指南
如何在路由器上設定 VPN
何時適合在路由器上建立隧道、何時不適合、如何在韌體內置的 VPN 用戶端頁面載入業者的設定檔、為全屋設定 DNS，以及如何從路由器後方的裝置進行檢查。本指南以韌體設有 VPN 用戶端頁面的路由器為準，不會重新刷寫任何韌體。
開始前
本指南不會替你選擇業者
以下每個步驟不論你使用哪個業者都一樣，因此這裡不會列出任何業者。選擇業者是另一項工作，要在名錄上完成；選擇依據是已公開的分數，而不是下載頁面。
設定檔只可從業者自己的帳戶區域取得，不能來自其他地方。論壇上的檔案可能包含其他人的金鑰，或其他人的伺服器。
當後方裝置無法自行執行用戶端——例如電視、遊戲機、智能喇叭——或目的是一次涵蓋所有裝置而無需逐一安裝時，路由器就是建立隧道的適當位置。當全屋有時需要離開隧道時，路由器就不是適當位置：裝置位於路由器後方時，沒有任何裝置可以自行離開，而且所有裝置共用一個出口、一個國家和一個處理器。處理器就是速度上限，而且效能遠低於手提電腦。如果只有一兩部裝置需要 VPN，請改為在那些裝置上安裝用戶端；平台頁面會說明哪些業者支援哪些裝置。
本指南不會重新刷寫路由器。將韌體替換成常見的第三方韌體，通常能讓路由器擁有比原廠韌體更好的 VPN 用戶端，但這也是本網站任何指南中唯一可能把硬件變成磚頭的一步。如果路由器的韌體設有 VPN 用戶端頁面，以下步驟已經足夠。如果沒有，是否重新刷寫由你決定，相關指示則屬於韌體專案，而不是我們的指示。
載入設定檔
- 登入業者的網站，並在帳戶區域開啟路由器或手動設定部分。為韌體支援的協定，以及你想使用的出口，產生設定檔；一個檔案就是一個出口。檔案包含你的金鑰——請像保管密碼一樣保管它。
- 開啟路由器的管理頁面，使用有線網絡或家居網絡上的裝置尋找 VPN 用戶端頁面。名稱各有不同——VPN client、VPN Fusion、WAN › VPN——但它必須是用來向外連線的用戶端頁面，而不是讓外部裝置連入的伺服器頁面。兩者外觀相似，但只有其中一個是本指南所指的頁面。
- 匯入檔案，或按照韌體要求，逐項貼上檔案中的欄位。以出口名稱命名設定檔，方便日後分辨第二個設定檔。
- 如果頁面提供選項，選擇哪些裝置經過隧道，目前先選取所有裝置；之後再設定例外清單。然後啟用設定檔。
- 不要在這裡停下來。DNS 和終止開關位於同一頁或下一頁，而兩者的預設值都是關閉。
值得檢查的設定
韌體頁面各有不同，但設定本身沒有不同。如果不熟悉名稱，可在詞彙表中找到每項設定的說明。
為全屋設定 DNS
路由器後方的每部裝置都會向路由器詢問某個位置，而路由器則向它獲指定的解析器詢問。如果那是互聯網服務供應商的解析器，全屋每次查詢都會在隧道外傳送，互聯網服務供應商因而知道全屋瀏覽了哪些網站，而隧道只會隱藏裝置在網站上做了甚麼。設定路由器的 DNS——如果 VPN 用戶端頁面有相關欄位，就在該頁面設定，否則就在 WAN 頁面設定——使用業者檔案指定的解析器，並將路由器設定為把自己的地址交給裝置作為解析器，避免裝置取得互聯網服務供應商的解析器。DNS 洩漏頁面說明洩漏如何發生。
終止開關
在路由器上，終止開關是一條防火牆規則：隧道中斷時，隧道內裝置的任何流量都不得經一般路徑離開。有些韌體把開關設為核取方塊，有些稱為 block routed clients if tunnel goes down，也有些完全沒有這項功能。如果有這項功能，請將它開啟；隧道中斷後，全屋會離線，直到重新連線，這正是它的作用。如果沒有，請注意隧道中斷後，所有裝置都會在毫無提示的情況下恢復使用未受保護的連線。終止開關專頁說明它的用途。
IPv6
大部分路由器隧道只承載 IPv4。如果互聯網服務供應商同時為全屋提供 IPv6，裝置會在網站提供 IPv6 時使用它，而相關流量就會繞過隧道。除非業者的檔案在隧道內設定了 IPv6，否則在使用隧道期間，請在 WAN 一側關閉 IPv6。
協定
只要韌體提供較新的協定，就選用它——協定頁面列出哪些協定是目前使用的，哪些已屬舊版——一方面因為名錄會根據這點計算分數，另一方面因為在路由器的處理器上，較新的協定速度比舊版快數倍。只支援舊版協定的舊路由器，不但會被標記，速度也會很慢。
確認實際正常運作
請從路由器後方的裝置進行檢查，不要只看路由器自己的狀態頁面；該頁面只會顯示路由器所相信的情況。按以下次序進行三項檢查：
- 在沒有自行使用用戶端的裝置上，確認地址已變更。在連接路由器 Wi-Fi 的手提電腦或手機上開啟任何「我的 IP 是甚麼」頁面，並關閉流動數據且不要執行 VPN 應用程式。顯示的國家應該是你選擇的出口所在國家。
- 確認查詢在隧道內進行。在同一部裝置上執行 DNS 洩漏測試。如果結果顯示任何屬於你的互聯網服務供應商的解析器，表示上面的 DNS 設定沒有生效，或裝置取得了錯誤的解析器。
- 確認終止開關按預期運作。在該裝置執行下載時，從路由器頁面停用 VPN 設定檔，或暫時拔出路由器的 WAN 網絡線再插回。在中斷期間，下載應立即停止；連線恢復後，應在隧道恢復前保持停止。如果下載繼續，表示開關不存在或尚未開啟。
如要進行更完整的測試，以及了解每項測試可以或不可以顯示甚麼，請參閱專屬指南。
這些檢查可以證明甚麼
+該網絡上的每部裝置都會經由出口伺服器，在你選擇的國家離開，而且裝置上無需安裝任何軟件
+互聯網服務供應商只會看到全屋發出的一條加密連線，看不到任何查詢
+如果韌體設有開關，隧道中斷時，全屋的連線會以故障閉鎖方式停止
這些檢查不能證明甚麼
−它們完全不能說明業者會保留甚麼——那是文件方面的問題，答案在留存頁面上
−它們不會令任何人匿名：每部裝置上的每個帳戶仍然處於登入狀態，請參閱VPN 無法保護你的事項
−一部裝置通過測試，不能說明另一個網絡上的裝置也一樣，亦不能說明使用自行安裝應用程式的裝置也一樣
一個家庭，兩個網絡
對路由器隧道的抱怨總是同一個：有些東西需要在隧道外。簡潔的做法是使用兩個網絡，而不是在單一網絡上設定例外。方法一是使用第二部路由器放在第一部路由器後方，讓它執行隧道；需要位於隧道內的裝置連接它的 Wi-Fi，其餘裝置則連接第一部路由器的 Wi-Fi。方法二是在韌體允許按網絡設定 VPN 的情況下，使用一個作為隧道網絡的訪客或次要網絡。裝置只需選擇要加入哪個網絡：電視留在隧道內，遊戲機留在隧道外，沒有人需要為全屋關閉隧道。
第二部路由器也解決了速度問題：它只承載需要隧道的裝置，因此其處理器只會成為這些裝置的速度上限。
無法運作時
全屋的網絡速度都變慢了
現在，路由器要在每個用來轉送封包而非加密封包的處理器上，為全屋傳送的每個位元組進行加密。這個上限來自路由器，而不是業者；使用同一個訂閱時，速度會遠低於手提電腦所能達到的水平便碰到這個上限。
較新的協定比舊版輕巧得多，因此韌體提供時請使用它。除此之外，解決方法是換用更快的路由器，或讓較少裝置使用隧道——請參閱最後一節。
有一部裝置需要在隧道外
拒絕外國地址的銀行應用程式、遊戲機、智能喇叭：總會有某些裝置需要在隧道外。有些韌體允許按地址排除裝置，這就是在路由器上進行分割隧道。如果韌體不支援，答案就在最後一節：為隧道使用第二個網絡，讓該裝置直接加入另一個網絡。
不要為了服務一部裝置而關閉全屋的隧道。
隧道中斷後沒有重新連線
大部分韌體會自行重新連線，有些則只有在收到指示時才會重新連線。請在 VPN 用戶端頁面尋找 keep-alive、自動重新連線或看門狗設定，並將它開啟。如果韌體設有終止開關而且已開啟，隧道中斷後，全屋會離線直到重新連線——這表示開關正在運作。
如果隧道每天都在同一時間中斷，可能是互聯網服務供應商正在更新你的地址，而路由器未能及時察覺。縮短 keep-alive 間隔會有所幫助。
有些裝置顯示我的真實國家，有些則沒有
這些裝置沒有經過路由器的隧道：例如使用流動數據的手機、安裝了自行運作的 VPN 應用程式的裝置，或位於隧道未涵蓋的第二個網絡上的裝置。請檢查每部裝置連接的是哪個網絡。
如果裝置位於隧道網絡上，卻仍然顯示你的真實國家，表示它的 DNS 或 IPv6 正繞過路由器連到互聯網。檢查一節說明如何解讀這種情況。
同樣的步驟，不同的裝置
其餘平台
每個平台都有自己獨立的指南，而不是同一頁面下的一個分頁。步驟從安裝程式打開的那一刻起就開始分岔，一篇試圖同時回答三個平台的文章，哪一個都答不好。