指南
如何在路由器上设置 VPN
了解路由器何时适合作为隧道的接入点、何时不适合，如何在固件自带的 VPN 客户端页面中使用服务商的配置文件，为整个家庭设置 DNS，以及如何从路由器后的设备进行检查。本指南针对固件带有 VPN 客户端页面的路由器编写；不会重新刷写任何内容。
开始前
本指南不会替你选择服务商
无论使用哪家服务商，下面的每一步都相同，因此这里不会点名任何服务商。选择服务商是另一项工作，应在名录中完成，依据的是已公开的得分，而不是下载页面。
配置文件只能来自服务商自己的账户区域，不能来自其他地方。论坛里的文件可能带有别人的密钥，或指向别人的服务器。
当路由器后的设备无法运行自己的客户端时—电视、游戏主机、智能音箱—或者目标是让所有设备同时接入且无需安装任何内容，路由器就适合作为隧道的接入点。但如果家庭网络有时需要离开隧道，路由器就不适合：设备位于路由器后面时，任何设备都无法单独离开，而且所有设备共用同一个出口、国家和处理器。处理器决定速度上限，而路由器的处理器远不如笔记本电脑。如果只有一两台设备需要 VPN，就在这些设备上安装客户端；平台页面会说明哪些服务商支持哪些平台。
本指南不会重新刷写路由器。将固件替换为常见的第三方固件，通常能让路由器拥有比原厂固件更好的 VPN 客户端；但这也是本网站任何指南中唯一可能把硬件变成砖的步骤。如果你的路由器固件带有 VPN 客户端页面，下面的步骤就足够了。如果没有，是否重新刷写由你决定，相关说明应参考固件项目，而不是本指南。
加载配置
- 登录服务商的网站，打开账户区域中的路由器或手动配置部分。针对固件支持的协议和你想使用的出口生成配置文件；一个文件对应一个出口。文件中包含你的密钥—请像对待密码一样保护它。
- 打开路由器的管理页面，使用有线网络或家庭网络中的设备，找到 VPN 客户端页面。它的名称各不相同—VPN client、VPN Fusion、WAN › VPN—但它必须是向外发起连接的客户端页面，而不是允许外部连接进来的服务器页面。两者看起来相似，但只有其中一个适用于本指南。
- 导入文件，或者根据固件要求逐项粘贴其中的字段。用出口的名称命名配置文件，这样以后添加第二个配置文件时可以区分它们。
- 如果页面提供选项，选择哪些设备通过隧道，现在先选择全部设备；例外列表可以稍后再细化。然后启用该配置文件。
- 不要停在这里。DNS 和终止开关位于同一页面或下一页面，而两者默认都是关闭的。
值得检查的设置
固件页面各不相同，但设置本身并不不同。如果名称不熟悉，可以在术语表中查找对应条目。
为整个家庭设置 DNS
路由器后的每台设备都会向路由器询问地址，路由器再向指定的解析器询问。如果指定的是互联网服务商的解析器，家庭网络中的每次查询都会在隧道外发出。这会让互联网服务商知道家庭访问了哪些网站，却只隐藏了家庭在网站上进行的操作。设置路由器的 DNS—如果 VPN 客户端页面有相应字段，就在那里设置；否则在 WAN 页面设置—使用服务商配置文件指定的解析器，并让路由器把自己的地址作为解析器提供给设备，避免设备获得互联网服务商的解析器。DNS 泄漏页面介绍了泄漏的发生方式。
终止开关
在路由器上，终止开关是一条防火墙规则：隧道断开时，使用隧道的设备不得通过普通路由离开网络。有些固件将其设置为复选框，有些称为block routed clients if tunnel goes down，还有些完全没有此功能。如果存在，就将其打开；这样隧道断开后，家庭网络会离线，直到重新连接，这正是它的作用。如果不存在，就要知道隧道断开后，所有设备都会在毫无提示的情况下回到裸连接。终止开关页面介绍了它的用途。
IPv6
大多数路由器隧道只承载 IPv4。如果互联网服务商同时为家庭提供 IPv6，设备会在网站支持 IPv6 时使用它，而这部分流量会绕过隧道。除非服务商的配置文件在隧道内设置了 IPv6，否则在使用隧道期间，应在 WAN 侧关闭 IPv6。
协议
只要固件提供，就选择较新的协议—协议页面会列出当前协议和旧协议—既因为名录会据此计算得分，也因为在路由器处理器上，它的速度比旧协议快数倍。只支持旧协议的老路由器，往往不仅得分较低，速度也会很慢。
确认它确实在运行
应从路由器后的设备进行检查，而不是查看路由器自己的状态页面；状态页面只能告诉你路由器认为发生了什么。按以下顺序进行三项检查：
- 地址已在没有自己的客户端的设备上发生变化。在连接到路由器 Wi-Fi 的笔记本电脑或手机上打开任意“我的 IP 是什么”页面，关闭移动数据，并确保没有运行 VPN 应用。显示的国家应是你选择的出口所在国家。
- 查询在隧道内进行。在同一设备上运行 DNS 泄漏测试。只要结果中出现属于你的互联网服务商的解析器，就说明上面的 DNS 设置没有生效，或者设备获得了错误的解析器。
- 终止开关确实按说明工作。在该设备上进行下载时，从路由器页面停用 VPN 配置文件，或暂时拔下路由器的 WAN 网线再插回去。断开期间，下载应立即停止；连接恢复后，在隧道恢复之前不应继续。如果下载仍在继续，说明终止开关不存在或未开启。
更完整的测试清单，以及每项测试能显示和不能显示的内容，见专门的指南。
这些检查能证明什么
+该网络中的每台设备都会通过出口服务器离开网络，出口位于你选择的国家，而且设备上无需安装任何内容
+互联网服务商只能看到家庭发出的一条加密连接，看不到任何查询
+如果固件带有终止开关，隧道断开后，整个家庭网络都会在断开状态下停止通信
这些检查不能证明什么
−它们无法说明服务商会留存什么—这是文档问题，应在留存页面中查找答案
−它们不会让任何人匿名：每台设备上的每个账户仍然处于登录状态，参见VPN 无法保护你的内容
−一台设备通过测试，并不能说明另一网络中的设备，或安装了自己应用的设备也没有问题
一个家庭，两张网络
对路由器隧道的抱怨总是相同：有些设备需要在隧道之外。相比设置例外，干净的解决方案是使用两张网络。方法可以是：在第一台路由器后面接入一台第二台路由器，由它运行隧道，需要接入隧道的设备连接到它的 Wi-Fi，其他设备则连接第一台路由器；或者，如果固件支持按网络设置 VPN，则使用一张作为隧道网络的访客网络或辅助网络。这样，设备通过选择加入哪张网络来决定是否使用隧道：电视留在隧道内，游戏主机留在隧道外，也不需要为了整个家庭关闭隧道。
第二台路由器还解决了速度问题：它只承载需要隧道的设备，因此它的处理器只对这些设备构成速度上限。
无法正常工作时
家里所有设备都变慢了
路由器现在要为家庭发送的每个字节加密，而它的处理器原本是为转发数据包而不是加密数据包设计的。这个上限来自路由器，而不是服务商；在相同订阅下，它远低于笔记本电脑能够达到的速度。
较新的协议比旧协议轻得多，因此只要固件提供，就使用较新的协议。除此之外，解决办法是换用更快的路由器，或让更少的设备使用隧道—参见最后一节。
有一台设备需要在隧道之外
拒绝外国地址的银行应用、游戏主机、智能音箱：总会有设备需要这样做。有些固件允许按地址排除设备，这相当于在路由器上使用拆分隧道。如果固件不支持，解决办法就是最后一节：为隧道建立第二张网络，让该设备直接加入另一张网络。
不要为了让一台设备正常使用而关闭整个家庭的隧道。
隧道断开后无法重新连接
大多数固件会自动重新连接，有些则只有在收到指令后才会连接。在 VPN 客户端页面中查找 keep-alive、自动重连或 watchdog 设置，并将其打开。如果固件带有终止开关且已开启，隧道断开会让家庭网络离线，直到重新连接—这说明开关正在工作。
如果隧道每天都在同一时间断开，可能是互联网服务商正在续租你的地址，而路由器发现得太慢。缩短 keep-alive 间隔会有所帮助。
有些设备显示我的真实国家，其他设备却不显示
这些设备没有通过路由器的隧道：可能是使用移动数据的手机、安装了自己 VPN 应用的设备，或位于隧道未覆盖的第二张网络中的设备。检查每台设备连接的是哪张网络。
如果设备连接的是隧道网络，却仍然显示你的真实国家，那么它的 DNS 或 IPv6 正在绕过路由器连接互联网。检查部分介绍了如何解读这种情况。
同样的步骤，不同的设备
其余平台
每个平台都有自己独立的指南，而不是同一页面下的一个标签。步骤从安装程序打开的那一刻起就开始分岔，一篇试图同时回答三个平台的文章，哪一个都答不好。