为 VPN 选购路由器？把固件与硬件一起记录

包装盒正面印着型号名称，而底部标签上写着硬件版本，这两者并不是同一件事。固件映像是针对硬件版本构建的，而不是针对营销名称构建的；你需要的 VPN 角色可能取决于只适配某一个发行版的软件包。从把路由器列入候选的那一刻起，就把它当作硬件与固件的组合体来看待。否则，第一次成功的刷机就会成为所有权问题的开端。

型号名称并不是你收到的设备

记录型号、硬件版本和区域变体，而不是卖家简写的标题。社区硬件表会区分同一产品的不同版本，为某个版本构建的映像可能会让另一个版本变砖。区域变体有时在闪存容量或射频配置上有所不同，这会改变什么能装得下。如果商品页面没有展示标签，购买前先拍下标签照片。名称相同但版本更旧的二手设备，是不同的购买对象。

如果付款前无法确认硬件版本，在设备到货之前，应把它视为不支持你的方案。

两个软件所有者，两条升级路径

要把厂商固件与社区项目的构建区分开来。兼容性列表上的项目名称，并不会让所有映像都可以互换，也不会让厂商的升级流程适用。请从发布该设备的项目处，获取这个确切设备受支持的映像和维护指引。

厂商的插件页面可能比看上去更狭窄。一份允许管理软件包的指南，可能仍然禁止从同一个页面更新预装插件。应遵循固件所有者支持的流程，而不是把一刀切的软件包升级当成经过测试的固件更新。

在确定采用某个发行版之前，先确认它仍在维护。一个能干净安装但不再收到修复的映像，会让你自己维护 VPN 软件栈的一个分支。还要确认恢复方法在你的硬件版本上有效：串口控制台、TFTP 或厂商工具，以及确切的步骤。把这些步骤写进采购记录，因为你需要它们的那一刻，正是你无法再查阅它们的时刻。

检查 VPN 角色，而不是缩写清单

客户端、服务器，还是两者兼有：在比较设备之前，先确定部署需要哪一种。VPN 透传不是 VPN 服务器，而一台列出所有协议的设备，可能只为它后面的客户端转发流量。

然后检查你实际会用到的配置文件和认证功能。某个必需的加密算法、认证插件或路由功能，可能是厂商映像省略掉的构建选项。闪存和内存必须能容纳所选发行版再加上这些软件包，并为配置和后续维护留出余量。一个能装下的最小基础映像，并不能证明它能承担 VPN 负载。

兼容性之后测试性能，然后记录下来

性能排在兼容性之后，而且必须针对预期的构建和配置文件进行测量。CPU 频率、以太网速率和 Wi-Fi 营销速度，都不是加密吞吐量数字。通过隧道跑一次你自己的传输，并留出余量，因为一台勉强能承载孤立测试的设备，撑不起一个家庭或一间小型办公室。如果数字接近极限，就换一台设备，而不是围着它调优。

在刷任何东西之前，先确认该确切硬件版本受支持的恢复路径，并保留一份工作配置的受保护副本。这是一份采购清单，不是给类似型号刷映像的许可。

最后，把硬件版本和软件通道归档到部署记录旁边。这样，下一次维护决策就从一台已识别的系统开始，而不是从一个型号系列开始；下一个接触它的人，也不必重新弄清正在运行的是哪个构建。