小米路由器VPN设置：如何搭建自己的VPN服务器？

周五晚上十一点，我正蹲在客厅电视柜旁边，手里攥着一根牙签，试图戳进小米路由器背面的 Reset 孔。电视上，比特币刚刚跌破 63,000 美元，我的手机屏幕里，某个去中心化交易所的流动性池年化收益还闪着 240% 的绿光。老婆从卧室探出头来：“你大半夜不睡觉，又在折腾什么？”

“翻墙。”我说。

“翻什么墙？咱家不是有梯子吗？”

“不是那个翻墙。”我叹了口气，“是 VPN。我要在自己家搭建一个 VPN 服务器，这样我在外面连公共 Wi-Fi 的时候，也能安全地看我的加密钱包。”

她看了我一眼，那种眼神就像在看一个试图用微波炉给特斯拉充电的人。然后她关上了门。

但我知道，我不是一个人。过去三个月里，我身边至少有七个朋友——有炒 MEME 币的，有挖 Kaspa 的，有在 Telegram 上跟单土狗项目的——都问过我同一个问题：“怎么在小米路由器上搞 VPN？”他们中的大多数人，都在某个深夜，因为连了机场休息室的免费 Wi-Fi，然后发现自己的 MetaMask 里少了 0.3 个 ETH。

所以，我决定把这一晚的折腾写下来。这不是一篇说明书，这是一篇血泪史，也是一份生存指南。

为什么炒币的人，需要一个自己的 VPN 服务器？

先讲一个真实的故事。我有个朋友，叫老赵，做场外交易的。去年十一月，他在越南岘港的一家咖啡馆里，连了店里的 Wi-Fi，登录了自己的币安账户，准备吃进一批 ARB。交易完成之后，他顺手点开了一个空投查询网站。三分钟后，他的钱包里价值四万美金的 ARB 被转走了。他后来才知道，那家咖啡馆的 Wi-Fi 被做了 DNS 劫持，他访问的空投查询网站是一个钓鱼镜像站。

老赵犯的错，不是他贪心，而是他信任了一个他不该信任的网络。

对于币圈的人来说，我们每天都在做三件事：登录交易所、连接钱包、访问各种 DApp 和空投网站。这三件事，每一件都要求我们输入私钥、助记词或者签名授权。而当你连着一个不安全的 Wi-Fi 时，你输入的每一个字符，都可能被同一个网络里的某个脚本小子用 Wireshark 抓走。

VPN 的作用，是在你的设备和目标服务器之间，挖一条加密隧道。这条隧道让所有中间节点——路由器、ISP、咖啡店的老板、隔壁桌的黑客——都只能看到一堆乱码。而如果你用的是自己的 VPN 服务器，那么这条隧道的终点，就是你家里的那台小米路由器。这意味着，你在外面用手机连上自己的 VPN 之后，你的网络出口就是你家的宽带。你在外面访问币安，币安看到的 IP 是你家的 IP。你在外面用 MetaMask 签名，签名请求先经过加密隧道回到你家，再从你家发到区块链节点。

这听起来很极客，但做起来，其实只需要一台小米路由器，和一个晚上的时间。

小米路由器做 VPN 服务器，到底行不行？

先说结论：行，但要看型号。

不是所有小米路由器都能刷第三方固件。我手头这台是 Redmi AX6000，联发科方案，官方固件里其实已经内置了 VPN 功能——只不过藏得很深。你登录路由器后台，在“高级设置”里找到“VPN”，会看到两个选项：VPN 客户端和 VPN 服务器。客户端是用来让路由器连别人的 VPN 的，服务器才是我们今天要用的。

但官方固件的 VPN 服务器功能，只能用 PPTP 和 L2TP。这两个协议，在 2024 年的今天，基本等于裸奔。PPTP 的加密早就被证明可以被破解，L2TP 如果没有 IPSec 配合，也是明文传输。对于炒币的人来说，用 PPTP 传私钥，就像用明信片寄银行卡密码。

所以，如果你真的想搭建一个靠谱的 VPN 服务器，你需要刷 OpenWrt 或者 Padavan 固件。这两个固件都支持 OpenVPN 和 WireGuard。WireGuard 是现在最推荐的协议，代码量少，加密强，速度快，而且配置起来比 OpenVPN 简单得多。

我选择的是 OpenWrt。刷机过程这里不展开，每个型号的小米路由器刷机方法不一样，你去恩山论坛或者 OpenWrt 官网查一下，教程多如牛毛。我只提醒一句：刷机有风险，变砖别找我。最好在刷之前，把你老婆的 Netflix 账号从路由器里解绑，不然她第二天发现电视看不了，你的下场会比爆仓还惨。

在 OpenWrt 上搭建 WireGuard 服务器

刷完 OpenWrt 之后，你的小米路由器就变成了一台小型 Linux 服务器。接下来我们要做的，是在上面安装 WireGuard。

第一步：安装必要的软件包

用 SSH 登录你的路由器。如果你用的是 Windows，可以用 PuTTY；Mac 或者 Linux 直接用终端。登录之后，先更新软件源：

bash opkg update

然后安装 WireGuard 相关的包：

bash opkg install wireguard-tools kmod-wireguard luci-app-wireguard luci-proto-wireguard

安装完成之后，刷新路由器后台，你会在“网络”菜单下看到“接口”里多了一个“WireGuard”的选项。

第二步：生成密钥对

WireGuard 使用公钥和私钥来认证。你需要在路由器上生成一对密钥，然后在你的手机或电脑上生成另一对。先在路由器上执行：

bash wg genkey | tee privatekey | wg pubkey > publickey

这会生成两个文件：privatekey 和 publickey。记下这两个值，后面要用。

第三步：配置服务器接口

在 OpenWrt 后台，进入“网络” -> “接口” -> “添加新接口”。名称填 wg0，协议选“WireGuard VPN”。然后填写：

• 私钥：刚才生成的 privatekey 的内容
• 监听端口：随便选一个，比如 51820
• IP 地址：填 10.0.0.1/24（这是 VPN 内部的网段，不要和你家局域网的网段冲突）

保存之后，进入“防火墙设置”，把 wg0 接口分配到 lan 区域，并且允许入站和转发。

第四步：添加客户端配置

在 WireGuard 接口页面，点击“添加 Peer”。你需要填写：

• 描述：比如 iPhone
• 公钥：你手机端生成的公钥
• 允许的 IP：10.0.0.2/32
• 持续 Keep-Alive：25

然后在“高级设置”里，把“路由允许的 IP”设为 0.0.0.0/0，这样所有流量都会走 VPN。

第五步：配置手机端

在你的 iPhone 或 Android 上，下载 WireGuard 官方 App。然后手动添加一个隧道：

• 名称：随便
• 私钥：手机端生成的私钥
• 地址：10.0.0.2/32
• DNS：填 1.1.1.1 或者你路由器的 IP
• 对端公钥：路由器上生成的 publickey
• 对端地址：你的公网 IP 加上端口号，比如 你的公网IP:51820
• 允许的 IP：0.0.0.0/0

保存之后，打开隧道。如果一切顺利，你的手机状态栏会出现一个 VPN 图标。这时候你打开浏览器，访问 ip.sb，看到的应该是你家的公网 IP。

那些没人告诉你的坑

你以为配置完就结束了？太天真了。

坑一：公网 IP 不是固定的

大多数家宽的公网 IP 是动态的，每隔几天或者路由器重启就会变。这意味着你手机上的 VPN 配置里的“对端地址”会失效。解决办法有两个：一是用 DDNS，小米路由器自带这个功能，在 OpenWrt 里也可以安装 ddns-scripts；二是用 WireGuard 的域名解析，把域名填进去，让 DDNS 自动更新。

但更麻烦的是，很多运营商现在根本不给公网 IP。你打电话给客服，说你要装监控，他们可能会给你开一个。但如果你说你要搭 VPN，他们大概率会拒绝。这时候你只能用 IPv6，或者用内网穿透。IPv6 是个好东西，但很多地方的 IPv6 防火墙默认阻止入站连接，你需要在路由器上放行。

坑二：VPN 会影响你家的正常上网

如果你把 WireGuard 接口的“允许的 IP”设成了 0.0.0.0/0，那么当你在家里连上 VPN 之后，你的所有流量会先绕到路由器，再绕回路由器，形成一个环路。结果就是，你家的网速会变得奇慢无比。解决办法是，在手机端把“允许的 IP”改成 0.0.0.0/0 但排除你家局域网的网段，比如 192.168.31.0/24。或者更简单：在家里就不要开 VPN。

坑三：交易所的风控

这一点最要命。你用 VPN 连回家里，币安看到的 IP 是你家的宽带 IP。但如果你同时用手机 4G 登录过币安，币安会记录两个不同的 IP。当你从 VPN 切换回 4G 的时候，币安的风控系统可能会认为你的账号被盗，然后触发二次验证，甚至临时冻结提现。

我有个朋友，就是因为这个，在 ARB 空投领取的最后一天，被币安锁了账户，眼睁睁看着 8000 个 ARB 过期。他后来打电话给客服，客服说：“我们检测到您的账户在短时间内从多个地理位置登录。”他解释了半天，客服只说：“建议您固定使用一个网络环境。”

所以，如果你要用 VPN 炒币，最好从一而终。要么一直用 VPN，要么一直不用。不要今天用，明天不用，后天又用。交易所的风控不是闹着玩的。

除了炒币，这个 VPN 还能干什么？

当然，搭建自己的 VPN 服务器，不只是为了炒币。它还能让你：

• 在外面访问家里的 NAS，看下载好的电影
• 远程管理家里的智能家居设备
• 在公共 Wi-Fi 上安全地使用网银
• 绕过某些地区对加密货币网站的封锁

但对我来说，最重要的，是那种“一切尽在掌控”的感觉。当你知道你的网络流量，从你的手机出发，经过加密隧道，回到你家里的那台小米路由器，再从你家的宽带出去，你会觉得，这个世界虽然充满了钓鱼网站和恶意 Wi-Fi，但至少有一小段路，是你自己铺的。

凌晨两点，我终于把 WireGuard 配置好了。手机连上 VPN，打开币安，IP 显示的是我家的地址。我点开那个年化 240% 的流动性池，犹豫了一下，还是没有点“确认”。毕竟，再安全的 VPN，也挡不住自己手贱。

我关掉电视，拔掉牙签，把路由器放回电视柜。老婆已经睡着了，手机屏幕还亮着，上面是她白天看的淘宝页面。我帮她锁了屏，然后打开自己的手机，把 WireGuard 的开关拨到“关闭”。

明天还要上班。炒币是副业，生活才是主网。