路由器 VPN 推薦不能只看裝置能否安裝外掛。真正需要比較的是處理效能、網路拓撲、協定支援、分流精準度與後續維護。全屋方案將代理入口放在閘道，電視、遊戲裝置、電腦與其他終端不必逐台匯入訂閱；代價是任何規則錯誤都可能影響整個區域網路。
路由器接管流量，也不代表所有連線都會自動取得理想線路。家用寬頻到入口節點仍會經過本地電信商網路，入口之後採直連、中轉或 IEPL 專線，則取決於服務端的線路設計。購買硬體前，應先確認哪些裝置需要加速、哪些網站應維持直連，以及發生故障時是否有人能進入後台排查。
先判斷：全屋加速是否真的適合
全屋部署最明顯的價值，是涵蓋不方便安裝用戶端的終端。電視系統、遊戲裝置、訪客裝置與部分封閉式系統只要正常連入區域網路，即可由閘道決定流量去向。家庭成員不必分別維護訂閱連結，也不必每次切換網路後重新選擇節點。
但閘道方案會集中管理責任。路由規則寫錯，可能導致中國大陸網站繞行、區域網路裝置無法互通、串流服務判定地區異常，或某些應用程式能開啟而其他應用程式持續逾時。終端用戶端出問題時，通常只影響目前裝置；路由器出問題時，影響範圍則會擴大到整個網路。
- ✅ 適合：家中有較多不方便安裝用戶端的終端，希望連上網路後自動套用既定分流。
- ✅ 適合：能保留原有路由設定，並願意定期檢查訂閱、規則與代理核心狀態。
- ✅ 適合：需求相對固定，例如指定終端使用代理，其餘終端維持直連。
- ❌ 不適合：只在單一電腦上偶爾使用，終端用戶端已能滿足需求。
- ❌ 不適合：經常攜帶裝置離開家庭網路，仍需在外部網路單獨連線。
- ❌ 不適合：無法接受維護閘道，或斷網後沒有可用的直連回復方式。
全屋方案解決的是涵蓋範圍與統一管理，不會自動提升節點品質。終端較少、行動使用較多時，原生用戶端通常更直接；封閉式終端較多、分流需求穩定時，路由器層級更有價值。
軟路由、刷機路由與旁路由怎麼選
常見做法可歸納為軟路由、刷機路由與旁路由。三者都能執行代理核心，但對現有網路的改動程度不同。硬體效能只是其中一項，網路埠配置、無線能力、韌體更新方式與復原難度同樣需要考量。
| 方案 | 網路位置 | 主要優點 | 主要成本 | 適用情境 |
|---|---|---|---|---|
| 軟路由 | 通常作為主要閘道，後方連接無線存取設備 | 處理餘裕較充足，外掛、規則與日誌管理更完整 | 需要另外安排無線涵蓋，安裝與維護門檻較高 | 希望長期執行複雜分流，並能管理網路拓撲 |
| 刷機路由 | 直接替換現有主路由韌體 | 設備集中、佈線簡單，需要額外投入的硬體較少 | 受處理器、記憶體、儲存空間與韌體相容性限制 | 規則較簡單，既有型號獲得韌體明確支援 |
| 旁路由 | 與主路由並存，接管指定終端或指定流量 | 保留原有撥號與無線設定，方便逐步遷移 | 閘道、DNS、回程與 DHCP 設定較容易互相影響 | 不想立即更換主路由，需要先小範圍驗證 |
軟路由：規則複雜時更從容
軟路由通常使用通用處理器執行 OpenWrt、類 Unix 路由系統或虛擬化環境。它適合同時處理透明代理、策略路由、DNS 分流與多個區域網路區域。代理核心升級、日誌檢視與設定備份也更方便。不過，軟路由本身未必能提供理想的無線涵蓋，常見做法是讓獨立無線設備只負責存取功能。
刷機路由：簡潔，但必須核對硬體
刷機路由將撥號、無線、交換與代理集中在同一台設備中，結構直觀。問題在於家用路由器的處理器架構、可用儲存空間與散熱條件差異很大。即使韌體能夠啟動，也不代表執行 Hysteria2、TUIC 或複雜規則時仍有足夠餘裕。選擇前應核對具體硬體版本，而不是只看相同的產品名稱。
旁路由：改動較小，拓撲更難說明
旁路由適合保留現有主路由，透過手動閘道、DHCP 下發或策略路由，讓指定終端經過代理。它的風險不在代理核心本身，而在於資料去程與回程不一致。主路由、旁路由同時提供 DHCP 或 DNS 時，也可能出現終端偶爾取得不同設定的情況。部署前必須明確誰負責位址分配、誰是預設閘道、誰回應 DNS 查詢。
效能瓶頸不只取決於寬頻
路由器處理加密代理時，需要完成連線追蹤、協定封裝、規則比對與資料轉送。測速低於預期不一定是節點頻寬不足，也可能是處理器使用率過高、硬體加速與透明代理衝突、UDP 轉送異常，或無線鏈路本身已成為瓶頸。
部分路由韌體的硬體流量加速只適用於一般 NAT。啟用透明代理後，資料需要進入軟體規則鏈，硬體加速可能失效；若強行同時開啟，也可能出現部分連線繞過策略。判斷時應先在有線終端建立直連基準，再啟用代理重新測試，並觀察路由器負載與代理核心日誌，而不是只更換節點。
協定選擇也會影響資源需求。Shadowsocks 實作成熟，設定相對簡潔；VMess 與 VLESS 常見於 Xray 生態系，具體傳輸方式由服務端設定決定；Trojan 通常搭配 TLS；Hysteria2 與 TUIC 基於 QUIC，更依賴正確的 UDP 轉送、系統時間與憑證驗證。路由端核心版本必須支援訂閱提供的協定與傳輸參數，名稱相同不代表舊核心一定能夠匯入。
直連、中轉與 IEPL 專線的差異
線路類型描述的是入口節點之後的傳輸安排，而不是路由器型號。直連通常表示家庭網路直接連到目標地區的節點，路徑較容易受公網路由影響。中轉線路會先連線至較近的入口，再由服務商網路轉送至出口，方便調整入口與出口之間的路徑。IEPL 專線則在服務商管理的鏈路區段使用專線資源，但家庭寬頻到入口的最後一段仍然存在。
因此，同一個訂閱在終端用戶端上正常，換到路由器後變慢，不能直接歸因於線路類型。應先檢查路由器是否使用相同節點、相同協定、相同分流目標與相同 DNS 策略。部分用戶端會自動選擇可用的傳輸參數，路由外掛則可能保留舊設定；訂閱更新後沒有重新載入，也會造成兩端結果不同。
| 觀察現象 | 優先檢查 | 常見原因 |
|---|---|---|
| 所有網站都變慢 | 預設路由、處理器負載、是否使用全域代理 | 中國大陸流量被不必要地繞行，或閘道處理能力不足 |
| 網頁可用，即時應用程式異常 | UDP 轉送、MTU、協定支援 | 規則只處理 TCP，或鏈路分片與傳輸參數不相符 |
| 同一節點在終端上正常 | 核心版本、訂閱更新時間、DNS 策略 | 路由端設定較舊，或兩端解析結果不同 |
| 區域網路裝置無法存取 | 私有位址繞過規則、回程路由 | 透明代理接管了區域網路流量，或旁路由路徑不對稱 |
分流規則與 DNS 洩漏要一併設計
全域代理最容易設定，卻往往不是家庭網路的理想狀態。中國大陸網站、區域網路位址、印表機與儲存設備通常應維持直連；需要國際線路的網域或目標位址，再交由代理處理。規則可以依網域、IP、終端位址或網路區域比對，但比對依據必須與 DNS 解析鏈路一致。
DNS 洩漏不只是「查詢送給誰」的問題，也會影響分流判斷。如果網域由本地解析器取得一個結果，而代理端依另一套結果連線，可能造成區域判定不一致。較穩妥的設計是讓路由器統一接收一般 DNS 查詢，再依規則選擇本地或遠端解析，並確保解析結果與對應流量採用相同策略。
只重新導向傳統 DNS 埠並不能涵蓋所有情況。瀏覽器或應用程式可能啟用加密 DNS，自行連線至 DoH 或 DoT 服務；這類連線看起來只是一般加密流量。若家庭網路要求統一策略，應在終端與路由器兩端協調設定，而不是假設閘道能識別所有應用程式內部行為。
IPv6 也需要個別檢查。若代理規則只涵蓋 IPv4，支援 IPv6 的終端可能直接透過另一個協定堆疊存取目標，表現為出口位址不一致或部分網域繞過分流。無法完整處理 IPv6 時，應明確關閉相關通告或補齊規則，避免網路處於一半代理、一半直連的狀態。
- ✅ 為區域網路私有位址設定直連，保留列印、投放與儲存存取。
- ✅ 讓 DNS 解析策略與流量分流策略保持一致。
- ✅ 分別驗證 TCP、UDP、IPv4 與 IPv6 的實際路徑。
- ✅ 為需要特殊策略的終端固定區域網路位址，避免規則物件變動。
- ❌ 不要直接匯入來源不明的大型規則集，規則衝突會增加排查難度。
- ❌ 不要把所有解析失敗都歸因於節點，先確認 DNS 服務是否正常回應。
從訂閱匯入到驗證的部署順序
部署時應保留一條不經過代理的管理路徑，並提前匯出原有路由設定。以下順序的重點不是追求一次完成，而是每完成一個環節就驗證一次。如此發生故障時，才能判斷問題出在基礎網路、代理核心、分流規則還是 DNS。
確認基礎網路
先讓主路由或軟路由在未啟用代理的狀態下完成撥號、位址分配與區域網路存取。檢查有線與無線終端是否能正常取得閘道與 DNS，確認管理頁面可存取。旁路由方案還要確認主路由到旁路由的回程路徑穩定。
安裝相容的代理核心
根據訂閱實際包含的協定選擇核心。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 對核心版本及元件的要求不同，不應將某個節點手動改成另一種協定。若韌體外掛長期未更新，繼續匯入新格式訂閱可能出現欄位遺失或啟動失敗。
匯入訂閱並只啟用基礎規則
首次匯入後，先選擇明確可用的節點，只設定區域網路直連與必要目標使用代理。不要同時加入大量規則、負載平衡與自動切換。訂閱更新應由路由器本機完成，並檢查更新後的節點名稱、協定與埠是否正確讀取。
設定 DNS 與透明代理
決定由哪個元件監聽區域網路 DNS，並避免主路由、旁路由與代理外掛重複搶占。透明代理需要同時考量 TCP 與 UDP，且應排除路由器自身管理位址、區域網路網段與必要的基礎服務。修改後先測試網域解析，再測試實際連線。
驗證出口與回復
分別存取應直連與應使用代理的目標，核對出口位址與 DNS 解析來源是否符合規則。接著暫停代理核心，確認網路能否依預設方式回到直連。若停用外掛後全屋斷網，表示預設路由或 DNS 仍依賴代理元件，回復設計尚未完成。
各平台用戶端與路由器方案的界線
Windows 與 macOS 用戶端通常更容易檢視連線日誌、切換節點與套用系統代理，也能在離開家庭網路後繼續使用。Android 與 iOS 用戶端透過系統提供的網路介面建立連線，能感知網路切換，但會受到系統背景策略與應用程式權限影響。路由器無法取代這些外出情境。
終端用戶端還能進行更細緻的應用程式層級分流。路由器看到的主要是位址、網域、埠與終端身分，通常不知道某條加密連線屬於哪個應用程式。若同一台裝置上的工作軟體需要直連、瀏覽器需要代理，終端用戶端往往比閘道規則更精準。
路由器則更適合電視、遊戲裝置與不提供代理設定的系統。實際使用不必在兩者之間完全二選一：家庭網路可以負責基礎網域分流，個別電腦保留用戶端處理臨時節點與應用程式層級規則。但應避免終端通道與路由透明代理重複套用，否則路徑會變長，排查也更困難。
優先考量穩定與低維護，可從終端用戶端開始；需要涵蓋封閉式終端，可先用旁路由小範圍接管；確認規則長期穩定後，再考慮以軟路由作為主閘道。刷機路由適合硬體相容性明確、規則較輕量的環境，不宜只因設備能安裝外掛就直接替換主網路。
常見故障的排查順序
故障排查應從網路底層逐步往代理上層進行。先確認終端取得正確的位址、閘道與 DNS，再確認路由器本身能夠直連網路，接著查看代理核心是否啟動、訂閱是否有效、節點協定是否受到支援。最後才檢查規則比對與特定網站行為。
若只有個別網域失敗，可以暫時比較本地解析與遠端解析結果，並檢查該網域命中了哪條規則。若所有節點都失敗，應優先查看系統時間、憑證驗證、埠衝突、核心日誌與 UDP 狀態。若重啟後短暫恢復，還需觀察記憶體使用量、日誌寫入與定時訂閱更新是否造成程序退出。
旁路由環境出現間歇性問題時，重點檢查 DHCP 是否由多台設備同時提供、終端預設閘道是否發生變化，以及回程是否繞過旁路由。區域網路存取異常時，應核對私有位址是否被錯誤送入透明代理。任何排查都應一次只修改一個變數，修改後保留結果紀錄。
路由器 VPN 推薦的最終選擇，取決於網路職責是否清晰。軟路由提供更大的規則與效能餘裕，刷機路由減少設備數量，旁路由方便保留原有網路；沒有任何一種方案能同時消除效能、拓撲與維護成本。