如何在路由器上設定 VPN

開始前

當後方的裝置無法自行執行用戶端時，路由器就是建立隧道的合適位置——例如電視、遊戲主機或智慧音箱——或者當目標是讓所有裝置同時使用隧道，而不必安裝任何程式時也是如此。但如果家中有時需要離開隧道，路由器就不是合適的位置：裝置位於路由器後方時，沒有任何裝置能自行離開，而且所有裝置共用同一個出口、同一個國家和同一顆處理器。這顆處理器會限制速度，效能遠低於筆記型電腦。如果只有一或兩台裝置需要使用隧道，請改在那些裝置上安裝用戶端；平台頁面會說明哪些業者支援哪些平台。

本指南不會重新刷寫路由器。將韌體替換成常見的第三方韌體，通常能讓路由器擁有比原廠韌體更好的 VPN 用戶端，但這也是本網站任何指南中唯一可能把硬體變成磚塊的一步。如果路由器的韌體具備 VPN 用戶端頁面，以下步驟就已足夠。如果沒有，是否重新刷寫由你自行決定，相關說明則屬於韌體專案，而不是我們的說明。

載入設定檔

1. 登入業者的網站，並開啟帳戶區域中的路由器或手動設定部分。針對韌體支援的協定和你想使用的出口產生設定檔；一個檔案代表一個出口。檔案中包含你的金鑰——請像保護密碼一樣保護它。
2. 開啟路由器的管理頁面，使用有線或家用網路上的裝置尋找 VPN 用戶端頁面。頁面名稱各有不同——VPN client、VPN Fusion、WAN › VPN——但這必須是用來向外連線的用戶端頁面，而不是讓外部連入的伺服器頁面。兩者外觀相似，但只有其中一個是本指南要找的頁面。
3. 匯入檔案，或按照韌體要求，逐一貼上檔案中的欄位。使用出口名稱命名設定檔，這樣日後加入第二個設定檔時才能分辨。
4. 如果頁面提供選項，選擇哪些裝置要通過隧道，目前先選取全部裝置；稍後再設定例外清單。接著啟用設定檔。
5. 不要在這裡停下。DNS 和終止開關位於同一頁或下一頁，而且兩者的預設值都是關閉。

值得檢查的設定

韌體頁面各不相同，但設定本身沒有差異。如果不熟悉名稱，可以在術語表中查找各項設定。

為全屋設定 DNS

路由器後方的每台裝置都會向路由器詢問網路位置，而路由器則會向指定的解析器詢問。如果指定的是網際網路業者的解析器，家中每次查詢都會離開隧道，讓網際網路業者知道家中造訪哪些網站，而只隱藏在網站上進行的操作。設定路由器的 DNS——如果 VPN 用戶端頁面有相應欄位，就在該頁面設定，否則在 WAN 頁面設定——使用業者設定檔指定的解析器；並將路由器設定為把自己的位址提供給裝置作為解析器，避免裝置取得網際網路業者的解析器。DNS 洩漏頁面說明洩漏如何發生。

終止開關

在路由器上，終止開關是一條防火牆規則：隧道中斷時，隧道裝置的任何流量都不得透過一般路由離開。有些韌體會以核取方塊提供此開關，有些稱為 block routed clients if tunnel goes down，也有些完全沒有此功能。只要有這項功能，就將它開啟；隧道中斷後，家中網路會離線，直到重新連線，這正是它的作用。如果沒有這項功能，請注意隧道中斷時，所有裝置都會在毫無提示的情況下回到未受保護的連線。專屬頁面說明此開關的用途。

IPv6

大多數路由器隧道只承載 IPv4。如果網際網路業者也為家中提供 IPv6，裝置會對提供 IPv6 的網站使用該協定，而這些流量就會繞過隧道。除非業者的設定檔會在隧道內建立 IPv6，否則在使用隧道期間，請在 WAN 端關閉 IPv6。

協定

只要韌體提供現代協定，就選擇它——協定頁面列出目前使用中的協定和舊版協定——一方面因為名錄會據此給它分數，另一方面因為在路由器的處理器上，它比舊版協定快上數倍。只提供舊版協定的老舊路由器，不僅分數較低，速度也會很慢。

確認確實正常運作

請從路由器後方的裝置進行檢查，不要只看路由器自己的狀態頁面；那裡只會顯示路由器所認為的狀態。請依序進行以下三項檢查：

1. 在沒有自行安裝用戶端的裝置上確認位址已變更。在連上路由器 Wi-Fi 的筆記型電腦或手機上開啟任何「我的 IP 是什麼」頁面，並關閉行動數據、不執行 VPN 應用程式。顯示的國家應該是你選擇的出口所在國家。
2. 確認查詢位於隧道內。在同一台裝置上執行 DNS 洩漏測試。只要出現屬於網際網路業者的項目，就表示上述 DNS 設定沒有生效，或裝置取得了錯誤的解析器。
3. 確認終止開關如其名稱般運作。在該裝置上執行下載時，從路由器頁面停用 VPN 設定檔，或暫時拔下路由器的 WAN 線再插回去。中斷期間，下載應立即停止；連線恢復後，在隧道恢復之前，下載不應重新開始。如果下載仍持續，表示終止開關不存在或未開啟。

更完整的測試清單，以及每項測試能或不能顯示的內容，請參閱專屬指南。

一個家，兩個網路

對路由器隧道的抱怨總是相同：有些東西需要位於隧道之外。最乾淨的解決方式是使用兩個網路，而不是在單一網路上設定例外。做法可以是：在第一台路由器後方加上第二台路由器並執行隧道，應位於隧道內的裝置連上它的 Wi-Fi，其餘裝置則連上第一台路由器的 Wi-Fi；或者，如果韌體允許每個網路使用不同 VPN，就建立一個作為隧道網路的訪客或次要網路。裝置只要選擇要加入哪個網路即可，電視留在隧道內，遊戲主機留在隧道外，也沒有人需要為了全屋裝置關閉隧道。

第二台路由器也能解決速度問題：它只承載需要隧道的裝置，因此它的處理器只會限制這些裝置。