路由器 VPN 推荐:全屋跨境网络方案实测与取舍

路由器 VPN 的取舍,本质是把「谁来做国际线路的出口」从每台设备挪到一台常年开机的机器上。挪过去之后,电视盒子、游戏主机、智能电视这些装不了客户端的设备也能一起走国际线路;代价是这台机器一旦出问题,全家一起断。下面按「要不要上、光猫与路由怎么摆、主路由还是旁路由、怎么自查」四步讲清,最后给出不该动路由器的几种情况。

先说结论:设备清单里存在装不了客户端的硬件,才值得动路由器;其余情况,每台设备各自连更省事。

先判断:哪些家庭适合把加速放到路由器上

判断标准不是「设备多」,而是「有没有装不了客户端的设备」。VPNEH 的官方客户端覆盖 Windows、macOS、iOS、Android、Linux 五个平台,账号不限台数,手机、平板、笔记本各自装一份就能用,并不需要动路由器。真正需要路由器的,是下面三类场景:

• 客厅里的电视盒子、游戏主机、智能电视:系统封闭,装不了第三方客户端,只能由上游网关把流量接走。
• 家里有 NAS、监控、打印机这类长期在线的设备,希望它们访问国际服务时也走同一条线路。
• 家庭成员多,不想挨个设备教怎么连、怎么切线路,配一次全家生效。

反过来,如果家里只有一两台手机和一台笔记本,或者你经常出差、需要在不同网络环境下切换线路,路由器方案带来的复杂度就大于收益——每台设备各自连反而更快、更好排查。

光猫与路由怎么摆:先解决拓扑,再谈配置

很多人卡在这一步:代理内核装好了,速度却上不去,或者部分应用连不上。原因往往不在线路,而在网络被套了两层 NAT。

运营商给的光猫默认工作在路由模式,自己拨号、自己发地址;你在它后面再接一台路由器,就形成了两层地址转换。对普通浏览影响不大,但对需要回连、联机、端口映射的场景不友好,排查问题时还多一层看不见的转发。

标准做法是让光猫只做光电转换:改成桥接模式,由路由器用 PPPoE 拨号。这样路由器直接面对上游,转发路径最短,代理内核接管流量的位置也最清晰。改桥接通常需要运营商侧配合,各地流程不一样,能不能改、怎么改,以当地装维的说法为准。

如果桥接改不了,退一步的做法是:把代理放在你真正能控制的那台路由器上,并尽量让它成为家里唯一的地址分配者——关掉光猫自带的 Wi-Fi,所有设备只连路由器的网络。这样至少保证分流规则只在一个地方生效,不会出现手机走了代理、电视没走的错位。

主路由方案:一台机器接管拨号、转发与分流

主路由方案指路由器自己拨号上网,代理内核跑在同一台设备上,用 TProxy 或 TUN 模式做透明代理,把局域网内的流量直接接管。

流程大致是:订阅链接导入代理内核 → 内核拉取线路清单 → 分流规则按域名与 GeoIP 判断走直连还是走代理 → 局域网流量经转发进入内核 → 由选中的线路出去。

优点很直接:

• 只有一层 NAT,链路最短,延迟和故障点都少。
• 全家所有设备自动生效,不用逐台配置,访客连上 Wi-Fi 也一样。
• DNS 可以和代理走同一套分流逻辑,减少域名解析暴露在本地链路上的机会。

代价同样明确:

• CPU 要同时承担地址转换与加解密。加密协议本身开销不小,路由器性能不够时,瓶颈会出现在路由器而不是线路上。
• 不少家用固件默认开启硬件加速(flow offload),它和透明代理可能互相干扰,表现为部分流量绕过代理。遇到「规则明明写了却没生效」,先关掉硬件加速再测。
• 这台路由器一旦重启或固件出问题,全家断网。家里有依赖网络工作的成员时,要预留一条回退路径。

旁路由方案:主路由不动,把网关指过去

旁路由方案保留原来的主路由,另外接一台设备做旁路由,在旁路由上跑代理内核;主路由的 DHCP 把默认网关和 DNS 指向旁路由,流量自然绕过去。

配置上有几个必须注意的点:

1. 旁路由关闭自己的 DHCP,地址分配只由主路由负责,否则两个 DHCP 会打架。
2. 旁路由与主路由在同一网段,用一根网线接在主路由的 LAN 口,单臂工作即可。
3. 手动设过固定 IP 的设备不会自动改网关,需要单独把网关和 DNS 指向旁路由。
4. 旁路由上要放行来自局域网的转发,并确认防火墙没有把透明代理的流量挡掉。

旁路由最大的好处是可回退:出问题时把主路由 DHCP 下发的网关改回自己,几十秒就能恢复全家上网,不用拆网络。改动范围小,也不影响原来的拨号与 Wi-Fi 覆盖。

代价是多了一跳转发,所有流量都要绕行旁路由,旁路由的网口和 CPU 成为新的瓶颈;家里也多了一台常开的设备,断电、重启、系统更新都要单独考虑。

两种做法怎么选:一张表看完

线路与协议:路由器端最容易被忽略的三件事

协议:先看路由器扛不扛得住

Shadowsocks、VMess、Trojan、VLESS 都是常见的 TCP 系方案:Shadowsocks 轻量、开销小;VMess 依赖时间同步,设备时钟偏差过大会直接连不上;Trojan 走标准 TLS,端口通常是 443;VLESS 结构更精简,适合性能有限的设备。

Hysteria2 与 TUIC 基于 QUIC、跑在 UDP 上,在高延迟、丢包明显的链路上优势比较明显;但它们对路由器的 UDP 转发能力和 CPU 要求更高,部分网络还会对 UDP 限速。路由器性能一般时,优先选 TCP 系协议;旁路由性能富余,再考虑 UDP 系。

线路类型:IEPL 专线、中转、直连的区别

• 直连:就近接入,路径最短,晚高峰受公网拥塞影响最明显。
• 中转:先到第三地入口再转发,绕开拥塞段,代价是多一跳。
• IEPL 专线:走专线通道,不经过公网出口,延迟与抖动更稳,适合长时间在线、对稳定性敏感的设备。

路由器端不必所有设备走同一条线路。按用途分组更实用:电视盒子与游戏主机走 IEPL 专线,手机和笔记本用自动选择,谁在用什么一目了然。VPNEH 目前覆盖 90+ 国家、190+ 线路,按地区挑出口即可。

流量:全屋共用消耗得更快

月订阅三档:¥9.9/月含 60GB、¥18/月含 250GB、¥28/月含 500GB,流量按开通日每月重置,中途升级差价折算成剩余天数。全屋设备一起走,消耗速度会明显高于单机使用——电视盒子看高清视频是大头。

如果只是偶尔需要大流量,流量包更合适:¥158/300GB、¥358/1000GB、¥658/3000GB,用完为止,永久不过期,不跟着月周期清零。路由器方案通常配月订阅,因为它是长期在线的;流量包留给临时的大文件需求。

部署后的自查:五步确认真的生效

连上不等于生效。路由器方案尤其容易出「看着通了、其实一半流量没走代理」的情况,按下面五步逐项确认:

• ✅ 网关确认:在电脑上查看默认网关,应当指向承担代理的那台设备;指向光猫或主路由,说明流量根本没经过代理。
• ✅ 出口确认:打开查 IP 的页面,出口地区应与所选线路一致,而不是本地运营商。
• ✅ DNS 确认:检查域名解析请求是否也走了代理。若仍由本地运营商解析,说明存在 DNS 泄漏,分流规则要补上 DNS 部分。
• ✅ 分流确认:访问国内站点应直连、国际站点走代理。全都走代理,说明分流规则没有生效,或者硬件加速把流量抢走了。
• ✅ 回退确认:停掉代理内核或拔掉旁路由,网络应恢复直连,而不是全家断网。先确认回退路径,再谈长期使用。
• ❌ 只看客户端显示「已连接」就认为生效——连接状态只说明内核在跑,不说明流量真的走了代理。

什么情况下别上路由器,每台设备各自连更省事

• 设备少:一两台手机加一台笔记本,各自装客户端,几分钟就能配好,不用碰固件。
• 经常移动:出差、咖啡厅、公司网络,每台设备自带客户端更灵活,也不用担心回家忘了切回。
• 需要精细控制:不同设备走不同国家、不同应用走不同线路,客户端里的分流比路由器规则好调得多。
• 路由器老旧或不能刷系统:强行上透明代理,性能与稳定性都不划算,不如把预算放在客户端所在的设备上。

还有一类情况容易被忽略:家里只有一台路由器,而它同时承担拨号、Wi-Fi 和代理三件事。任何一项出问题都要重启整台设备,排查成本很高。这种时候,把代理挪到旁路由、或者干脆回到每台设备各自连,反而更稳。

需要按地区挑出口,可以先看线路列表;要对照流量档位,再看套餐。