VPN 用的 4G 路由器：先查清三个兼容层次

一台路由器可能有 SIM 插槽、Wi-Fi 射频和 VPN 菜单，却仍然不适合你规划的那条连接。这三项能力由不同的人用不同的证据来评估。蜂窝兼容性是调制解调器与频段的问题，移动服务是运营商与套餐的问题，而隧道则是角色与策略的问题。在规格表上比较路由器会把三者并成一栏，这正是那种比较容易误导人的原因。

三个层次，三种不同的失败

有用的比较会把三者分开，并追问你的设计真正依赖哪一层。向外发起的客户端、向内接收的服务器，以及站点之间的端点，是对同一台硬件的三种不同要求。

在把任何设备放进候选名单之前先说出角色，因为角色决定了三层之中哪一层可以否决一台设备。

第一层：确切可下单的版本

从确切可下单的型号代码开始，而不是从系列名称开始。Teltonika 的产品标签文档就是个好例子：同一系列里不同代码可能意味着不同的 LTE 频段、不同的固件和不同的配件。标签解释的是该核对什么，而不是该买哪台路由器，这个区别正是这一层的全部意义。

要确认包装箱里确实装着你需要的调制解调器，而不是只接受脚注里一句“可选 USB 调制解调器”。解锁标签同样不能回答所有运营商兼容性问题，因为认证和频段支持是两件独立的事实。

如果证据里没有同时写明地区和运营商，这一层就还没有核实。

第二层：SIM 卡真正给你的东西

能跑通的移动数据会话只证明 APN 可用，仅此而已。套餐和 APN 决定你拿到的是公网地址，还是与运营商共享的方案，而这个决定会改变路由器能做什么。运营商的共享地址空间不是用户自己拥有的公网 IPv4 条目，因此入站服务无法像在专线上那样被访问。

如果路由器必须接受未经请求的 VPN 连接，就要确认可达的入口以及运营商支持的过滤策略。路由器上的本地端口转发无法配置上游运营商的 NAT，菜单叫什么名字都一样。

经批准的转接，或者由路由器主动向可达对端发起的隧道，是另一种架构，而不是绕行办法。请把它当作架构来比较。

第三层：你需要的隧道角色

对于向外发起的客户端，公网静态 IPv4 地址并非到处都必须，所以上面的入站分析不适用于每一种设计。仍然必须成立的是对端、所选传输方式、路由，以及通过你实际拿到的服务所表现出的恢复行为。这四项都可以在部署前测试，而且每一项失败的方式都不同。

按将要承担的角色来比较候选设备：客户端、服务器，或两者兼有。作为客户端很出色的设备，作为服务器可能是错误选择，差别通常出现在入站路径上，而不是 VPN 的实现上。

把配置文件、认证方式，以及路由器后方设备的策略放进同一个比较里，因为它们随角色一起走。

速度标称值没有告诉你的

LTE 等级和 Wi-Fi 速率都不是隧道吞吐量的测量值。无线环境和网关处理都会限制结果，而且当下游有多台设备同时活动时，这个上限还会移动。用这两个数字拼出的比较表，排出的顺序经不起真实负载的检验。用你预期的流量组合去测隧道，或者明确说明你没有测过。

然后补上决定部署能否活下去的运维项：SIM 服务、天线与配件、固件升级路径，以及在移动接入中断时本地管理网关的办法。

把维护完全依赖在设备本该修好的那条连接上，正是设计时必须排除的故障模式。保留控制台或本地管理路径，并据此比较路由器是否允许这样做。