持简单	仅覆盖该设备

设计 1 是许多路由器的默认状态：隧道固定在一条线路上，路由器其余部分照常故障切换。网络不断，但切换期间你的流量以明文离开。如果保护比在线时间更重要，就需要阻断规则，与什么是 VPN Kill Switch 中的思路一致：只允许流量进入隧道。

设计 2 是常见的折中。它需要固件能把 VPN 客户端绑定到当前活动的 WAN，或在活动线路变化时重启客户端。

设计 3 在能同时运行两个客户端的强力路由器上效果最顺，但需要策略规则把每台设备送到正确的隧道，还得看两套日志。

设计 4 对普通家庭往往最合适。让路由器只做普通故障切换，把 VPN App 装在重要设备上，就不需要任何隧道在换线路时存活。网络变化后，App 会自己重新连接。

开始前的规划清单

1. 写明各线路的角色。 哪条是主线路，哪条是备份？哪家更稳定，哪家更便宜，哪家按流量计费？
2. 确定优先级。 在线时间更重要，还是保护更重要？答案决定选设计 1 还是设计 2。
3. 检查固件。 找找是否有把 VPN 客户端绑定到某个 WAN，或跟随活动 WAN 的选项。找不到的话，就假设客户端在启动时绑定到当时的默认路由。
4. 检查健康检测设置。 故障切换由测试 ping 触发。选可靠的目标，并设置一个失败次数，既避免误报，又不让真实故障持续数分钟。
5. 决定无保护流量怎么处理。 故障切换期间是允许还是阻断。
6. 决定哪些设备留在隧道之外。 按流量计费的备份线路（如移动数据）可能不值得让所有流量走隧道，能的话把视频设备排除在外。
7. 记录地址。 记下两条线路的地址，以及如何识别当前活动的是哪一条。

故障切换耗时与测试方法

你只能信任亲眼见过出故障的东西。挑一个安静的时间。

1. 两条线路都正常时，确认隧道可用，并记下 IP 查询页面显示的地址。
2. 拔掉主线路的网线（不是路由器电源），开始计时。
3. 观察路由器状态页，记下它判定主线路断开的时间，这是故障切换延迟。
4. 观察 VPN 客户端，记下它显示断开以及经备份线路重新连接的时间，这是隧道恢复延迟。
5. 在笔记本上持续 ping 一个稳定的地址，数一数丢了多少个应答。
6. 恢复后重新加载 IP 查询页，地址应再次是隧道地址。
7. 把主线路插回去，记下路由器是否把流量切回，隧道是否第二次重建。

预计会有两段延迟叠加：路由器自己的检测时间，加上隧道恢复时间。如果总和超出你的承受范围，就缩短健康检测间隔，或改用设计 3 或 4。关于延迟和抖动为什么重要，可看 Cloudflare 的延迟说明。如果重连很慢或失败，VPN 断开后如何重新连接列出了常见原因。

移动备份线路

很多双 WAN 的家庭用 4G/5G 路由器或手机作为第二条线路。这是合理的备份，但有几个对 VPN 很重要的特点。

• 共享地址。 移动运营商常让许多用户共用一个公网地址。为此预留的共享地址空间见 RFC 6598。这对由你这一侧发起的出站隧道通常没问题，但意味着从外部连回你家的入站连接通常到不了。
• 地址变化。 移动地址比固定宽带变得更频繁，移动线路上的隧道可能需要更频繁地重建。
• 延迟更高且不稳定。 在移动数据上通过隧道通话或玩游戏，会明显感觉到。
• 流量上限与费用。 隧道会给每个数据包增加一点开销，按流量计费的备份线路若全部使用，流量可能比预想消耗得更快。
• 入站服务失效。 如果你运行着别人要连进来的服务，比如远程查看摄像头，在使用移动线路期间就无法访问。关于入站访问与隧道如何相互影响，见 VPN 端口转发详解。

如果依赖移动备份，请专门测试经它的隧道，而不要等到真的断网时才第一次试。

三个场景

光纤加 4G 备份的家庭办公室。 艾哈迈德在家办公，光纤为主线路，一台小型 4G 路由器作备份。视频会议比完美保护更重要，他选了设计 4：路由器只做普通故障切换，笔记本运行 VPN App。光纤中断时，笔记本察觉网络变化，断开隧道，几秒内经 4G 重连，会议卡一下后恢复。家里其他设备不使用 VPN。

有两条宽带的小店。 小梅开了一家店，有收银机、刷卡终端和员工 Wi-Fi。她想保护员工 Wi-Fi，但不想动刷卡终端，因为支付系统可能对地址变化敏感。她用了支持策略路由的路由器和设计 2：员工网络走隧道，故障切换时重建；刷卡终端固定在主线路、不走隧道。她每月拔一次主线路网线来测试。

两家运营商且大量看视频的合租房。 三个室友各付一条宽带，都接进负载均衡路由器。他们在路由器上加了 VPN，发现下载并没有变快。这是意料之中的：一条隧道只走一条线路。于是他们决定只在需要的笔记本上运行 VPN，让负载均衡器保持普通状态，视频可以用上两条线路。

限制、排查与常见错误

故障切换后隧道一直不恢复。 客户端可能还在尝试用旧线路。重启它，并检查固件是否能把客户端绑定到活动的 WAN，或在线路变化时运行脚本。

故障切换期间网络完全中断。 阻断规则按设计在工作。如果无法接受断网，就改用设计 4，或接受切换期间的暴露。

速度与单条线路相同。 负载均衡对大量连接有用，对单条隧道没用。若需要一条快速的隧道，只能由更快的那条线路承载。

故障切换后显示的地址不对。 路由器可能把备份线路的流量送到了隧道之外。重新检查故障切换状态下的规则。

在两条线路之间频繁来回切换。 健康检测太敏感。提高失败阈值，或选更可靠的测试目标。频繁切换会让隧道反复重建，参见如何提高 VPN 连接稳定性。

常见错误：

• 以为多一条线路，VPN 就会快一倍。
• 从未在隧道运行时测试过故障切换。
• 只用一个不可靠的地址作为唯一的健康检测目标。
• 忘了备份线路可能不允许入站连接。
• 让所有设备都走按流量计费的备份线路。
• 没告诉家人故障切换时短暂中断是正常的。

总结

在双 WAN 路由器上，VPN 隧道绑定于建立它的那条线路，而故障切换或负载均衡会改变这条线路。先决定在线时间和保护谁优先，从四种设计中选一种，并通过主动拔掉主线路来测量真实的恢复时间。把移动备份看作有自己特点的线路。对许多家庭来说，让路由器只做普通故障切换，并把 VPN App 装在重要设备上，是最不容易出问题的组合。

如果你正在规划路由器方案，想用预付通行时长试试，可在价格页面查看，并在 My Pass 页面了解连接方式。