- 为什么选择在 DD-WRT 上跑 OpenVPN，而不是直接用桌面客户端？
- 先了解 OpenVPN 在路由器上运行的关键原理
- 从证书到路由：在 DD-WRT 上实现稳定连接的要点
- 性能优化清单（在 DD-WRT 上实操可显著提升吞吐）
- 常见问题与排查思路
- 实际案例：在低端路由器上压榨 OpenVPN 吞吐
- 未来趋势与工具选择
- 小结性提醒（要点回顾）
为什么选择在 DD-WRT 上跑 OpenVPN，而不是直接用桌面客户端？
把 OpenVPN 部署到家里的路由器上，可以把网络层面的翻墙、分流、DNS 劫持防护和设备统一管理集中到一台设备上。对于多终端家庭或小型办公环境，这种方式节省了每台设备配置的麻烦，并能实现按设备或按端口的精细路由策略。DD-WRT 作为流行的第三方固件，支持多种路由器并提供灵活的脚本与防火墙钩子，成为许多技术爱好者的首选。
先了解 OpenVPN 在路由器上运行的关键原理
TUN vs TAP：在路由器上常用的是 TUN（第3层路由），因为它效率更高、包头更小、适合路由和 NAT 场景；TAP（第2层桥接）用于需要局域网广播或某些特定协议的场合，但对性能和复杂度影响大。
加密与 CPU 关系：OpenVPN 的性能很大程度上受加密算法和路由器 CPU 能力影响。常见的对称加密（AES）在无硬件加速的设备上会成为瓶颈。选择支持 AES-NI 的设备或具备硬件加速的 SoC，可以显著提高吞吐。
协议选择 — UDP vs TCP：UDP 更适合 VPN 数据流，延迟低、对丢包恢复更友好；TCP-over-TCP 会引起性能退化，尤其在丢包或拥塞条件下。因此尽量用 UDP，除非必须穿透特定防火墙。
从证书到路由：在 DD-WRT 上实现稳定连接的要点
证书管理：不要把 CA、服务器证书和私钥随意放在路由器界面多个输入框内而不备份。建议在本地维护 PKI 的目录结构，并为路由器生成专用客户端证书，便于后续撤销或替换。此外，使用 Diffie-Hellman 或更现代的 ECDH 参数来保护密钥交换。
TLS 认证（tls-auth/tls-crypt）：启用静态 TLS 认证可以防止常见的端口扫描和 DoS 探测，提升安全性同时减轻服务器负载。tls-crypt 在保护控制通道隐私上更优，但两者都比没有要好。
路由策略与 NAT：决定是把所有流量通过 VPN（全局代理）还是仅部分流量（策略路由/分流）。在 DD-WRT 中通常通过 iptables 结合路由表（ip rule/ip route）或基于端口/IP 的 mark 来实现策略路由。注意：开启 NAT（MASQUERADE）时要确认防火墙和转发规则不会冲突。
性能优化清单（在 DD-WRT 上实操可显著提升吞吐）
1. 选择合适的加密套件：在保证安全的前提下，优先使用 AES-128-GCM 或 AES-256-GCM（如果硬件支持 AES-NI）；避免使用过重的散列（如 SHA-512）或过期的算法（如 Blowfish），这些会增加 CPU 负担。
2. 关闭或慎用压缩：LZO/LZ4 等压缩看似能提高带宽效率，但在已压缩或加密流量（例如网页/HTTPS）下收益有限，还可能引发 VORACLE 类漏洞。现代环境优先关闭压缩，或在可控场景下谨慎打开并限制为 LZ4。
3. MTU/MSS 调整：VPN 隧道会增加包头开销，若 MTU 设置不当会导致分片或丢包。通过降低 MTU（例如 1400 或更低，视具体情况）和启用 MSS clamping 可以减少分片，从而降低重传和延迟。
4. 使用 UDP 并调优 keepalive：UDP 提供更低延迟，但需要合理配置 keepalive/handshake 超时以应对临时丢包；过短会导致频繁重连，过长则影响故障检测。
5. 使用硬件加速与替代固件：在选择路由器时优先考虑 CPU 频率、AES 硬件支持、内存大小。若设备性能不足，考虑升级到支持更好加速或更新内核的固件，或直接使用性能更高的商用路由器/小型 x86 软路由。
6. 减少路由器额外负载：关闭不必要的服务（如 Samba/FTP/多余的 VPN 服务、日志等级过高）可以腾出 CPU 给 OpenVPN。启用日志轮转和限制日志级别，避免 I/O 阻塞。
常见问题与排查思路
连接但无法访问互联网：排查是否开启了 VPN 的默认路由或客户端配置是否忽略了 push routes。检查 iptables 的 MASQUERADE 是否作用在正确的接口上。
速度不稳定或大幅下降：先在路由器本地做基线测试（路由器到互联网的原始带宽），确认是否为 ISP 或服务器端问题。随后检查 CPU 使用率、加密算法、是否发生大量重传或分片。
DNS 泄露：即使流量走 VPN，DNS 仍可能被本地解析器劫持。确保 push 上游 DNS 或在路由器端强制拦截 DNS 请求并重定向到 VPN 内的 DNS。
实际案例：在低端路由器上压榨 OpenVPN 吞吐
场景：单核 800MHz 路由器，通过 OpenVPN-UDP 连接到海外服务器，期望稳定的 20Mbps。
做法概要：选择 AES-128-GCM，关闭压缩，MTU 调整到 1400，启用 tls-auth，减少日志，到服务器端关闭不必要的链路；在路由器端用 iptables 仅对需要代理的子网做 NAT，避免对局域网内高频通信做不必要的 VPN 转发。结果：稳定达到 18–22 Mbps，CPU 使用率稳定在 60% 左右，延迟控制在可接受范围。
未来趋势与工具选择
OpenVPN 仍然稳定可靠，但新一代 VPN 协议（如 WireGuard）在性能和代码体积上有明显优势，未来在路由器固件上会越来越普遍。目前如果以性能优先且能接受协议替换，建议关注 WireGuard 的生态；如果需要成熟的证书管理、复杂的策略或与现有 OpenVPN 基础设施兼容，则继续优化 OpenVPN 仍是合理选择。
小结性提醒（要点回顾）
在 DD-WRT 上跑 OpenVPN 的关键在于：选择合适的加密与协议、根据路由器硬件做针对性优化、正确配置路由与防火墙规则以及做好证书与 DNS 的安全策略。通过系统化排查与逐项优化，很多低成本路由器也能提供令人满意的 VPN 性能。
暂无评论内容