如何在路由器上设置 VPN

在路由器上设置 VPN，意思是由路由器自己建立加密隧道，网络里的手机、笔记本、电视和游戏机都会走这条隧道，不必再各自安装应用。这很适合设备多的家庭，但它也是使用 VPN 最偏技术的方式，不同路由器的界面差别很大。

本指南特意写得比较通用。XPASS 尚未验证路由器上的设置，因此不承诺某个型号或固件一定能配合你的通行证使用。下面的步骤说明路由器 VPN 客户端一般如何工作，帮助你判断是否值得一试，以及在自己路由器的菜单里该找什么。对大多数人来说，最简单的方式仍然是在每台设备上使用应用。

路由器 VPN 适合你吗

路由器 VPN 有实在的好处，也有实在的代价。在改动一个正常运行的网络之前，请先权衡。

适合这样做的理由

• 你希望无法安装 VPN 应用的设备，例如部分智能电视和游戏机，也能使用隧道。
• 你的设备很多，不想逐台登录。
• 你希望设备一连上 Wi-Fi，家里就整体受到覆盖。

继续使用应用的理由

• 你主要用手机或笔记本，而且经常带出门。使用移动数据或咖啡馆网络时，路由器保护不到它们。
• 你的路由器较旧或处理器较弱。加密很吃性能，慢速路由器可能让所有设备都变慢。
• 你不想在工作或上课时间冒家庭网络中断的风险。
• 你的通行证没有列出你的路由器所支持的连接方式。

如果拿不准，可以先按照入门指南在一台设备上使用应用，之后再回来设置路由器。

开始之前要检查什么

花十分钟做准备，能避免大多数常见问题。

1. 确认路由器有 VPN 客户端。 在管理菜单里找名为 VPN、VPN Client、OpenVPN Client、WireGuard 或类似的栏目。很多路由器只有 VPN 服务器功能，用来从外面连回家里的网络，这与这里需要的正好相反。有些路由器还列出“VPN passthrough”，那是另一种功能（见下文）。
2. 了解它支持哪些连接类型。 路由器的 VPN 客户端常见 OpenVPN、WireGuard、L2TP/IPsec 或 PPTP，但因型号和固件版本而异。关于它们的一般区别，可以阅读 OpenVPN 和 WireGuard。
3. 打开 My Pass。 登录后查看你的通行证所显示的连接方式和设置说明。只有路由器支持同一种方式时才能使用，不要假设其他方式也行。
4. 从 My Pass 复制 VPN 用户名和密码。 它们只显示在那里，不会通过邮件发送。如果找不到，请阅读如何找到登录信息。
5. 更新路由器固件。 如果厂商提供稳定版更新就升级，并记下当前的管理地址和密码。
6. 备份当前配置。 大多数路由器在管理菜单中有备份或导出选项，把文件保存到电脑上。
7. 选择没人上网的时间。 修改路由器设置可能让网络中断几分钟。

VPN passthrough 不是 VPN

不少路由器的规格表会写“VPN passthrough”，涉及 IPsec、PPTP 和 L2TP。它只表示路由器不会拦截从后面设备（例如你的笔记本）发起的 VPN，自己并不加密任何内容。如果你只是想继续在家里的笔记本上使用应用，passthrough 通常本来就是开启的，不必改动。

在路由器上添加 VPN 的通用步骤

菜单名称各异，但流程几乎总是一样。

1. 登录路由器管理页面。 在浏览器中输入路由器的本地地址（通常印在机身标签上），用管理员账号登录。
2. 打开 VPN 客户端栏目。 它可能在高级设置、网络、服务或 VPN 之下。
3. 新建一个 VPN 配置。 选择与 My Pass 所示方式一致的类型。
4. 按 My Pass 显示的内容原样填写。 包括服务器地址或配置信息、用户名和密码。请粘贴而不是手输，并检查有没有多余的空格。
5. 如果通行证提供了配置文件，请使用路由器的导入功能，而不是手工抄写数值。
6. 保存并应用。 等待状态变为已连接或运行中。有些路由器需要整整一分钟。
7. 用设备检查。 在连接到该路由器的手机或笔记本上，按如何检查 VPN 是否正常工作进行验证。

保存过程中不要关闭页面或重启。如果路由器提示错误，请原样记下信息，它通常能指出原因。

DNS、kill switch 和选择哪些设备走 VPN

隧道建立之后，还有几项设置决定整个方案的实际效果。

DNS

DNS 负责把网站名称解析为地址。如果开启 VPN 时路由器仍使用网络服务商的 DNS，查询就可能绕过隧道。很多路由器在 VPN 客户端页面有 DNS 设置，或有类似“accept DNS configuration”的选项。请选择由 VPN 提供 DNS 的选项，或设置你信任的 DNS 服务，之后再测试（见下文）。

Kill switch

Kill switch 的作用是：VPN 断开时，禁止流量走普通的网络连接。在路由器上它可能叫“block non-VPN traffic”“internet kill switch”，或者用防火墙规则实现。如果你的路由器有这项功能，建议开启，让设备在 VPN 断开时无法上网，而不是在没有保护的情况下悄悄继续。要注意，这样在你修好 VPN 之前可能完全没有网络。

哪些设备走隧道

部分路由器可以指定哪些设备或网络走 VPN，哪些不走。智能电视和游戏机通常适合放进隧道，而需要正常本地连接的网银或办公电脑则可以排除。这类功能常叫策略路由，或“VPN client list”。如果路由器没有此选项，所有设备都会经过 VPN。

常见固件类型一览

下面的名称只是路由器软件类型的举例，并非推荐，也不代表一定兼容。

类型	常见 VPN 客户端功能	难度
主流路由器厂商的原厂固件	有 VPN 客户端页面，连接类型不多，通常较基础	低
带 VPN 客户端菜单的旅行或小型办公路由器	可导入配置，一键切换	低
OpenWrt	有多种 VPN 客户端软件包，非常灵活，需要阅读文档	高
DD-WRT	内置客户端选项，手动设置更多	中到高
pfSense 与 OPNsense 防火墙	完整的客户端支持和路由规则，面向高级用户	高

如果你使用这些高级系统，多半已经很熟悉了。请始终以该固件自己的文档为准。

设置旅行路由器

小巧的旅行路由器可以把酒店或咖啡馆的网络接入你自己的私人 Wi-Fi，这样手机、笔记本和平板都加入你自己的网络，并共用一条 VPN 隧道。

1. 把旅行路由器的上网口接到酒店的网线口，或者以中继方式连接酒店 Wi-Fi。
2. 打开它的管理页面，按上面的步骤添加 VPN 配置。
3. 确认酒店是否需要网页登录。请先在关闭 VPN 的状态下完成。
4. 开启 VPN，然后让你的设备连接旅行路由器自己的 Wi-Fi。

公共网络有风险，VPN 能帮上忙，但并不能解决一切。其他重要习惯请阅读如何更安全地使用公共 Wi-Fi。

测试与故障排除

设置完成后，在连接到路由器的设备上做下面的检查。

• 对比公网 IP 地址：关闭和开启 VPN 时各看一次，隧道启用后地址应当改变。
• 做一次 DNS 检测：用 DNS leak 测试网站确认查询走了 VPN。
• 测速：在一天中的不同时间多测几次。

如果出现问题，请对照下表。

现象	可能原因	可以尝试
状态一直是未连接	用户名或密码错误，或连接类型不匹配	从 My Pass 重新粘贴信息，并确认连接类型
已连接但不能上网	DNS 问题或路由器时间不对	手动设置 DNS，并确保路由器时钟正确
速度很慢	路由器处理器弱，或 Wi-Fi 干扰	用网线测试；如果 My Pass 列出其他连接类型，可以试一试
有一台设备没有走 VPN	设备列表规则把它排除了	检查 VPN 页面中的设备列表
网络完全中断	已开启 kill switch 而 VPN 已断	修复隧道，或暂时关闭 kill switch

想了解更多，请阅读VPN 连接不上时怎么办。

局限与注意事项

• 不保证可用。 XPASS 没有验证路由器设置。如果你的路由器不支持 My Pass 上的方式，应用才是可靠的选择。
• 通行证规则依然适用。 请遵守 My Pass 上显示的规则或限制，从路由器连接时同样可能适用。
• 全家共用一条隧道。 VPN 一旦断开，路由器后面的所有设备都会受影响。
• 移动设备会离开家。 路由器只保护经过它的流量。
• VPN 不是万能的。 它不能阻止钓鱼或恶意软件，也不会让你变得匿名。
• 管好路由器本身。 使用强度高的管理员密码，并保持固件更新。
• 需要时可以恢复。 想回到原来的状态，关闭 VPN 客户端，或恢复之前保存的备份。

总结

在路由器上使用 VPN，就是先确认它有 VPN 客户端，查看 My Pass 上的连接方式，复制登录信息，添加配置，设置 DNS 和 kill switch，再用设备测试。XPASS 尚未验证路由器设置，请把本文当作通用指南，并把手机或笔记本上的应用保留为可靠的备选。

如果想了解哪些设备有应用，可以访问设备页面。