如何设置VPN实现全流量加密防泄漏

凌晨两点，我盯着路由器后台那个不断跳动的“已连接设备”列表，心里一阵发毛。列表里除了我自己的手机、笔记本、电视盒子，还赫然躺着一个叫“ESP_XXXX”的陌生设备。我住的是老小区，宽带是从楼道弱电箱里拉进来的，天知道隔壁哪户人家或者哪个蹭网的邻居，正在通过我的网络做些什么。更让我后怕的是，就在前一天，我随手连了一下楼下咖啡店的免费Wi-Fi，给客户发了一份报价单，结果第二天就收到了精准的垃圾邮件，标题里赫然写着“报价单修改建议”。

那一刻我意识到，所谓的“网络安全”在裸奔的流量面前，就是个笑话。我需要的不是某个浏览器插件，也不是只保护网页流量的HTTPS，而是一张能把家里所有设备、所有流量——从手机App的后台刷新，到智能灯泡的固件更新，再到笔记本上的BT下载——全部打包塞进加密隧道的网。于是，便有了那个周五深夜到周六清晨的折腾。这篇文章，就是那次折腾的完整记录，以及我最终总结出的、能让任何人在家实现全流量加密防泄漏的实操方案。

为什么你现在的“加密”根本防不住泄漏？

很多人觉得自己上了HTTPS的网站，或者用了某款“安全浏览器”，流量就安全了。这是一个巨大的认知陷阱。HTTPS只加密了你和网站之间的那一小段，你的运营商、你连接的Wi-Fi提供者、甚至你楼道里那个被黑客攻破的路由器，依然能清楚地看到你访问了哪些域名、传输了多大的数据包、在什么时间点活跃。这就好比你把信封封好了，但信封上收件人地址、你的寄件地址、甚至邮票贴了几张，全被人看得一清二楚。

更致命的是DNS查询。你输入一个网址，设备第一件事是问DNS服务器：“这个域名对应的IP是多少？”这个询问过程默认是明文的。你去了哪些“不可描述”的网站，或者你公司的内部系统域名，全在这一次次明文询问中暴露无遗。泄漏，往往不是你的密码被直接偷走，而是你的行为轨迹被拼凑出了一张完整的画像。

一次真实的“中间人”惊吓

为了验证我的担忧，我用一台旧笔记本装了个抓包工具，连上家里Wi-Fi，然后假装正常刷了十分钟短视频。结果触目惊心：我看到了自己手机里某个购物App每隔几秒就往一个IP地址发送心跳包，看到了电视盒子在后台偷偷上传观看数据，甚至看到了我老婆手机里某个健康App在明文传输设备标识符。这些流量，只要任何一个环节被劫持，对方就能精准推送广告、伪造登录页面，甚至篡改你下载的安装包。

从那一刻起，我决定不再信任任何“局部加密”。我要的是全流量VPN——不是那种只给浏览器用的代理插件，而是在路由器层面就把所有出口流量强制灌入加密隧道的方案。

方案选型：为什么我最终选择了WireGuard而不是OpenVPN？

市面上能实现全流量加密的协议不少，老牌的IPsec、OpenVPN，新秀WireGuard、Tailscale。我折腾过一圈，最终把主力方案定在了WireGuard上。原因很朴素：

• 代码量极小：WireGuard内核模块只有几千行代码，而OpenVPN动辄几十万行。代码越少，审计越容易，漏洞越少。对于我这种非安全专家来说，这是最踏实的安全感。
• 性能损耗极低：我在树莓派4B上跑WireGuard，千兆宽带下跑满500Mbps毫无压力，CPU占用不到30%。换OpenVPN，同样硬件连200Mbps都费劲。
• 配置逻辑干净：没有复杂的证书链、没有TLS握手协商，就是一对公私钥，配好接口和路由，完事。
• 无缝漫游：手机从Wi-Fi切到5G，WireGuard隧道几乎无感重连，不像OpenVPN那样会断流几秒。

当然，WireGuard也有“缺点”：它默认不隐藏服务器IP，流量特征明显。但对我而言，我的目标不是对抗国家级审查，而是防止本地网络窃听和运营商流量分析。所以，WireGuard完美匹配我的需求。

我的最终网络拓扑：一台VPS + 家里软路由

我租了一台位于德国的VPS（1核1G，每月5欧），在上面搭建WireGuard服务端。家里的主路由是一台刷了OpenWrt的软路由（N100处理器），作为WireGuard客户端。所有家里设备——手机、电脑、电视、智能家居——都通过Wi-Fi或有线连接到这台软路由。软路由上设置了一条防火墙规则：除了WireGuard的UDP端口，禁止任何其他流量从WAN口出去。也就是说，任何设备想上网，必须先被塞进加密隧道。

实操步骤：从零搭建全流量加密网关

下面是我实际操作的步骤，每一步都踩过坑，所以我会把坑也写出来。

第一步：在VPS上安装并配置WireGuard服务端

SSH登录VPS，执行：

apt update && apt install wireguard -y cd /etc/wireguard umask 077 wg genkey | tee server_private.key | wg pubkey > server_public.key 

然后创建/etc/wireguard/wg0.conf：

[Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey =   # 开启转发 PostUp = iptables -A FORWARD -i wg0 -j ACCEPT PostUp = iptables -A FORWARD -o wg0 -j ACCEPT PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -D FORWARD -i wg0 -j ACCEPT PostDown = iptables -D FORWARD -o wg0 -j ACCEPT PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE  # 第一个客户端（家里软路由） [Peer] PublicKey = <家里软路由的公钥> AllowedIPs = 10.8.0.2/32 

别忘了echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf && sysctl -p，否则隧道通了但流量出不去。

第二步：在OpenWrt软路由上配置WireGuard客户端

OpenWrt自带的WireGuard插件很好用。在“网络-接口”里添加新接口，协议选WireGuard。私钥填家里软路由自己的私钥，公钥填VPS的。对端设置里，AllowedIPs填0.0.0.0/0，Endpoint填VPS的IP和端口，PersistentKeepalive填25。然后最关键的一步：在“网络-防火墙”里，把WAN区域的“IP动态伪装”勾上，并且把WireGuard接口划入WAN区域。

此时，如果你在软路由上ping 8.8.8.8，应该能通。但家里设备还是走老路。你需要去“网络-DHCP/DNS”里，把DNS服务器强制指向WireGuard接口的地址（比如10.8.0.1），或者干脆在防火墙里做DNS重定向。

第三步：强制所有流量走隧道（防泄漏的核心）

这是最容易翻车的地方。很多人配好了WireGuard，发现设备还是能通过原来的WAN口出去。因为默认路由优先级问题。我的做法简单粗暴：在OpenWrt的“网络-防火墙-自定义规则”里，加一条：

iptables -I FORWARD -i br-lan -o eth0 -j DROP iptables -I FORWARD -i br-lan -o wg0 -j ACCEPT 

意思是：来自局域网（br-lan）的流量，如果试图从物理WAN口（eth0）出去，直接丢弃；只有从WireGuard接口（wg0）出去的才放行。这样，任何设备只要连上我的Wi-Fi，就自动被“焊死”在加密隧道里。如果WireGuard断了，设备会直接断网，而不是偷偷走明文。这才是真正的防泄漏。

第四步：处理DNS泄漏和IPv6泄漏

DNS泄漏是最隐蔽的。即使你流量走了VPN，但DNS查询可能还是发给了运营商。我在OpenWrt上安装了https-dns-proxy，把所有DNS查询通过HTTPS发给Cloudflare。然后设置防火墙规则，强制所有53端口的UDP流量重定向到本地DNS代理。这样，连DNS查询都进了加密隧道。

IPv6泄漏更坑。很多设备默认优先走IPv6，而你的VPN可能只配了IPv4。结果就是，流量从IPv6溜走了。我的做法：在OpenWrt的WAN6接口上直接禁用IPv6，或者在防火墙里丢弃所有IPv6出站流量。简单，但有效。

那些让我半夜骂娘的坑

坑一：MTU不匹配导致大包卡死

WireGuard默认MTU是1420，但我的VPS走的是PPPoE，实际可用MTU只有1492。结果就是，小流量正常，一打开视频或者下载大文件，连接就卡死。解决办法：在WireGuard接口高级设置里，把MTU改成1380。世界瞬间清净。

坑二：智能家居设备不兼容

我家的扫地机器人、智能音箱，一旦发现网络环境变了（比如DNS被重定向），就会拒绝联网。它们只认出厂设置的DNS或者特定的云服务IP。对于这些设备，我在软路由上单独划了一个VLAN，让它们走单独的Wi-Fi SSID，并且这个SSID的流量不经过WireGuard，而是直接走WAN。代价是这些设备没有全流量加密，但至少它们不会半夜自己断网。安全与便利，总要妥协。

坑三：VPS被墙导致隧道中断

有一次VPS的IP被GFW封了，整个家里的网瞬间瘫痪。因为我的强制规则是“非WireGuard流量一律丢弃”。那次之后，我加了一个备用方案：在软路由上配置两个WireGuard接口，一个主用，一个备用（不同VPS）。用mwan3做故障切换。虽然复杂了点，但至少不会因为一个IP被封就全家断网。

效果验收：从“裸奔”到“装甲车”

全部配置完成后，我做了几项测试：

1. 在笔记本上打开Wireshark，抓取物理网卡（eth0）的流量。除了WireGuard的UDP包，看不到任何其他协议。所有HTTP、DNS、甚至ICMP，全部消失。
2. 访问ipleak.net，显示的IP是德国VPS的IP，DNS服务器是Cloudflare，没有IPv6地址泄漏。
3. 手动关闭VPS上的WireGuard服务，家里所有设备在几秒内断网，没有任何一个设备尝试走明文出去。
4. 用手机连上家里Wi-Fi，打开一个只支持HTTP的古老网站，抓包显示流量依然是加密的UDP包。

那一刻，我终于觉得，这个深夜没白熬。我的网络不再是那个谁都能看一眼的玻璃房，而是一辆关紧了舱门的装甲车。虽然我知道，面对真正的国家级攻击者，这依然不够，但至少，隔壁那个蹭网的邻居、楼下那个免费Wi-Fi的钓鱼者、还有那个总想给我推广告的运营商，再也看不清我在做什么了。

如果你也受够了那种“好像被窥视”的感觉，不妨试试这个方案。不需要多高深的网络知识，一台VPS、一个能刷OpenWrt的路由器，加上一个愿意折腾的周末夜晚，就够了。记住，在互联网上，裸奔不叫自由，叫献祭。