导入 VPN 配置文件前先确认路由器的客户端角色

带有 VPN 标识的规格页面只说明这台设备能和 VPN 打交道，并不说明该固件能作为客户端去连接你手上这份文件里的协议。二者是要求不同的两种能力，而大多数这类采购正是在这段落差里出错的。先看角色，再看品牌。

四项检查能把功能清单变成答案。

VPN 标识不等于能力声明

路由器宣称的 VPN 支持至少有三种含义：转发其他设备的流量（透传）、接受入站隧道的服务器，以及发起出站隧道的客户端。只有第三种才会用到你下载的配置。尤其是 IPsec 透传，它是 NAT 辅助而非端点，甚至出现在根本无法终结或发起 IPsec 的设备上。

先问这份文件需要哪种角色，再问设备上的固件版本是否具备该角色。

按你实际运行的固件读功能清单

型号名并不是固件版本，为上一个主版本写的指南描述的功能集也不同。在 OpenWrt 上，这个问题可以直接在 shell 里回答：opkg list-installed | grep -E "openvpn|wireguard" 会显示客户端软件包是否存在，而 WireGuard 内核模块与用户态工具是分开的。在厂商设备上，应阅读已安装版本的发行说明，而不是型号的宣传页面。

如果该能力以软件包形式提供，要确认它已安装，而不只是仓库里可用。

让配置格式与导入器匹配

OpenVPN 配置是一种指令语言。WireGuard 对端文件是带有私钥和允许 IP 列表的 INI 文件。IKEv2 凭据则是证书，或者用户名加服务器身份。只接受其中一种的路由器表单不会翻译其余几种；声称什么都能导入的按钮值得怀疑。

打开文件读前十行。在任何菜单之前，它就能告诉你需要哪种导入器。

检查配置真正用到的选项

支持该协议不等于支持你的配置。要看承载安全属性的那些指令：内嵌证书、tls-crypt 或 tls-auth、加密算法与数据加密算法的选择、压缩，以及脚本钩子。路由器实现可能接受文件却静默忽略它未实现的指令，结果隧道虽然连上，行为却和笔记本上的不一样。

危险的结果不是导入被拒绝，而是导入被接受却悄悄漏掉了东西。

测试策略，而不只是握手

先决定这条连接要承载什么：一个网段还是所有设备、用哪个 DNS 解析器、IPv6 是否进入隧道、隧道断开时怎么办。这些是与建立连接不同的功能，也正是路由器与桌面客户端差别最大的地方。测试期间要保持本地管理可达，否则第一次路由失误就会让你失去物理接触。

握手完成只是验证的开始。向真实目的地发送真实流量，并检查回程路径。