路由器 VPN 推薦:全屋跨境網路方案實測與取捨

路由器 VPN 的取捨,本質是把「誰來做國際線路的出口」從每台裝置挪到一台常年開機的機器上。挪過去之後,電視盒子、遊戲主機、智慧電視這些裝不了用戶端的裝置也能一起走國際線路;代價是這台機器一旦出問題,全家一起斷。下面依「要不要上、數據機與路由器怎麼擺、主路由還是旁路由、怎麼自查」四步講清楚,最後給出不該動路由器的幾種情況。

先說結論:裝置清單裡有裝不了用戶端的硬體,才值得動路由器;其餘情況,每台裝置各自連線更省事。

先判斷:哪些家庭適合把加速放到路由器上

判斷標準不是「裝置多」,而是「有沒有裝不了用戶端的裝置」。VPNEH 的官方用戶端涵蓋 Windows、macOS、iOS、Android、Linux 五個平台,帳號不限台數,手機、平板、筆電各自裝一份就能用,並不需要動路由器。真正需要路由器的,是下面三類情境:

• 客廳裡的電視盒子、遊戲主機、智慧電視:系統封閉,裝不了第三方用戶端,只能由上游閘道器把流量接走。
• 家裡有 NAS、監控、印表機這類長期在線的裝置,希望它們存取國際服務時也走同一條線路。
• 家庭成員多,不想逐一教怎麼連線、怎麼切換線路,設定一次全家生效。

反過來說,如果家裡只有一兩支手機和一台筆電,或者你經常出差、需要在不同網路環境切換線路,路由器方案帶來的複雜度就大於效益——每台裝置各自連線反而更快、也更好排查。

數據機與路由器怎麼擺:先解決拓撲,再談設定

很多人卡在這一步:代理核心裝好了,速度卻上不去,或者部分應用連不上。原因往往不在線路,而是網路被套了兩層 NAT。

電信業者提供的數據機預設工作在路由模式,自己撥號、自己發配位址;你在它後面再接一台路由器,就形成兩層位址轉換。對一般瀏覽影響不大,但對需要回連、連線對戰、連接埠轉送的情境並不友善,排查問題時還多了一層看不見的轉送。

標準做法是讓數據機只做光電轉換:改成橋接模式,由路由器以 PPPoE 撥號。這樣路由器直接面對上游,轉送路徑最短,代理核心接管流量的位置也最清楚。改橋接通常需要電信業者配合,各地流程不同,能不能改、怎麼改,以當地裝機維修人員的說法為準。

如果橋接改不了,退一步的做法是:把代理放在你真正能控制的那台路由器上,並盡量讓它成為家裡唯一的位址發配者——關掉數據機內建的 Wi-Fi,所有裝置只連路由器的網路。這樣至少能保證分流規則只在一個地方生效,不會出現手機走了代理、電視卻沒走的錯位。

主路由方案:一台機器接管撥號、轉送與分流

主路由方案是指路由器自己撥號上網,代理核心跑在同一台裝置上,以 TProxy 或 TUN 模式做透明代理,直接把區域網路內的流量接管。

流程大致是:匯入訂閱連結到代理核心 → 核心取得線路清單 → 分流規則依網域與 GeoIP 判斷走直連還是走代理 → 區域網路流量經轉送進入核心 → 由選定的線路出去。

優點很直接:

• 只有一層 NAT,鏈路最短,延遲與故障點都少。
• 全家所有裝置自動生效,不用逐台設定,訪客連上 Wi-Fi 也一樣。
• DNS 可以和代理走同一套分流邏輯,減少網域名稱解析暴露在本地鏈路上的機會。

代價同樣明確:

• CPU 要同時負擔位址轉換與加解密。加密協定本身開銷不小,路由器效能不夠時,瓶頸會出現在路由器而不是線路上。
• 不少家用韌體預設開啟硬體加速(flow offload),它和透明代理可能互相干擾,表現為部分流量繞過代理。遇到「規則明明寫了卻沒生效」,先關掉硬體加速再測。
• 這台路由器一旦重開或韌體出問題,全家斷網。家裡有依賴網路工作的成員時,要預留一條回退路徑。

旁路由方案:主路由不動,把閘道器指過去

旁路由方案保留原本的主路由,另外接一台裝置做旁路由,在旁路由上跑代理核心;主路由的 DHCP 把預設閘道器與 DNS 指向旁路由,流量自然繞過去。

設定上有幾個必須注意的重點:

1. 旁路由關閉自己的 DHCP,位址發配只由主路由負責,否則兩個 DHCP 會互相衝突。
2. 旁路由與主路由在同一網段,用一條網路線接在主路由的 LAN 埠,單臂運作即可。
3. 手動設過固定 IP 的裝置不會自動改閘道器,需要個別把閘道器與 DNS 指向旁路由。
4. 旁路由上要放行來自區域網路的轉送,並確認防火牆沒有把透明代理的流量擋掉。

旁路由最大的好處是可回退:出問題時把主路由 DHCP 發配的閘道器改回自己,幾十秒就能恢復全家上網,不用拆網路。改動範圍小,也不影響原本的撥號與 Wi-Fi 覆蓋。

代價是多了一跳轉送,所有流量都要繞行旁路由,旁路由的網路埠與 CPU 成為新的瓶頸;家裡也多了一台常開的裝置,停電、重開、系統更新都要另外考慮。

兩種做法怎麼選:一張表看完

線路與協定:路由器端最容易被忽略的三件事

協定:先看路由器扛不扛得住

Shadowsocks、VMess、Trojan、VLESS 都是常見的 TCP 系方案:Shadowsocks 輕量、開銷小;VMess 依賴時間同步,裝置時鐘偏差過大會直接連不上;Trojan 走標準 TLS,連接埠通常是 443;VLESS 結構更精簡,適合效能有限的裝置。

Hysteria2 與 TUIC 基於 QUIC、跑在 UDP 上,在高延遲、封包遺失明顯的鏈路上優勢比較明顯;但它們對路由器的 UDP 轉送能力與 CPU 要求更高,部分網路還會對 UDP 限速。路由器效能一般時,優先選 TCP 系協定;旁路由效能有餘裕,再考慮 UDP 系。

線路類型:IEPL 專線、中轉、直連的差別

• 直連:就近接入,路徑最短,晚高峰受公網壅塞影響最明顯。
• 中轉:先到第三地入口再轉送,繞開壅塞路段,代價是多一跳。
• IEPL 專線:走專線通道,不經過公網出口,延遲與抖動更穩定,適合長時間在線、對穩定性敏感的裝置。

路由器端不必所有裝置都走同一條線路。依用途分組更實用:電視盒子與遊戲主機走 IEPL 專線,手機和筆電用自動選擇,誰在用什麼一目了然。VPNEH 目前涵蓋 90+ 國家、190+ 線路,依地區挑選出口即可。

流量:全屋共用消耗得更快

月訂閱三檔:¥9.9/月含 60GB、¥18/月含 250GB、¥28/月含 500GB,流量依開通日每月重置,中途升級的差價折算成剩餘天數。全屋裝置一起走,消耗速度會明顯高於單機使用——電視盒子看高畫質影片是大宗。

如果只是偶爾需要大流量,流量包更合適:¥158/300GB、¥358/1000GB、¥658/3000GB,用完為止,永久不過期,不隨月週期歸零。路由器方案通常搭配月訂閱,因為它是長期在線的;流量包留給臨時的大檔案需求。

部署後的自查:五步確認真的生效

連上不等於生效。路由器方案尤其容易出現「看起來通了、其實一半流量沒走代理」的情況,依下面五個步驟逐項確認:

• ✅ 閘道器確認:在電腦上查看預設閘道器,應該指向負責代理的那台裝置;若指向數據機或主路由,代表流量根本沒經過代理。
• ✅ 出口確認:打開查 IP 的頁面,出口地區應與所選線路一致,而不是本地電信業者。
• ✅ DNS 確認:檢查網域名稱解析請求是否也走了代理。若仍由本地電信業者解析,代表存在 DNS 洩漏,分流規則要補上 DNS 部分。
• ✅ 分流確認:連線台灣本地網站應直連、國際網站走代理。全部都走代理,代表分流規則沒有生效,或者硬體加速把流量搶走了。
• ✅ 回退確認:停掉代理核心或拔掉旁路由,網路應恢復直連,而不是全家斷網。先確認回退路徑,再談長期使用。
• ❌ 只看用戶端顯示「已連線」就認為生效——連線狀態只說明核心在跑,不說明流量真的走了代理。

什麼情況下別上路由器,每台裝置各自連線更省事

• 裝置少:一兩支手機加一台筆電,各自安裝用戶端,幾分鐘就能設好,不用碰韌體。
• 經常移動:出差、咖啡廳、公司網路,每台裝置自帶用戶端更靈活,也不用擔心回家忘了切換回來。
• 需要精細控制:不同裝置走不同國家、不同應用走不同線路,用戶端裡的分流比路由器規則好調得多。
• 路由器老舊或不能刷系統:硬上透明代理,效能與穩定性都不划算,不如把預算放在用戶端所在的裝置上。

還有一類情況容易被忽略:家裡只有一台路由器,而它同時承擔撥號、Wi-Fi 和代理三件事。任何一項出問題都要重開整台裝置,排查成本很高。這種時候,把代理移到旁路由、或者乾脆回到每台裝置各自連線,反而更穩。

需要依地區挑選出口,可以先看線路列表;要對照流量檔位,再看方案。