路由器 VPN 还是 VPN 应用：哪种方式适合你的家？

大多数人接触 VPN 是通过应用：在手机或笔记本电脑上安装，点一下连接，然后继续用。但同样的技术也可以运行在路由器上，这意味着家里的每台设备都被覆盖，而不必在这些设备上安装任何东西。两种做法都合理，只是解决的问题略有不同。

本文比较路由器上的 VPN 与每台设备上的 VPN 应用，涵盖速度、智能家居设备、Mesh Wi-Fi、分流、双 WAN 配置，以及值得关注的功能，让你选出适合自己家的方式，而不是听起来最厉害的那种。文中没有任何关于某项服务在路由器上支持什么的说法，请始终以你自己的服务商和路由器实际能做的为准。

在家使用 VPN 的两种方式

**每台设备上的 VPN 应用。**应用运行在手机、平板、笔记本或电脑上，建立从该设备到 VPN 服务器的加密隧道。只有这台设备被覆盖，你可以随时开关。无论在家、咖啡馆还是酒店，用法都一样，因为保护随设备同行。Cloudflare 对 VPN 的概述讲了基本思路，我们的文章VPN 是如何工作的对隧道有更详细的介绍。

**路由器上的 VPN。**路由器本身充当 VPN 客户端，建立一条通往 VPN 服务器的隧道，加入你家网络的所有设备都会把上网流量通过这条隧道发出。手机、笔记本、智能电视、游戏机，以及装不了应用的小设备，都由一条连接覆盖。

另一件相关但不同的事，是在你自己的路由器上运行 VPN 服务器，以便出门在外时访问家里的网络。那是远程访问家庭网络，而不是对网络运营商隐藏你的流量，也不是本文要比较的内容。

路由器方案需要什么

路由器层面的 VPN 并不是每台路由器都有的设置。大致上，你需要：

• 固件自带 VPN 客户端的路由器，或者可以运行带有此功能的第三方固件的路由器
• 足以加密全家流量的处理器
• 来自 VPN 服务商、路由器能识别的配置信息
• 在情况变化时愿意维护的人

许多运营商提供的普通路由器根本没有 VPN 客户端。一些零售路由器内置了，一些进阶用户则刷入替代固件。因此实际的问题常常不是“哪个更好”，而是“我的路由器能做什么”。

并排比较

问题	路由器上的 VPN	每台设备上的 VPN 应用
覆盖哪些设备	网络里所有设备，包括智能电视和装不了应用的设备	仅安装了应用的设备
设置难度	较高，一次性但繁琐	每台设备较低，但每台都要重复
开关	影响网络里的每个人	可以按设备、按时刻控制
离家后的保护	没有	有，应用随你同行
速度	受路由器处理器限制	受设备和连接限制
对走隧道内容的控制	往往较粗略，部分路由器支持规则	通常有按应用或按网站的分流选项
更新	取决于路由器固件	通过应用商店或应用本身
排错	较难，可见提示较少	较易，应用会显示状态
最适合	设备多、有电视和各种小设备的家庭	手机、笔记本、出行、灵活使用

表格没有说出的一点是：这两种方式并不对立。许多家庭用路由器 VPN 覆盖家里固定的设备，同时在要带出门的手机和笔记本上使用应用。

速度：什么会变，为什么

速度是人们最先问的问题，诚实的回答是：视情况而定。

在路由器上，全家所有的加密和解密都由路由器的处理器完成。许多家用路由器是为转发流量而造的，而不是为加密，所以它可能成为瓶颈，尤其是使用较重的协议，或者硬件较旧时。手机或笔记本的处理器通常强大得多，有些设备还有专门的硬件来加速加密。

其他因素同样重要：

• **协议。**像 WireGuard 这样较轻量的协议设计得很高效，对较弱的硬件有帮助。我们对 WireGuard 与 OpenVPN 的比较解释了差别，WireGuard 项目则介绍了它的设计目标。
• **到服务器的距离与延迟。**服务器越远，延迟越高。基本概念见什么是延迟。
• **服务器负载。**拥挤的服务器会让所有连上它的人变慢。
• **你的宽带套餐。**VPN 不可能比你本身的连接更快。
• **Wi-Fi 质量。**旧的 Wi-Fi 标准和离路由器的距离，可能才是真正的限制。

想深入了解，请阅读为什么使用 VPN 时网速会变化。合理的做法是：测一下路由器上开启与关闭 VPN 时的速度，再与笔记本上的应用对比。如果路由器是瓶颈，每台设备上的应用可能感觉更快。

智能家居与 IoT 设备

智能插座、灯泡、摄像头、音箱、恒温器和电视被称为 IoT 设备，即物联网设备。其中大多数无法安装 VPN 应用。这是人们考虑路由器级 VPN 最有力的理由之一。

**路由器 VPN 能为它们做什么。**设备的流量通过 VPN 隧道离开你的家，它们所联系的云服务看到的是 VPN 服务器的地址，而不是你家的地址。你的网络运营商只能看到加密的隧道，看不到设备联系了哪些服务。

它做不到什么。

• 它解决不了弱密码、默认登录信息或旧固件，这些仍然是智能设备的主要风险。
• 它不会阻止设备向制造商发送数据，只是改变了路径和可见的地址。
• 它可能破坏本地功能。投屏到电视、控制网关，或者需要在同一私有网络里互相发现的设备，在流量被送上意外路径时可能出现异常。家庭网络使用 RFC 1918 定义的私有地址，彼此之间的流量通常留在本地，但规划不当的 VPN 配置可能造成干扰。
• 有些服务在看到 VPN 地址时表现不同，例如要求额外验证或限制功能。

**更重要的好习惯。**修改默认密码，保持固件更新，关闭不用的功能；如果路由器支持，把智能设备放在单独的访客网络或 VLAN 上。VPN 是这些步骤的补充，而不是替代。

Mesh Wi-Fi 与 VPN

Mesh Wi-Fi 系统用多个单元把信号铺满整个房子。问题在于 VPN 应该放在哪里。

• **VPN 应该放在网关上。**接着光猫的那台设备负责把流量送往互联网。如果它支持 VPN 客户端，其他节点只是转发流量，Mesh 上的所有设备都被覆盖。
• **许多 Mesh 系统没有 VPN 客户端。**一些消费级 Mesh 产品注重覆盖和简单，省去了高级功能。这时你有两个选择：在设备上使用应用，或者在光猫和 Mesh 之间放一台支持 VPN 的路由器，让 Mesh 工作在接入点或桥接模式。
• **双重 NAT 可能带来麻烦。**如果第二台路由器放在第一台后面，设备可能处在两层地址转换之后。浏览网页通常没问题，但可能影响游戏、通话和某些智能家居功能。
• **漫游应当仍然正常。**设备在节点之间移动时仍在同一网络里，所以路由器层面的隧道不会因为设备更换节点而中断。

在为了在 Mesh 网络上用 VPN 而购买新硬件之前，先看看重要设备上的应用是否已经能完成这项工作。

路由器上的分流与双 WAN

分流

分流（Split Tunneling）让一部分流量走 VPN，其余的直接上网。在应用里，这通常是一份简单的应用或网站列表；在路由器上，通常意味着基于设备或其地址的规则。例如，你可以让笔记本走隧道，而智能电视和网银设备留在隧道之外。这一概念见什么是分流。路由器规则很强大，但不容易配好，一个失误就可能让某台设备在你不知情的情况下失去保护。

双 WAN

双 WAN 指路由器接入两条互联网线路，例如光纤加手机网络备份。它用于故障切换，一条线路出问题时网络照常工作，或者用来分担流量。它会让 VPN 配置更复杂：

• 路由器切换线路时，隧道必须重新连接。
• 需要用规则决定隧道使用哪条连接。
• 应当留在 VPN 之外的流量，需要单独的规则。

如果你依赖故障切换来工作，请测试在 VPN 开启时拔掉主线路会发生什么。好的配置恢复得快，并且在此期间不会让流量明文发出。后一点是断网保护的职责，见什么是 VPN 断网保护。

选路由器 VPN 时该看的功能

如果你认为路由器方案适合自己，以下几点值得关注。它们适用于任何路由器，所以请把它当作清单，而不是推荐。

1. 内置 VPN 客户端，支持你的服务商所提供的协议，或者固件可以添加。购买前先确认你的服务提供哪些连接方式。
2. **足够的处理能力。**选择较新的多核处理器，如果有标注，再看是否支持硬件加密。测试 VPN 吞吐量的评测，比宣传的 Wi-Fi 速率更有参考价值。
3. 策略路由或分流，以便选择哪些设备使用隧道。
4. 断网保护或同等的防火墙规则，隧道断开时阻断流量。
5. DNS 控制，让 DNS 请求通过隧道，而不是泄漏到隧道之外。
6. 支持访客网络或 VLAN，用于智能设备。
7. 定期的固件更新，来自支持期限明确的厂商。
8. 清晰的日志和状态页面，便于查看隧道是否在线。
9. 双 WAN 或故障切换，只有真正需要时才考虑。
10. 与 Mesh 的兼容性，如果你打算增加节点。

哪种方式适合你

**有智能电视、游戏机和许多小设备的家庭。**如果路由器支持，路由器层面的 VPN 可以覆盖装不了应用的设备。设置后要检查速度，并继续在手机上使用应用。

**带着笔记本和手机的学生或旅行者。**应用更合适，因为保护随人从宿舍到咖啡馆再到机场。何况旅馆或酒店的路由器本来就不由他们配置。

**有家庭办公室的远程工作者。**工作笔记本上的应用，必要时搭配分流，可以控制哪些流量走 VPN。而路由器 VPN 也会让家人的其他设备走隧道，这可能并不合适。

**懂技术并且有闲置的、支持 VPN 的路由器的家庭。**固定设备用路由器 VPN，移动设备用应用，覆盖面广，代价是维护更多。

常见错误与局限

• **没确认兼容性就买路由器。**花钱之前，先确认你的 VPN 服务和路由器能一起工作。
• **以为路由器在你离家后也保护你。**它只保护在它后面的设备。
• **忘了测试。**设置完成后，检查可见地址，再测试 DNS 泄漏。方法见如何检查 VPN 是否在工作。
• **不加思考地让所有流量走隧道。**本地银行、工作系统和一些服务放在隧道之外时表现更好。
• **指望 VPN 让智能设备变安全。**密码和更新更重要。
• **让路由器成为薄弱环节。**一台没打补丁的旧路由器本身就是风险。

路由器 VPN 还会让每台设备遵守同一套规则。如果某位家人需要关掉 VPN，除非路由器支持按设备设置规则，否则这个决定会影响所有人。

总结

路由器上的 VPN 一次覆盖家庭网络里的所有设备，包括装不了应用的设备，但它取决于路由器的性能和软件，而且你离家后它就不再保护你。VPN 应用灵活，容易开关，随你去任何地方，但需要在每台设备上安装和管理。许多家庭最终两者并用。先弄清自己的路由器和服务商支持什么，测量速度，测试是否泄漏，并把智能家居的基本卫生习惯放在前面。如果你想尝试应用方式，XPASS 通行证可配合免费的 VPNclient 应用在 iOS、Android、Windows 和 macOS 上使用，所支持的连接方式可以在 My Pass 页面看到。想了解覆盖的平台，请看设备页面，或者查看可选的价格与通行证。