路由器启用 VPN 后，端口转发会有什么变化

端口转发是家庭网络里默默工作的一项设置。多年前你打开了一个端口，让监控摄像头、媒体服务器或游戏主机能从外面访问，此后一直正常。然后你在路由器上设置了 VPN，摄像头 App 就连不上了。一切看起来都没坏：VPN 显示已连接，网页能打开，可是旧规则什么也不做了。

本文解释为什么路由器 VPN 下的端口转发表现不同、路由器把流量送入隧道后具体发生了什么变化、如何判断你的网络是否能接受入站连接，以及现实可行的选择。本文谈的不是在 VPN 服务商一侧做端口转发，那个话题见 VPN 端口转发详解。这里讲的是你自己家里的路由器。如果还没在路由器上装 VPN，请先看路由器设置指南。

入站与出站是两条不同的路

路由器上的 VPN 是为出站流量设计的：你的手机或笔记本发起连接，路由器把它送进隧道。隧道是你的路由器发起的一场对话，所以它能承载其中发生的任何事。

端口转发则相反：由外部的人发起连接。对方连到你的公网地址的某个端口，路由器在互联网口收到数据包，再转交给规则里指定的设备。

这里有两点很重要：

• 入站数据包从你正常的线路到达。 你的公网地址是宽带运营商分配给这条线路的。除非 VPN 服务专门把它转发过来（多数不会），否则它不会走进 VPN 隧道。
• 回复必须沿原路返回。 对端期望收到的是来自它所联系的那个地址的应答。

本文其余内容都来自这两个事实。关于地址的回顾，什么是公网 IP 地址解释了家庭地址与 VPN 地址的区别。

转发为何失效：回复走错了路

以一台把所有流量都送入 VPN 的路由器为例，经过如下：

1. 朋友的手机连到你家的公网地址的 8080 端口，比如查看摄像头。
2. 数据包到达路由器的互联网口，端口转发规则把它交给摄像头，摄像头使用的是 RFC 1918 所述的私有地址。
3. 摄像头回复。回复到达路由器，路由器此刻应用它平常的路由规则：一切进入隧道。
4. 回复经 VPN 服务器发出，看上去来自 VPN 服务器的地址，而不是你家的地址。
5. 朋友的手机等的是来自你家地址的应答，却看到一个陌生来源，于是丢弃了该数据包。

你这一侧不会出现任何错误提示，连接就是失败了。这叫非对称路由（asymmetric routing）：请求从一条路进来，回复从另一条路出去。对端的许多防火墙会直接丢弃这类回复，出于安全考虑，这正是它们应该做的。

有时路由器自己的状态跟踪能救场：记住入站连接，并从同一接口回复。这取决于固件和 VPN 客户端的实现方式，所以不要预先假定，需要实际测试。

三种可能的结果

情形	转发的结果	原因
路由器把所有流量送入隧道，没有特殊规则	通常失败	回复经隧道发出，源地址错误
路由器跟踪连接，并从入站接口回复	可能可用	回复仍走你正常的线路
被转发的设备通过策略路由排除在隧道之外	可用	其流量在两个方向都走普通线路

第一行是多数路由器的默认状态，解释了大部分抱怨。第二行取决于固件。第三行是可靠的办法：告诉路由器这台设备永远不走隧道。代价是该设备不受 VPN 保护，使用你平时的公网地址，其访问目的地对宽带运营商可见。关于策略路由与分流的文章讲了一般思路。

第一个问题：你真的需要入站访问吗？

在和路由器较劲之前，先问问自己到底想做什么。很多人转发端口只是出于习惯。

• 在外面查看家里的摄像头或 NAS。 为此设计的远程访问工具，或你自己设备之间的私有 mesh 网络，通常可以取代转发，而且不需要开放端口。这类工具的工作方式见 mesh VPN 工具。
• 主持游戏对局。 许多现代游戏和主机使用中继或匹配服务器，并不需要转发。开放任何端口前先查看游戏自己的文档。主机相关提示见在游戏主机上使用 VPN。
• 运行小型网站或媒体服务器。 如果确实要在家里做这件事，就要接受维护和安全上的负担。
• 远程桌面。 避免直接暴露在互联网上。通过私有隧道进入你的网络更安全。

如果别的工具能解决问题，你就可以让整台路由器保持 VPN 开启，并去掉这条转发。

你的网络能接受入站流量吗？

VPN 不是转发失败的唯一原因。很多家庭宽带和移动网络位于运营商级 NAT（carrier-grade NAT）之后，多个用户共用一个公网地址。这种情况下，你的路由器没有可从外部访问的公网地址，任何路由器设置都无法解决。

快速检查：

1. 登录路由器，找到互联网（WAN）口显示的地址。
2. 在家里的设备上打开 IP 查询页面，记下它报告的地址。
3. 如果两者相同，说明路由器有公网地址，转发是可行的。
4. 如果不同，或者路由器的地址属于 RFC 6598 所述的共享地址段，或属于私有地址段，说明运营商与其他用户共用地址，来自互联网的转发到不了你这里。

部分运营商可应请求提供公网地址，有时要收费。这需要和运营商沟通，不是路由器设置能解决的。

做这项检查时请先关闭路由器上的 VPN，否则 IP 查询页面报告的是隧道地址。

让转发继续工作：逐步操作

如果你确定需要入站访问，而且网络条件允许，通常的做法如下。菜单名称因固件而异，具体步骤请参照固件文档。

1. 给设备固定地址。 创建 DHCP 预留，让目标设备始终保持同一个私有地址。指向会变化的地址的转发会失效。
2. 确认关闭 VPN 时转发可用。 从你的网络之外测试，例如用移动数据的手机。如果此时就失败，原因不在 VPN。
3. 重新开启路由器 VPN。 再测一次。如果现在失败，原因就是回复路径。
4. 把被转发的设备排除出隧道。 用策略路由添加一条规则，让该设备地址发出的所有流量走普通宽带线路，并把它放在“所有流量入隧道”的规则之上。
5. 从外部重新测试。 转发现在应该可用。
6. 检查其余网络是否仍在使用隧道。 在另一台设备上打开 IP 查询页面，确认看到的是隧道地址。
7. 审视被排除设备在做什么。 它现在没有 VPN 保护地运行。确保它只做你交给它的那件事。

如果固件不提供策略路由，可以考虑把 VPN 从路由器挪到真正需要的设备上，参见路由器 VPN 与 VPN App 的区别。

安全：不要多开不必要的端口

转发的端口就像一扇你敞开给整个互联网来试的门。自动扫描器发现开放端口很快，往往几小时之内。

• 只转发你需要的那个端口，且只转发给一台设备，不要转发一个范围。
• 保持那台设备的软件更新。 摄像头、媒体服务器上的旧固件是常见的入侵途径。
• 使用强且唯一的密码，并在可用时启用双重验证。
• 不要把远程桌面或管理页面直接转发到互联网。
• 不用 UPnP 就关掉它，避免设备在你不知情时自己打开端口。
• 删除不再使用的转发规则。

EFF 的 Surveillance Self-Defense 指南是减少暴露面的一个良好起点。VPN 无法取代这些措施，也无法保护暴露在外的服务不被攻击。

三个场景

沉默的摄像头。 理娜家里有一个她在上班时查看的摄像头。路由器 VPN 开启后，摄像头 App 提示“无法连接”。她关掉 VPN 测试，摄像头正常，说明 VPN 是原因。她用策略规则把摄像头的预留地址排除出隧道，再用移动数据的手机从外部测试，实时画面恢复了，家里其余设备仍走隧道。后来她认为摄像头更适合用私有远程访问工具，于是删除了转发。

游戏主机。 科菲用主机和一台小电脑为朋友们主持游戏服务器。他发现一旦在路由器隧道后面，没人能加入。他想知道 VPN 服务能否替他转发端口。这取决于服务本身，本文无法承诺。他最终让电脑留在隧道之外，家人的设备留在隧道之内。

共享地址的意外。 达拉搬进一间由楼宇统一提供光纤的公寓。她想为媒体服务器转发端口，却始终不成功，即使关闭了 VPN 也一样。她的路由器 WAN 地址位于共享地址段。她向运营商询问能否提供公网地址，在此之前改用私有远程访问工具，而不是转发。

排查与常见错误

即使关了 VPN，转发也失败。 检查目标的固定地址、设备自身的防火墙、端口号与协议，以及你的网络是否有公网地址。

转发时灵时不灵。 目标地址可能在变，或者你的公网地址在变。路由器重启时，家庭公网地址可能改变。

转发可用，但设备在测试里显示的地址不对。 这是预期结果，因为它在隧道之外。如果这是问题，就重新考虑设计。

添加规则后，其余网络失去了隧道。 例外规则写得太宽，比如覆盖了整个地址段。把它收窄到单个地址。

被排除的设备仍失败。 规则可能位于通配规则之下，把它上移。

常见错误：

• 以为 VPN 会让端口转发无法进行，或者以为它毫无影响。
• 把端口转发给没有预留地址的设备。
• 明明用远程访问工具就够了，却去开端口。
• 留着旧的转发规则不删。
• 只在家庭网络内部测试，这往往能成功，即使外部访问并不能。
• 没查服务自己的文档，就以为 VPN 服务会转发入站连接。

总结

家里的端口转发在你正常的宽带线路上处理入站连接，而路由器 VPN 把出站流量及回复送进隧道。这种不一致让回复从错误的地址发出，转发因此悄悄失败。可靠的修复办法是通过策略路由让被转发的设备留在隧道之外，前提是先确认你的网络有可从外部访问的公网地址，并且确实需要入站访问。转发要尽量窄、保持更新，也可以考虑改用私有远程访问工具。

如果你正在为家里其余设备设置路由器 VPN，价格页面列出了可购买的通行时长，My Pass 页面会显示可用的连接方式。