路由器 VPN 为什么会变慢

常见的抱怨是这样的：家里的宽带速度很好，电脑上的 VPN 也没问题，可一旦把 VPN 挪到路由器上，全家的设备都变得慢吞吞。原来一秒能打开的网页要五秒，视频缓冲，测速结果只有所购套餐的一小部分。于是人们开始怪 VPN 服务、运营商，甚至怪天气。

多数情况下，原因并不神秘，也不是单一的。路由器是一台小型低功耗电脑，却被派去干重活，而 VPN 隧道要求它对每个数据包都做额外工作。本文逐一说明路由器上 VPN 变慢的具体原因，教你测出是哪一个在起作用，并按投入从小到大列出解决办法。关于任何 VPN 都会改变速度的一般原因，请阅读为什么使用 VPN 后网速会变化；本文只讲当路由器亲自运行隧道时有什么不同。

路由器运行 VPN 时要做哪些事

没有 VPN 时，家用路由器大多只是转发数据包。许多路由器带有专用硬件（有时叫硬件交换或数据包加速器），能把数据包从一个端口搬到另一个端口，而不打扰主处理器。这就是便宜的路由器也能跑满千兆线路的原因。

有了 VPN 隧道，每个走隧道的数据包都要多做三件事：

1. 加密（出站时）或解密（入站时）。
2. 用新的数据包加上额外头部信息进行封装。
3. 交给主处理器（CPU），因为加速硬件通常做不了前两步。

第三点最关键。路由器常常让隧道流量绕开快速通道，由主 CPU 处理。如果这颗 CPU 是个小芯片，同时还要管理 Wi-Fi、DHCP、DNS 和网页界面，加密工作就要和其他任务争抢资源。

电脑上也是同样的流程，但电脑 CPU 强大许多倍，往往还带有专门的加密指令。路由器要干同样的活，发动机却小得多。

原因一：路由器 CPU 就是上限

最常见的原因很简单：处理器的加密速度不可能超过某个值。如果无论选哪个位置，隧道速度都差不多，并且传输时 CPU 占用很高，那你就找到了原因。

可观察到的迹象：

• 每次测试速度都被限制在相近的数值，比如 40 或 80 Mbps，而套餐明显更快。
• 下载时路由器状态页面显示某个核心接近 100%。
• 测试期间路由器在别的方面也变迟钝：管理页面打开慢，Wi-Fi 延迟升高。

决定上限的因素：

• 处理器档次：入门级芯片上限低，中端多核芯片好得多。
• 是否支持硬件加密：带有 AES 指令的 CPU 比没有的快很多。可查看路由器规格。
• 单核使用：许多隧道实现一条隧道只用一个核心。四核路由器也可能受限于单个核心。
• 隧道技术：较新的设计力求减轻 CPU 负担。取舍概览见WireGuard 与 OpenVPN 对比，WireGuard 白皮书介绍了其设计目标。你能用哪一种，取决于你的 VPN 服务在路由器上支持什么。

原因二：硬件加速被关闭或被绕开

有些路由器提供通常称为 flow offloading、硬件 NAT 或 fast path 的功能，可以极大加速普通流量。但在某些固件版本中，启用 VPN、QoS 规则或某些防火墙功能会让这项加速在整台路由器上失效，包括不走 VPN 的流量。

所以你可能同时看到两种效果：隧道流量因为 CPU 上限而慢，普通流量也因为加速被整体关闭而比以前慢。

检查方法：

1. 关闭 VPN、不改动路由器其他设置，测一次速。
2. 与你安装任何 VPN 配置之前的速度比较。
3. 如果普通连接也变慢了，就在路由器设置里找 acceleration 或 offload 之类的选项，看看什么操作会把它关闭。

路由器软件差别很大，请查看厂商为你这个型号提供的文档，而不是直接照搬陌生人的教程。

原因三：数据包大小（MTU）问题

隧道会让每个数据包变大。如果包大小的设置没有考虑这一点，大包就必须拆成两个，这很浪费时间；或者被丢弃后重传。典型症状是小网页正常，而大文件下载很慢甚至卡住。

路径 MTU 发现本来是自动找到合适大小的机制，但它依赖某些错误消息能够通过。当防火墙过滤了这些消息，系统就会猜错。

可以这样试，每次只改一项：

1. 下载一个大文件并记下速度。
2. 把隧道 MTU 降低 40 到 80 字节，或者在路由器支持时启用 MSS clamping。
3. 再下载一次。如果速度明显上升，就找到原因了。
4. 保留能稳定工作的最大值。

原因四：距离，以及到 VPN 节点的线路

路由器无法把远处的服务器变近。每多一千公里就多一分延迟，而且某些线路在特定时段，从你的运营商到 VPN 节点之间会拥堵。这种延迟就是latency指标所测量的内容。

在路由器上这点很容易被忽略，因为位置设一次就忘了。试试 VPN 服务提供的列表中的其他位置，在一天中的两个不同时段测试并比较。如果更近的位置快很多，说明问题出在原来的选择，而不是路由器。如果想深入了解，文章VPN 会降低 ping 吗把延迟、抖动和丢包分开讲得很清楚。

原因五：Wi-Fi、双重 NAT 等家庭网络因素

有时 VPN 背了本来就存在的问题的锅。

• Wi-Fi：墙壁、距离和邻居的网络让无线变慢的程度超过任何隧道。位于房间另一端的电脑，收到的可能只是路由器所收的一小部分。请先用网线测试。
• 双重 NAT：如果 VPN 路由器接在另一台路由器（例如运营商的光猫）后面，两层地址转换会增加延迟，有时还会让某些功能失效。
• 同时使用的人多：VPN 装在路由器上时，一颗小芯片要同时处理全家的视频、下载和通话。一个人的大下载会拖慢所有人。
• 旧网线和端口：协商到较低速率的网线，或卡在 100 Mbps 的端口，会限制它后面的一切。
• 后台流量：备份、游戏更新和云相册上传可能在无人察觉时占满隧道。

能找出原因的测量方法

靠猜要浪费好几天。请用固定的步骤，并把数字记下来。

1. 基线：用网线把电脑接到路由器，关闭 VPN 测速，记下下载、上传和 ping。
2. 同一根网线开启 VPN：打开隧道重复测试，记下差别。
3. 观察 CPU：在第二次测试期间查看路由器的 CPU 负载。占用高说明处理器是上限。
4. 换位置：切换到另一个 VPN 位置再测。
5. 换时段：晚上和早上各测一次。
6. Wi-Fi 测试：现在在你平时坐的房间用 Wi-Fi 测。
7. 单设备对比路由器：在电脑上装 VPN 应用，关掉路由器隧道再测，看电脑自己能做到多少。

举例：300 Mbps 的套餐，网线关闭 VPN 时测得 290。开启路由器隧道后只有 60，CPU 占满 100%。改用笔记本上的 VPN 应用并关闭路由器隧道，笔记本得到 220。结论很明确：瓶颈是路由器的处理器，而不是 VPN 服务或线路。

结果模式	可能原因
关闭 VPN 时本来就慢	线路、Wi-Fi、网线或运营商，与 VPN 无关
关闭 VPN 快，开启后卡在较低数值，CPU 很高	路由器处理器
开启 VPN 后只有大文件下载慢	MTU 或 MSS
某个位置慢，另一个位置快	距离或线路拥堵
只在特定时段慢	线路拥堵
电脑上的应用速度正常，路由器上很差	路由器硬件或固件

解决办法，从便宜到昂贵

1. 选一个更近的位置，然后再测。
2. 按上文方法修正 MTU 或 MSS。
3. 减轻负载：测试时暂停大下载和云备份。
4. 更新路由器固件：更新有时会提高加密速度。
5. 只让部分设备走隧道：如果路由器支持，只让需要保护的设备走 VPN，其余保持普通连接。这类似分应用隧道（split tunneling），只是按设备来做。
6. 改为在关键设备上装应用：电脑和手机自己加密，路由器回到只转发数据包的状态。XPASS 客户可以使用免费的 VPNclient 应用，下载页面列出了 iPhone、Android、Windows 和 macOS 的官方版本。
7. 换一台更强的路由器：当 CPU 是上限时，处理器更快、支持加密加速的设备才是真正的解决办法。请查该型号实测的 VPN 吞吐量，而不是只看 Wi-Fi 评级。
8. 使用单独的防火墙设备：有些家庭会在 Wi-Fi 路由器前面放一台基于小主机的防火墙来承担隧道工作。

至于路由器究竟什么时候才合适这个更大的问题，请看路由器 VPN 与 VPN 应用对比；安装过程的逐步说明见路由器设置指南。

值得设定的合理预期

对路由器 VPN 速度的宣传数字要保持警惕。标题上的数字往往是实验室里某一种设置下的结果，用大数据包和性能强的测试机。真实的家庭环境有小数据包、多人使用和参差不齐的 Wi-Fi。合理的预期是：路由器隧道会比普通线路慢，慢多少取决于路由器，答案要靠测量而不是猜测。

还要记住，速度只是一个指标。如果隧道保护的是一台智能电视和一台平板，它们看视频的码率不高，那么路由器经隧道能达到 60 Mbps 就完全够用。如果你要在三台电视上看 4K，还要上传大型工作文件，数字就重要得多。

总结

路由器上的 VPN 变慢，最常见的原因是路由器的小处理器必须加密一切，而且硬件快速通道被绕开。其他原因包括加速功能被关闭、MTU 问题、到 VPN 节点的距离、Wi-Fi 和双重 NAT。用网线、分别在关闭和开启 VPN 时测量，观察 CPU，尝试其他位置，并与单设备上的应用比较。然后按顺序解决：位置、MTU、负载、固件、选择性分流、关键设备上的应用，最后才是更强的硬件。

如果想先试试应用方式，可以查看价格页面了解可以起步的通行证。