把 VPN 設定在 OpenWrt 路由器上，家中的手機、電腦與電視便可透過同一個網路出口連線，不必逐台安裝及維護用戶端。不過，路由器並不是把訂閱連結貼進去就會自動完成所有設定：韌體套件、服務端支援的協定、路由規則、防火牆與 DNS 都必須互相配合。開始前先確認路由器支援的方案，再決定要讓全屋裝置共用，還是隻讓指定裝置或目的地使用 VPN。
本文以 OpenWrt 管理介面與命令列都可能用到的設定流程為主，說明如何檢查套件、建立連線、設定分流，以及在設定失誤時恢復原狀。各版本的選單名稱和套件可用性可能不同；若路由器的儲存空間或記憶體有限，還要先評估新增服務會不會影響原有功能。
先檢查路由器與協定是否相容
先登入 OpenWrt 管理介面，確認韌體版本、裝置型號與可用儲存空間，並備份目前設定。不同型號使用的處理器架構與韌體映像可能不同，即使套件名稱相同，也要確認套件來源與版本符合目前系統。不要為了安裝 VPN 套件而隨意混用不同版本的套件庫；套件與核心模組不相容，可能造成安裝失敗，甚至影響網路服務。
再確認服務端提供的協定和必要參數。OpenWrt 常見的做法是透過相應套件設定 WireGuard 或 OpenVPN；例如 WireGuard 通常需要介面金鑰、對端公鑰、端點與允許通過的位址等資料，OpenVPN 則依設定檔和憑證建立連線。套件提供的 LuCI 管理頁面、介面名稱與安裝步驟會隨 OpenWrt 版本及套件來源而異，應以路由器目前韌體的套件資訊為準。
Shadowsocks、VMess、Trojan、Hysteria2 等名稱代表不同協定或傳輸方案，不等同於 WireGuard 或 OpenVPN 設定。不能只因為手機用戶端能匯入某份訂閱，就推定路由器內建管理介面也能讀取相同格式。若服務只提供用戶端訂閱，而沒有路由器可用的設定方式，應先向服務提供方確認支援情況；不要把含有存取權限的訂閱連結交給不明轉換網站。
100+
國家覆蓋
220+
服務線路
不限
同時在線裝置
5
支援平台類別
以上服務資訊不代表每一條線路都能直接套用到路由器，也不表示路由器端必然支援所有平台用戶端使用的協定。實際設定前，仍要對照帳戶中提供的設定內容與 OpenWrt 可安裝的相應套件。
| 設定方向 | 適合情況 | 要先確認的項目 | 常見注意事項 |
|---|---|---|---|
| 整個 LAN 共用 VPN | 希望多數家用裝置使用同一個出口 | 路由器效能、DNS 與防火牆轉送 | 設定錯誤可能影響全家上網 |
| 依裝置分流 | 只讓特定手機、電視或電腦經 VPN | 政策路由套件、裝置識別方式 | 裝置位址變動可能使規則不再命中 |
| 依目的地分流 | 希望本地服務直連、特定流量走 VPN | 路由規則、DNS 回應與 IPv6 行為 | 網域規則可能受解析結果與快取影響 |
| 僅在單台裝置連線 | 路由器資源有限，或只需少數裝置使用 | 該裝置的官方用戶端與系統相容性 | 其他連上家用 Wi-Fi 的裝置不會自動套用 |
動手設定：建立連線並逐步驗證
開始改動前，記下目前的 WAN、LAN 與無線網路設定，並透過有線連線操作會更穩妥。若手邊只有 Wi-Fi，至少先確認如何重新連入管理介面。每完成一個階段就測試一次，不要同時更改 VPN、DNS、防火牆與分流，否則一旦失去連線，很難判斷是哪項設定造成問題。
- 備份並檢查系統。在管理介面匯出設定備份，確認路由器仍能正常連上網際網路。記下管理介面的登入方式與目前網路介面名稱；不同版本的選單排列可能不一樣。
- 安裝相符套件。使用 OpenWrt 管理介面或命令列的套件管理工具，搜尋與韌體版本和處理器架構相符的客戶端套件。若需要 LuCI 管理頁面，確認也安裝對應的介面元件。安裝後依系統提示載入服務，不要將來源不明的二進位檔直接放進路由器。
- 填入服務端設定。依服務提供的資料建立 VPN 介面或匯入相容設定檔，仔細核對金鑰、憑證、端點、連接埠、允許位址與路由選項。設定檔包含憑證或金鑰時，應限制其存取權限，不要貼到公開討論區或截圖中。
- 先測試路由器本身。啟用連線後，查看介面狀態、系統日誌與服務端回應。確認隧道已建立，再從路由器或一台測試裝置檢查外部 IP 是否符合預期。若隧道狀態未建立，先處理認證、時間、端點可達性與協定設定，不要急著增加分流規則。
- 設定防火牆轉送。依實際介面建立 VPN 所需的防火牆區域及轉送關係，並檢查 LAN 到 VPN 的流量是否允許通過。若目標是斷線時避免指定流量改走一般 WAN，還要確認政策路由與防火牆有相應的失效處理；僅有一條 VPN 介面並不自動構成完整的防漏保護。
- 先選一台裝置測分流。若要依裝置分流，先用固定 DHCP 租約或其他穩定識別方式鎖定一台測試裝置，再套用規則。確認該裝置的流量走預期路徑，同時檢查其他裝置仍能按原設定上網。
- 檢查 DNS 與 IPv6。測試網域解析是否使用預期的 DNS 路徑，並確認 IPv6 流量是否也被納入規則。若只轉送 IPv4，裝置仍可能透過 IPv6 使用另一條出口；不確定如何處理時，先依路由器與服務的支援狀況制定明確策略，再逐項測試。
政策路由常由獨立套件或額外設定管理，規則可按來源位址、目的地或其他條件決定流量走向。這類功能不等同於多 WAN 負載平衡：多 WAN 工具處理的是多個外網連線如何選路，政策路由則用規則決定特定流量送往哪個路由表或介面。安裝與設定前，應查看目前 OpenWrt 版本支援的套件說明，避免讓彼此管理路由的服務互相覆寫規則。
- ✅ 先用單一測試裝置確認隧道與出口，再擴大套用範圍。
- ✅ 為需要固定分流的裝置設定穩定的區域網路位址。
- ✅ 檢查 DNS、IPv4 與 IPv6 是否都符合預定路徑。
- ✅ 測試 VPN 中斷後，指定流量會停止、直連還是切換到其他介面。
- ❌ 不要在未備份時一次改動多個防火牆區域與路由規則。
- ❌ 不要把訂閱網址、私鑰或憑證貼到公開的設定檢查服務。
分流、安全與日常維護
全屋共用設定最簡單，但不一定適合所有家庭裝置。電視、手機、電腦可能需要不同的網路路徑；本地印表機、智慧家電與路由器管理介面通常也應保留在區域網路的正常通訊範圍。設計規則時，先寫清楚哪些裝置或目的地需要 VPN，哪些必須直連，再按清單建立規則，避免只因為「連上隧道」就把所有流量都導入。
DNS 是容易被忽略的一環。VPN 通道已建立，不代表 DNS 查詢也一定經過相同通道；DNS 仍可能由路由器原有設定、用戶端自訂 DNS 或裝置上的加密 DNS 處理。若使用網域分流，DNS 回應、快取與規則更新時間也可能影響結果。排查時應分別檢查域名能否解析、解析出的位址是否合理，以及實際連線走的是哪個介面，不要只憑某個網站能否開啟就判斷整套設定正常。
安全方面，應定期檢查系統日誌和套件更新，避免從不明來源安裝管理元件。保留可用的原始設定備份，但備份檔可能包含帳號、私鑰或無線網路憑證，應放在受保護的位置。若更改密碼、撤銷憑證或重新產生服務端設定，也要同步更新路由器保存的資料，並確認舊設定不再被服務使用。
路由器端 VPN 會讓多台裝置共用同一套轉送與加密資源，實際效能受路由器處理能力、韌體、協定、加密方式和家用網路狀況影響。若連線後速度下降或路由器負載增加，先確認是否所有裝置都需要經過 VPN，再縮小規則範圍並觀察結果。不要把單次速度變化直接歸因於協定或服務；同一條線路在不同時間、不同網路環境下也可能有差異。
故障復原與常見問題
如果套用設定後所有裝置都無法上網，先不要連續重啟或刪除套件。使用有線裝置重新登入管理介面，查看 WAN 是否仍取得連線、LAN 是否仍可通訊，再檢查 VPN 介面狀態與系統日誌。若只有套用分流的裝置受影響，暫時停用相關規則；若所有裝置同時受影響，則優先檢查防火牆轉送、預設路由與 DNS。確認問題定位後，再從備份還原最後一項已知正常的設定。
一般訂閱連結可以直接匯入 OpenWrt 嗎？
不一定。訂閱格式通常是為特定用戶端或設定管理工具設計，OpenWrt 的管理介面未必能解析。應確認路由器套件支援的格式，以及服務端是否提供相應設定；不要為了轉換而把含權杖的連結交給不可信的第三方。
可以只讓電視或某一台手機使用 VPN 嗎？
通常可以透過政策路由按裝置或來源位址套用規則，但具體能力取決於韌體與套件。裝置若經常更換區域網路位址，規則可能指向錯誤對象，因此應先設定穩定的位址，再用單一裝置驗證路徑。
VPN 斷線時，家中裝置會自動改走一般網路嗎？
這取決於路由表、防火牆與政策路由的失效處理方式，不能只從 VPN 介面是否存在判斷。應在可控情況下測試中斷後的行為；若特定流量不得直連，就需要明確的阻擋或失效切換規則，並確認 IPv4 與 IPv6 都納入考量。
設定後無法登入路由器，該怎麼辦？
先嘗試有線連線與已確認的管理位址，並檢查裝置是否仍在原有區域網路。如果防火牆或網路介面設定使管理頁面不可達，依該型號與 OpenWrt 版本的官方復原方式操作；只有在確認一般復原途徑不可用時，才考慮重設並載入先前備份。重設前不要忽略備份中可能包含的敏感憑證。
- ✅ 變更前備份，並保留一種可重新連入管理介面的方式。
- ✅ 依序測試隧道、路由、防火牆、DNS 與分流規則。
- ❌ 不要把「VPN 已連線」當成 DNS 與所有裝置都已按預期轉送。