路由器 VPN 还是设备 VPN：各自覆盖什么

把隧道放在路由器上听起来更整洁，直到一台笔记本电脑离开家。设备上的应用听起来更简单，直到一台电视需要覆盖却无法运行它。两种安排回答的是不同问题。有用的比较在于流量从哪里进入隧道，而不在于哪一个更安全。

路由器扮演什么角色

路由器可以充当局域网内拨入者的 VPN 服务器，也可以作为客户端访问外部服务，或者两者兼有。这是带有各自配置页面的独立功能，单靠服务器不会把任何流量送往任何地方。只有当客户端配置了兼容的配置文件时，家庭浏览的出口才会改变。先读角色再读协议，能省下一个毫无意义的下午。

功能名称也不会让协议可以互换。一个标着 VPN 的菜单项，并不能告诉你对端期待什么。

流量从哪里进入隧道

路由器把自己的策略施加于经过其接口和规则所管辖的流量，因此访客 Wi-Fi、第二个网关或 IPv6 都可能与主网络表现不同。用公网地址检查来测试你打算覆盖的设备，而不是假定整个房子都被包含。流量在到达路由器之前也要经过本地网络，因此 Wi-Fi 安全和应用自身的 HTTPS 依然承担它们惯常的分量。隧道从网关开始，而不是从设备开始。

到了室外，情况完全改变，因为使用移动数据的手机根本不再位于那台路由器之后。咖啡馆 Wi-Fi 上的笔记本需要自己的客户端，如果需求跟随的是人而不是建筑。设备一旦离开，路由器所做的任何事都不会随设备一起移动。

决定大多数情形的是这个划分：固定设备的覆盖偏向路由器，而对人的覆盖偏向应用。任何混合两者的方案都需要两者，而两者都需要维护。

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

权衡维护与身份

路由器的设置把机密、固件更新和路由策略交给网关管理员，并且往往给每台被覆盖的设备一个共享身份。应用则给每台设备各自的登录、各自的日志和各自的配置文件，代价是管理更多客户端。当需要撤销某些东西时，共享身份与按设备身份是不同的方案。

处理能力也属于这里，因为服务多个用户的路由器可能远早于其 Wi-Fi 标称值所暗示的时间就达到极限。包装盒上的普通吞吐量数字不是隧道吞吐量数字。

还要决定隧道失效时应该发生什么。阻断流量和回落到普通连接都站得住脚，而 DNS 与防火墙配置必须与你选定的方案一致。

为中断做好准备

保留网关配置的安全备份，以及一条不依赖隧道在线的管理恢复途径。把你锁在自己路由器之外的策略，比它本要防止的泄漏更难处理。

由工作管理的设备可能仍要求其自己批准的客户端，无论家用路由器做什么。家用出口无法提供办公网络的访问，无论路由表怎么说。

把两种安排结合起来是可能的，有时也是正确的，但每增加一条路径就多一件要配置和诊断的事。OpenWrt 关于VPN 服务器与客户端角色的文档是让两者保持分离的有用参考。