OpenWrt 路由器 VPN 設定教學：全屋裝置分流快速上手

OpenWrt 路由器設定 VPN，並不是把手機用的訂閱網址貼進路由器就一定能連線。實際上要先確認韌體、安裝套件與服務端提供的設定格式彼此相容，再建立 VPN 通道、設定流量要走哪條路，最後檢查 DNS 和防火牆。本文以「先確認條件、再建立連線、最後逐台分流」為順序，整理適合新手的操作思路。OpenWrt 版本、路由器架構和管理介面外掛各有差異，選單名稱及可用功能請以目前設備為準。

先確認 OpenWrt 能使用哪一種設定

先分清楚 VPN 通道與代理訂閱是不同的設定形式。OpenWrt 原生常見的選項包括 WireGuard 和 OpenVPN；若服務提供相應的設定檔，並且路由器韌體有相容套件，就可以依其欄位建立連線。Shadowsocks、VMess、Trojan、Hysteria2 等則通常需要相容的用戶端或整合套件，不會因為路由器有 VPN 選單，就自動支援這些協定。

訂閱連結通常用來讓相容用戶端取得節點和設定，不等於可直接填入 WireGuard 或 OpenVPN 欄位的設定檔。匯入前先確認服務提供的是哪種協定、格式和使用方式，也確認路由器上的套件支援該格式。若你手上只有訂閱連結，先查看服務控制檯或使用說明是否提供路由器適用的匯入方式；不要把訂閱網址當成伺服器位址，也不要自行刪改網址內容來嘗試連線。

管理介面外掛只能提供操作介面，實際連線仍依賴底層程式、核心功能和防火牆規則。套件名稱相似，不代表它們支援相同協定或相同訂閱格式；外掛也可能只適用特定 OpenWrt 版本。安裝前記下目前韌體版本、設備架構與可用儲存空間，並查看套件說明與相依項目。若路由器剩餘儲存空間不足，或套件來源與韌體版本不一致，不要勉強安裝。

這些服務資訊不能取代設備端的相容性檢查。路由器能否安裝所需套件、韌體是否提供必要的網路功能，以及手上的設定能否由用戶端讀取，才是開始部署前應先確認的條件。想了解不同線路與協定的基本差異，可參考線路與協定說明。

安裝前準備：備份、確認網路與管理方式

開始操作前，先從 OpenWrt 管理介面備份目前設定，並確認自己能透過有線網路重新連迴路由器。修改介面、預設閘道或防火牆時，無線連線可能中斷；如果管理工作階段只依賴正在調整的 Wi-Fi，操作失誤時會更難恢復。重要設定變更一次只做一項，並保留可用的本機管理途徑。

接著確認路由器原本的 WAN 與 LAN 狀態。WAN 是連向上遊數據機或主路由器的介面，LAN 則服務家中裝置。VPN 通道建立後，還需要決定哪些 LAN 裝置或網段使用它；這通常涉及路由表、政策路由和防火牆轉送規則。不要為了讓路由器「看起來已連線」而直接把整個 LAN 的預設閘道改掉，否則可能造成管理流量也被送入隧道，或在隧道中斷時失去預期的網路路徑。

確認韌體版本和套件來源時，不要混用不同版本的套件庫。部分版本使用 opkg，部分較新的建置可能採用不同套件管理方式；請依設備目前的版本文件和套件介面操作，而不是照搬其他韌體的命令。若使用 SSH，先確認命令對應的是目前系統，再執行安裝或更新。透過 LuCI 安裝時，也要留意相依套件是否完整，以及安裝完成後是否需要啟用服務或重新載入防火牆。

還要確認上游網路是否已由其他設備執行 NAT 或 VPN。家中有兩台路由器時，OpenWrt 可能位於上游路由器之後；這種拓撲下，WAN、LAN 網段和閘道必須依現況辨認。若兩台設備使用相同 LAN 網段，路由器可能無法正確判斷封包應往哪裡送。先記錄目前的網段與閘道，再規劃變更，不要只根據介面名稱推斷實際拓撲。

• ✅ 備份 OpenWrt 設定，並確認有線管理連線可用。
• ✅ 核對韌體版本、設備架構、套件來源及必要的儲存空間。
• ✅ 確認服務提供的設定類型，以及路由器套件是否支援該格式。
• ❌ 不要同時修改 WAN、LAN、DNS 和預設閘道，否則故障時難以定位原因。

動手設定：先測通道，再設定裝置分流

以下流程適用於已確認有相容設定檔和路由器套件的情況。不同介面的欄位名稱可能不同，請以服務提供的參數及套件說明為準。密鑰、憑證、伺服器位址和連接埠都應逐項核對；不要因為欄位名稱相似，就把 DNS 位址或出口位址誤填為遠端伺服器。

1. 建立設定備份並確認管理連線。在管理介面匯出目前設定，並使用有線裝置登入路由器。記下 WAN、LAN 的介面與位址，確定本機管理頁面不依賴稍後要變更的路徑。
2. 安裝與韌體相符的套件。從目前韌體的套件來源安裝對應的協定程式和必要元件。若需要管理介面外掛，也要確認其版本相容。安裝後先檢查服務是否能啟動，不要一次加入多個功能相近的套件。
3. 匯入或建立隧道設定。按套件支援的方式輸入服務提供的設定。WireGuard 設定需按格式填入介面金鑰、對端資訊、允許的位址和必要路由；OpenVPN 則依設定檔及認證方式配置。使用代理協定時，必須由支援該協定的路由器端用戶端處理，不能將其當成原生 WireGuard 設定。
4. 先只讓路由器測試通道。檢查服務狀態、介面是否建立，以及路由器本身能否透過預期出口連線。若介面未啟動，先看套件日誌和設定欄位；若介面已啟動但無法連線，再檢查上游網路、防火牆、時間設定和對端參數。先不要把所有家庭裝置都切換過去。
5. 設定政策路由和防火牆轉送。建立明確的裝置或網段規則，指定哪些來源流量送入隧道、哪些仍走原本 WAN。政策路由負責依來源或目的地選擇路由，防火牆則決定介面間是否允許轉送及是否需要 NAT；只建立路由規則而漏掉防火牆設定，可能會出現通道已連線、用戶端卻無法上網的狀況。
6. 逐台測試後再擴大範圍。先選一台測試裝置，確認它能使用預期出口、一般網頁可正常開啟，且路由器管理頁面仍可進入。測試通過後，再加入其他裝置或網段。每次調整後記錄所改的規則，若結果異常就回復最近一次變更，而不是反覆重設整台路由器。

政策路由的比對方式依套件而異，可能依來源位址、網段、目的地或裝置標記套用。使用 DHCP 靜態租約可讓指定裝置持續取得預期的區域網路位址，降低規則因位址變動而套錯設備的機會。若以整個子網作為條件，請確認它不會意外涵蓋路由器自身的管理流量或不應經過隧道的本地服務。

分流規則也要考慮隧道中斷時的行為。有些設定會在隧道失效後改走一般 WAN，有些則會阻止相應流量離開。這兩種結果對可用性和流量路徑有不同影響，應查看套件提供的故障保護選項，並用測試裝置確認實際行為。不要只看介面顯示「已連線」，就假設所有被選中的裝置都一定使用隧道。

連線後檢查：出口、DNS 與閘道

確認設定是否生效時，分開檢查通道狀態、出口路徑和名稱解析。先在測試裝置查看外部 IP 或出口地區，再以相同裝置開啟目標網站；接著檢查 DNS 解析是否符合目前的設計。瀏覽器可能使用自己的安全 DNS，應用程式也可能自行處理名稱解析，因此只在路由器介面查看 DNS 欄位，不足以證明每個應用程式都沿用該設定。

如果 IP 出口符合預期，但網站仍無法開啟，先確認 DNS 是否可解析，再檢查目的地是否被政策路由規則涵蓋。如果測試裝置的出口沒有改變，則檢查它目前的區域網路位址、規則匹配條件、預設路由，以及用戶端是否透過其他網關上網。測試時應固定同一台裝置和同一個目標，避免因裝置切換、網頁快取或不同分流模式而誤判。

閘道設定錯誤常見於把隧道介面設為預設路由，卻沒有保留通往 VPN 對端的 WAN 路由。這可能形成路由迴圈：連線封包本身也被送進尚未建立完成的隧道，造成連線反覆中斷。若啟用全域路由或變更預設閘道後通道失效，先回復變更，再依套件文件確認對端流量如何走上游 WAN，以及隧道內流量如何進入政策路由。

DNS 也可能受防火牆區域和轉送規則影響。若路由器使用本機 DNS 轉送服務，確認測試裝置的 DNS 請求是否到達路由器，以及上游解析要求實際走哪條路徑。修改 DNS 後清除相關快取或重新連線，再以相同方式測試。不要因檢測頁面顯示一個地區名稱就直接判定異常；先分辨它呈現的是解析伺服器、網頁出口，還是裝置本身的網路資訊。

如果問題發生在所有裝置，優先檢查路由器端的隧道、上游閘道和防火牆；如果只有單一裝置異常，則先核對它取得的區域網路位址、政策規則和本機 DNS 設定。記錄變更前後的設定名稱、測試裝置及錯誤訊息，會比只描述「VPN 不能用」更容易找出問題。更多用戶端與訂閱匯入的基本操作，可參考使用教學。

常見問題