路由器 VPN 怎麼選，關鍵不在於把訂閱連結塞進路由器，而在於由誰負責轉送、哪些流量需要進入代理，以及 DNS 請求由誰解析。家庭網路中的電視、遊戲主機和智慧裝置通常無法安裝通用客戶端，把線路能力放到閘道上確實省事；但閘道一旦設定不當，所有裝置也會同時受到影響。
本次比較不以單次測速作為結論。瞬時頻寬容易受無線訊號、出口負載和目標伺服器影響，更值得觀察的是持續連線、規則命中、DNS 路徑、裝置相容性與故障復原。實測涵蓋網頁、串流影音、長連線、軟體更新及區域網路裝置互訪，重點記錄哪種架構較容易維護。
先看家庭網路中的三個決策重點
選擇方案前，先釐清網路路徑。入戶網路連接主路由，主路由負責位址分配、無線連線和預設閘道。代理程式可以執行在主路由，也可以執行在獨立的旁路閘道，或只執行於支援安裝客戶端的終端裝置。放置位置不同，影響範圍與維護方式也不同。
處理能力是否足夠
加密、解密、協定封裝和規則比對都會消耗處理資源。家用路由器的轉送能力很強，不代表執行代理核心時也有相同表現。啟用複雜規則、記錄檔和多個協定後，處理器可能先成為瓶頸。此時繼續更換線路通常沒有幫助，因為限制發生在家庭網路內。
判斷方法不能只看無線連線速度。可在同一條線路下比較路由器轉送與桌面客戶端直連：如果桌面端穩定，而路由器端持續出現高負載、管理頁面反應遲緩或反覆重建連線，問題更可能出在閘道效能或外掛設定。
規則由誰維護
全屋加速不等於所有流量都走同一個出口。本地網站、家庭儲存、列印裝置和區域網路控制通常應保持直連；需要指定出口地區的服務再交給代理。規則需要同時辨識網域、目標位址和區域網路網段，只靠一張靜態網域清單很難長期涵蓋變化。
發生故障時能否快速恢復直連
主路由承載整個家庭網路時，設定錯誤會擴大影響範圍。旁路閘道與裝置端客戶端較容易繞過：修改預設閘道、停用代理或切回原本的網路即可。沒有清楚退路的設定，不適合用在經常遠端工作或依賴智慧裝置的家庭網路。
實測比較：主路由、旁路閘道與裝置端
| 方案 | 涵蓋範圍 | 主要優點 | 主要代價 | 適用族群 |
|---|---|---|---|---|
| 主路由執行代理 | 預設可涵蓋接入網路的裝置 | 入口統一，裝置端不必安裝客戶端 | 效能與故障集中，修改設定會影響全屋 | 熟悉路由韌體且具備復原手段的使用者 |
| 旁路閘道分流 | 可依裝置或網路分組涵蓋 | 與主路由職責分開，調整規則較有彈性 | 閘道與 DNS 路徑較複雜，需要理解網路拓撲 | 裝置較多、希望精細分流的家庭 |
| 裝置端客戶端 | 只涵蓋已安裝並啟用客戶端的裝置 | 協定支援完整，問題容易定位 | 電視、遊戲主機與部分智慧裝置無法直接使用 | 終端裝置集中、重視獨立控制的使用者 |
主路由方案：入口簡單，風險集中
主路由方案的體驗最接近「設定一次，全屋使用」。代理外掛接管轉送後，可依裝置、網域或目標位址選擇直連與代理。電視和遊戲主機不必理解訂閱，也不需要單獨讓客戶端常駐。
實測中，這種方案最明顯的優點是路徑清楚：終端裝置將流量交給預設閘道，主路由完成分流。但它也最怕規則錯誤與資源不足。代理核心異常時，管理頁面可能仍可開啟，外部連線卻全部失敗；DNS 設定錯誤時，還會出現網頁時好時壞、應用程式能連線但網域無法開啟的情況。
主路由韌體還必須與服務使用的協定相容。OpenVPN 與 WireGuard 常見於原廠韌體，但 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 往往需要額外外掛。外掛顯示「支援訂閱」也不代表能辨識訂閱中的所有欄位。傳輸層、安全層、伺服器名稱和憑證驗證參數缺失，都可能導致節點匯入後無法連線。
旁路閘道方案：職責分開，排錯要求更高
旁路閘道通常是一台獨立裝置，負責代理與策略路由，原本的主路由繼續管理無線網路和位址分配。它的價值不在「旁路」這個名稱，而是將容易變動的線路規則與穩定的家庭接入拆開。代理服務停止時，主路由仍可提供基本網路，復原路徑也更明確。
旁路架構最常見的問題是閘道與 DNS 不一致。終端裝置可能將資料交給旁路閘道，卻仍向主路由或電信業者的解析器送出 DNS 請求。結果是網域判斷與實際出口脫節，分流規則也可能失效。另一種情況是資料先經過旁路閘道，又被錯誤送回原本的閘道，形成迴圈或重複轉送。
因此，旁路閘道適合願意記錄網路拓撲的人。至少要知道哪台裝置分配位址、哪台裝置是預設閘道、DNS 指向哪裡，以及旁路裝置停止後如何復原。只照著螢幕截圖填寫位址，卻不了解資料路徑，後續很難定位故障。
裝置端方案：控制最細，不是真正的全屋涵蓋
Windows、macOS、Linux、Android 與 iOS 上的客戶端通常具備更完整的協定支援，也更容易更新代理核心。裝置端可以個別選擇線路、切換全域或規則模式，並查看連線記錄。遇到問題時，只需檢查目前的終端裝置，不會影響其他家庭成員。
代價是涵蓋不完整。電視、遊戲主機、音箱與其他智慧裝置未必能安裝客戶端。如果這些裝置也需要指定出口，就得繼續依賴閘道，或讓支援網路分享的終端裝置暫時轉送。裝置端方案更適合工作電腦和個人終端，不適合作為唯一的全屋方案。
協定與訂閱連結如何影響路由器選擇
訂閱連結不是一條固定線路，而是一組由服務端維護的節點設定集合。客戶端取得訂閱後，會解析節點位址、連接埠、協定、傳輸參數與名稱。線路調整時，更新訂閱即可同步設定。將訂閱連結轉交他人，等同交出連線憑證，因此應像帳號金鑰一樣妥善保管。
匯入前先確認路由器外掛支援服務使用的協定。Shadowsocks 結構相對直接，相容範圍通常較廣；VMess 與 VLESS 常和不同傳輸方式組合；Trojan 依賴正確的 TLS 參數；Hysteria2 與 TUIC 以 UDP 為主要傳輸基礎，對外掛核心、網路環境和服務端設定都有要求。不能只看協定名稱，還要確認客戶端核心是否支援訂閱中的完整組合。
| 檢查項目 | 需要確認的內容 | 不相容時的表現 |
|---|---|---|
| 協定核心 | 客戶端核心是否能辨識節點協定 | 節點無法匯入，或啟動後立即中斷 |
| 傳輸參數 | 傳輸方式、伺服器名稱與路徑是否完整 | 能解析節點，但握手失敗 |
| UDP 轉送 | 韌體、外掛與上游網路是否允許所需流量 | 網頁可用，但遊戲或即時通訊異常 |
| 訂閱更新 | 能否手動更新並保留本地分流規則 | 線路變更後仍連線至舊設定 |
| 記錄檔資訊 | 是否能查看解析、握手與路由錯誤 | 故障只能靠反覆切換來猜測 |
IEPL 專線、中轉和直連描述的是線路路徑，而不是終端協定。直連線路由客戶端直接存取伺服器，路徑較短，但更依賴本地到目標網路的品質。中轉線路先進入中轉入口，再轉往出口，方便最佳化部分網路路徑。IEPL 專線強調入口與出口之間使用專用承載鏈路，通常用於降低公網路徑波動。最終體驗仍會受到家庭網路、入口位置、出口負載與目標服務影響，不能只憑線路標籤判斷。
路由器負責將家庭流量送入所選線路。若處理器效能不足、DNS 路徑錯誤或規則命中不準，即使線路本身正常，終端體驗也不會穩定。因此，選擇線路與選擇閘道需要分開驗證。
分流規則與 DNS 洩漏怎麼處理
分流的目標是讓需要特定出口的連線進入代理，其餘連線保持直連。常見判斷條件包括網域、目標位址、來源裝置和應用程式類型。在家庭環境中，來源裝置規則很實用：可以讓電視使用指定線路，讓辦公電腦依網域判斷，讓智慧裝置保持直連。
網域規則不能只處理最初存取的主網域。網頁、圖片、影片、登入和更新可能來自不同網域。主頁進入代理但資源網域直連，會出現頁面能開啟、圖片無法載入或播放失敗的情況。反過來，將過寬的網域範圍全部代理，也可能讓本地服務繞遠路。
DNS 洩漏是指網域查詢沒有依預期路徑處理，使解析方與實際出口不一致。這裡的風險不只是隱私，也包括解析結果錯誤。某些服務會依查詢來源回傳不同位址，如果 DNS 從本地送出，而連線從遠端出口發出，可能取得不適合該出口的結果。
- ✅ 確認終端裝置的預設閘道指向預期設備，避免資料繞過分流閘道。
- ✅ 確認 DNS 請求由同一套策略處理，網域判斷與連線出口保持一致。
- ✅ 為家庭儲存、列印裝置和路由器管理位址保留區域網路直連規則。
- ✅ 更新訂閱後檢查預設線路，避免節點名稱變更導致規則失去目標。
- ✅ 修改規則前儲存可復原的設定，並記錄原本的閘道與 DNS 設定。
- ❌ 不要將訂閱連結貼到公開的排錯頁面，也不要用螢幕截圖公開完整連線資訊。
- ❌ 不要同時讓多個閘道爭用同一終端裝置的預設路由。
部分客戶端支援「遠端 DNS」、「代理 DNS」或依規則選擇解析器，具體名稱會因平台而異。判斷是否正確時，不要只看開關是否開啟，應觀察查詢請求最後由誰發出、解析結果是否符合出口，以及直連網域是否仍能正常存取本地資源。
各平台客戶端與路由器外掛的差異
桌面客戶端通常提供系統代理、虛擬網卡與分流模式。系統代理主要影響遵循代理設定的應用程式；虛擬網卡模式可接管更廣泛的網路流量，但需要正確處理本地網段和 DNS。Linux 環境還可能直接使用路由表、防火牆規則或容器執行代理核心，彈性高，設定責任也更大。
行動裝置系統對背景執行、虛擬網路介面和省電策略有自身限制。客戶端顯示已連線，不代表所有應用程式都使用相同路徑；分應用程式規則、區域網路存取權限和系統 DNS 行為都會影響結果。若家庭閘道已完成分流，行動裝置通常不必重複啟用客戶端。
路由器外掛則更重視裝置分組、存取控制、訂閱更新與透明轉送。它沒有終端應用程式的上下文，通常透過來源位址、目標位址和網域判斷流量。裝置位址若頻繁變動，依裝置設定的規則可能失效，因此應在主路由中為需要固定策略的裝置保留穩定租約。
不同平台匯入同一份訂閱後，顯示的節點數量和可用功能可能不同。原因通常是核心版本、協定支援或解析規則不同，不代表訂閱內容發生變化。遇到這種差異，應先比較客戶端核心與記錄檔，再判斷是否需要轉換訂閱格式。不要將訂閱交給來源不明的線上轉換頁面。
依使用情境選擇合適方案
電視與串流影音裝置較多
優先選擇旁路閘道或效能充足的主路由。電視端通常不適合維護複雜客戶端，依裝置分流更直接。設定時要一併考慮登入網域、內容分發網域與 DNS 路徑，並保留系統更新和本地投放所需的直連能力。
以遊戲主機與即時通訊為主
先確認 UDP 轉送、NAT 行為和線路路徑，再決定是否經過代理。遊戲體驗不只取決於頻寬，也會受到路徑穩定度和封包重傳影響。Hysteria2、TUIC 等協定使用 UDP 傳輸，不代表它們自動適合所有遊戲流量；代理協定與遊戲服務流量仍是兩個層次，需要實際驗證。
以遠端工作與開發裝置為主
優先選擇裝置端客戶端，必要時再為其他裝置增加旁路閘道。裝置端方便依專案切換出口，也容易查看記錄檔。企業內網客戶端、開發代理和家庭代理同時存在時，要明確設定路由優先順序，避免企業內網位址被家庭規則接管。
智慧裝置多，但很少需要國際線路
讓智慧裝置保持直連，只對明確需要的裝置啟用代理。將所有裝置統一送入遠端出口會增加不必要的依賴，也可能影響本地控制與裝置探索。全屋加速的價值在於集中管理，而不是強制所有流量走同一路徑。
部署前後的可執行檢查
正式接管家庭網路前，先用單一測試裝置完成驗證。確認訂閱能更新、節點能完成握手、直連與代理規則都依預期運作後，再逐步擴大涵蓋範圍。一次同時修改閘道、DNS、位址分配與無線設定，會讓故障來源難以區分。
- ✅ 記錄主路由、旁路閘道和測試裝置之間的連線關係。
- ✅ 在客戶端內直接驗證訂閱與線路，排除帳號或節點設定問題。
- ✅ 只修改測試裝置的閘道與 DNS，確認分流規則能夠命中。
- ✅ 測試本地管理頁面、家庭儲存與列印裝置是否仍可存取。
- ✅ 分別檢查網頁、影片、長連線與 UDP 應用程式，不要用單一測速取代完整驗證。
- ✅ 模擬代理核心停止，確認裝置能夠恢復直連或快速復原。
- ✅ 儲存穩定設定後，再將電視、遊戲主機與其他裝置分組接入。
排錯時應沿著資料路徑逐段檢查：終端裝置是否取得正確位址，預設閘道是否可達，DNS 是否回傳結果，規則是否命中，代理核心是否完成握手，遠端出口是否能存取目標服務。每次只改變一個條件，比反覆切換節點更容易找到原因。
如果所有線路在路由器上都很慢，而同一網路中的桌面客戶端正常，優先檢查路由器負載、硬體加速相容性與透明代理模式。如果只有網域連線失敗而直接位址可達，優先檢查 DNS。如果部分裝置正常、部分裝置繞過代理，檢查位址分配與裝置分組。如果本地裝置互訪失效，檢查區域網路網段是否被錯誤納入代理。
路由器 VPN 的最終選擇，應從維護能力反向推導。希望設定簡單且裝置不多，裝置端客戶端最穩妥；希望電視、遊戲主機和智慧裝置統一使用線路，旁路閘道較為均衡；希望所有功能集中在一台裝置，則需要為主路由準備明確的效能餘裕與復原路徑。先釐清網路路徑，再選擇協定和線路，通常比追逐熱門韌體更有效。