路由器 VPN 断开时如何防止泄露

在手机上连接 VPN，隧道一旦断开，App 通常会告诉你：图标变了、弹出通知，或者询问下一步怎么办。路由器没有这些。它躺在柜子里，替家里每一部手机、电视和笔记本转发数据包。如果凌晨两点 VPN 隧道断了，没有人会收到消息。关键在于路由器接下来怎么做：是停止转发，还是悄悄把所有流量从普通宽带线路送出去？

后一种行为就是本文要讲的泄露。路由器的 Kill Switch 指的是一组让前一种行为发生的规则。下文会介绍路由器遇到隧道断开时的实际反应、怎样让它 fail closed、DNS 和 IPv6 要注意什么、一个可重复的测试方法，以及全家依赖同一条隧道时要接受的代价。App 端的基本概念可参考什么是 VPN Kill Switch，本文只讲路由器。

为什么路由器上的隧道断开影响更大

手机上的 VPN 断开只影响一个人，而且这个人常常能察觉。路由器上一次断开会同时影响所有设备，却没人盯着。隧道断开的原因都很平常：

• 宽带运营商短暂重置线路，或给路由器换了新的公网地址；
• 正在使用的 VPN 服务器重启或无法访问；
• 断电后路由器重启，在 VPN 客户端连好之前就开始转发流量；
• 固件升级重置了某项设置；
• VPN 会话到期，或保活包丢失。

无论哪种情况，路由器后面的设备都不知道。它们仍有可用的内网地址和网关（也就是路由器本身），继续把包发给路由器。如果路由器没有“这些流量绝不能走普通线路”的规则，它就会走普通线路，带着你真实的公网地址。

不会有任何明显故障，网页照常打开。这正是危险所在：你失去了保护，却没有失去连接，所以没有症状提醒你，泄露可能持续数小时。

路由器在隧道断开时的几种行为

路由器大致分为三种行为，你的固件可能提供不止一种。

Fail open（很多路由器的默认行为）

VPN 接口断开后，指向隧道的路由消失，只剩通往宽带运营商的默认路由。流量继续流动，但没有保护。只启用 VPN 客户端而不做其他设置，就是这种结果。

用防火墙规则实现 fail closed

你添加一条规则：家庭网络的流量只能转发到 VPN 接口，不能直接转发到面向互联网的接口。隧道正常时，流量走隧道；隧道断开时，没有被允许的出口，数据包被丢弃，设备断网，直到隧道恢复。

用固件内置选项实现 fail closed

有些固件有名为“VPN 断开时阻断流量”或“kill switch”的开关，会替你生成上面的规则。这最省事，但仍需测试，因为覆盖范围（哪些设备、哪些地址族）会因固件版本而异。

行为	隧道正常	隧道断开	难度	主要风险
Fail open	有保护	无保护，但仍在线	无需操作	悄悄暴露
Fail closed（防火墙规则）	有保护	离线，不暴露	中等	规则写错留下缺口
Fail closed（内置选项）	有保护	离线，不暴露	低	选项可能不覆盖 IPv6 或路由器自身 DNS

用通俗的方式建立 fail closed 规则

各品牌的界面和菜单不同，本节只讲逻辑，不写具体点击步骤。菜单名称请以路由器自带文档为准。如果还没有在路由器上设置 VPN 客户端，请先按路由器设置指南完成，并确认隧道可用，再添加任何阻断规则。

1. 确认接口名称。 找出哪个是局域网（LAN）、哪个是面向互联网的接口（通常叫 WAN）、哪个是 VPN 隧道，把三个名字记下来。
2. 允许 LAN 到 VPN。 确认有一条转发规则允许 LAN 的流量进入隧道接口。
3. 删除或阻断 LAN 到 WAN。 删除任何允许 LAN 流量直接转发到 WAN 的规则。如果固件默认放行，就在“允许 LAN 到 VPN”规则之后，明确添加“阻断 LAN 到 WAN”。
4. 保留路由器自身的连接。 路由器本身仍要通过 WAN 连接 VPN 服务器，所以不要阻断路由器自己发出的流量。你阻断的是转发，不是路由器自己的连接。
5. 注意顺序。 防火墙规则通常自上而下匹配，位于阻断规则上方的允许规则会让阻断失效。
6. 保存并重启一次。 设置页面里看似正确的规则，有时重启后才真正生效，重启也同时测试了下面说的开机情况。

如果只想覆盖部分设备，就把规则只应用到它们的地址上。这涉及策略路由，本站另有文章单独讲解，这里默认覆盖整个网络。

开机空窗期与重启情况

还有一种隐蔽的泄露发生在开机时。断电后，路由器很快就把 LAN 和 WAN 启动起来，而 VPN 客户端要再花几十秒才能连上。这段时间里，fail open 的路由器会正常转发流量。只有当防火墙规则在 LAN 开始转发之前就已加载，fail closed 才能堵住这个空窗。

可以这样判断：

• 重启后，立刻连上的设备先短暂没有网络，随后才上线，这是好迹象。
• 如果重启后设备马上能上网，而 VPN 页面仍显示“正在连接”，说明规则没有覆盖开机阶段。

有些固件让 VPN 客户端比防火墙启动得晚，这没有问题，前提是决定是否允许转发的是防火墙规则，而不是 VPN 客户端。

DNS 与 IPv6：最常见的两个漏洞

多数人设置 Kill Switch 后只测试“网页能不能打开”。其实即使 IPv4 网页流量已被阻断，还有两条路径可能泄露。

DNS 请求

设备每打开一个网站，都要向 DNS 服务器询问地址。如果路由器把运营商的 DNS 发给设备，或自己通过普通线路转发请求，那么即使网页流量受到保护，你访问的网站名称也会在隧道之外流出。完整说明见什么是 DNS 泄露。在路由器上，解决办法是确保分配给设备的 DNS 服务器只能经隧道访问，并且隧道断开时路由器自己的解析器不使用 WAN 侧的 DNS。

IPv6

不少家庭宽带除了 IPv4，还会给路由器分配 IPv6 前缀。如果你的规则只覆盖 IPv4，使用 IPv6 的设备可能仍带着公网 IPv6 地址走普通线路，而 IPv4 已被正确阻断或走了隧道。RFC 8200 说明了每台设备都可以拥有全球可达的地址，这也是这个缺口重要的原因。你可以把同样的 fail closed 规则应用到 IPv6，或在使用 VPN 期间关闭 LAN 上的 IPv6。请有意识地选择其一，不要抱着侥幸。

一个可重复的测试

从没触发过的 Kill Switch 不值得信任。请在没有人开会或下载文件时测试。

1. 隧道正常时，用家里的笔记本打开一个 IP 查询页面，记下地址。它不应是运营商平时给你的地址。如果分不清，可参考什么是公网 IP 地址。
2. 打开 DNS 或 IPv6 泄露测试页，记下结果。
3. 在路由器上关闭 VPN 客户端（或断开隧道）。不要拔 WAN 网线，因为我们只想让隧道断开。
4. 回到笔记本，重新加载 IP 查询页。fail closed 的路由器会显示错误或超时，fail open 的会显示你的真实地址。
5. 再试着用域名和（如果知道的话）IPv6 地址访问网站，两者都不应成功。
6. 重新启用 VPN 客户端。稍等片刻，流量应恢复，地址应重新变成隧道地址。
7. 路由器完整重启后，再把第 3 到 6 步做一遍。

任何设备通用的基础检查，可看指南如何检查 VPN 是否正常工作，里面列出了工具和结果含义。

三个场景

共用宽带的一家人。 普丽娅家有两个孩子、一台智能电视和四部手机，她想让全家都受到保护。她启用路由器上的 VPN 客户端后，发现断电重启时电视立刻能加载内容，而路由器状态显示 VPN 仍在启动，这说明存在开机空窗。她添加了“阻断 LAN 到 WAN”规则并重启，现在设备要等约半分钟才有网络。孩子们抱怨了一次，她解释说这短短的等待就是保护在起作用。

租房里的远程工作者。 马库斯在家办公，用路由器 VPN 保护整个住所。公司 App 在隧道断开时会报错。有了 Kill Switch，笔记本只会超时，这正是工作流量想要的结果。但每次隧道重新协商，他的视频会议都会中断大约九十秒。他决定保留 Kill Switch，并把工作笔记本接到一个遵循同样规则的独立访客网络，这样家人看视频时不会和他抢同一条隧道。

咖啡馆或合租网络。 一位咖啡馆老板用路由器 VPN 覆盖顾客 Wi-Fi。fail closed 意味着隧道故障时顾客会没网，可能引来抱怨。她判断对公共网络来说，断网比暴露更好，于是在 Wi-Fi 登录页贴了简短说明，并为收银机准备了手机热点作备用。

fail closed 的代价

Kill Switch 是用可用性换保护，需要清楚自己接受了什么。

• 断网感觉更严重。 隧道一故障，整个家都会断网，不只是一台设备。原因可能是 VPN 服务器重启或运营商网络抖动，而你在沙发上无法修复。
• 不适应 VPN 的设备会吃苦。 某些银行 App、游戏主机和智能家居设备在 VPN 下表现不佳。如果它们位于 fail closed 规则之后，就没有别的路径。请先读路由器 VPN 与 VPN App 的区别，决定哪些设备值得放在路由器上。
• 排查更复杂。 有人说“网断了”，你现在多了一个要先检查的地方：隧道。
• 智能家居设备可能与云端断开。 恒温器或摄像头需要访问厂商服务器，隧道断开时会离线，可能还需要手动重连。

折中办法是保留第二个 SSID 或 LAN，不受该规则约束。无法接受断网的设备放在那里，其余设备仍受保护。

排查 Kill Switch 异常

断开后网络一直不恢复。 规则起作用了，但隧道没有重连。查看路由器日志中的认证或时间错误，确认路由器时钟正确、账号仍有效。如果通行时长已到期，隧道永远不会重连，参见通行时长如何到期。

隧道显示断开但仍能上网。 规则没有生效、位置在允许规则之下，或没有覆盖该类设备。请重新检查规则顺序和“默认放行”设置。

访客网络或第二台路由器绕过了规则。 规则按接口生效。独立的访客区域，或自带路由模式的接入点，可能在不经过你的阻断规则的情况下转发流量。

每次重启后永远离线。 防火墙规则已加载，但 VPN 客户端没有设置为开机自启。请为客户端启用开机启动。

测试只在 IPv6 上显示泄露。 把规则应用到 IPv6，或在使用隧道期间关闭 LAN 上的 IPv6。

频繁掉线。 频繁掉线是稳定性问题，不是 Kill Switch 的问题。先阅读如何提高 VPN 连接稳定性，因为 fail closed 之后，每次掉线都会变成一次断网。

常见错误

• 启用了 VPN 客户端，就以为已有 Kill Switch。
• 只打开一个网站就算测试完毕。
• 阻断了路由器自己通往 VPN 服务器的流量，导致隧道永远无法重连。
• 把阻断规则写在允许规则上面。
• 忘了 IPv6 和路由器自身的 DNS。
• 固件升级后不再复测。
• 把所有设备都放在规则之后，包括根本无法在 VPN 上运行的设备。

总结

路由器没有屏幕可以在隧道断开时提醒你，默认行为往往是继续走普通线路。路由器上的 Kill Switch，就是强制路由器只向隧道转发，让掉线变成一次断网而不是一次暴露。按正确顺序建立规则，覆盖 DNS 和 IPv6，通过主动断开隧道来测试，并在更新后重测。要接受 fail closed 会让断网更显眼，并为无法容忍断网的设备保留独立网络。

如果你正在挑选用于路由器或其他设备的通行时长，可以随时看看价格页面，并在 My Pass 页面查看可用的连接方式。