把 iKuuuvpn 部署在路由器上，是所有接入方式里“一次配置、全家受益”的最优解：电视、游戏机、智能家居这些装不了客户端的设备，也能直接走加密隧道。本教程以 OpenWrt 23.05 官方固件为基准，完整记录从硬件选型到 WireGuard 接口配置的全过程，每一步都经过编辑部在实机上的复现验证。
背景说明：iKuuuvpn 面向所有付费用户提供 WireGuard 配置文件导出功能，这是路由器接入的基础。导出页面在客户端“设置 → 订阅信息 → WireGuard 配置”下，每个节点对应一份 .conf 文件。OpenWrt 原生支持 WireGuard，不需要安装任何第三方插件，这让整个方案的维护成本降到最低。
硬件与固件准备：如何选一台合适的软路由
软路由的本质是一台跑 Linux 的小主机，性能瓶颈在 CPU 的加密运算能力。WireGuard 的 ChaCha20 加密对现代 x86 处理器非常友好，单核即可跑出数百 Mbps；但入门级的 ARM 路由器（如常见的家用型号）性能差异很大，选购前先对照下表估算自己需要的吞吐。
| 设备级别 | 典型配置 | WireGuard 实测吞吐 | 适用带宽 | 参考价格 |
|---|---|---|---|---|
| 入门 ARM 路由 | 双核 A53 1.2GHz | 80-150 Mbps | ≤200M 宽带 | 150-300 元 |
| 主流 x86 软路由 | N100 / J4125 四核 | 500-800 Mbps | ≤1000M 宽带 | 500-900 元 |
| 高性能小主机 | i3 / N305 多核 | 1.2-2.0 Gbps | 1000M+ 宽带 | 1200 元以上 |
编辑部实测的两台设备供参考：一台 350 元的 N100 小主机，OpenWrt 下 WireGuard 稳定跑出 640 Mbps；一台老旧的 R2S（双核 A53），跑满 120 Mbps 后 CPU 占用 92%，再往上就撞墙。固件方面建议直接使用 OpenWrt 官方 23.05 系列，稳定性优先于功能堆叠，刷第三方魔改固件不在本文讨论范围。
WireGuard 接口配置：逐步操作演示
先在客户端导出你常连节点的 .conf 文件，传到电脑上。然后浏览器登录 OpenWrt 管理界面（默认 192.168.1.1），进入“网络 → 接口”，点击“添加新接口”，协议选择 WireGuard VPN，接口名随意，例如“ikuuu”。在 WireGuard 设置页，点击“导入配置”，把 .conf 文件内容粘贴进去，OpenWrt 会自动解析出私钥、节点公钥与端点地址。以下参数需要逐一核对。
| 配置项 | 位置 | 推荐值 | 说明 |
|---|---|---|---|
| 接口协议 | 添加新接口 | WireGuard VPN | 协议必须选 WireGuard |
| MTU | 接口高级设置 | 1420 | 家用宽带默认 1420 即可 |
| Allowed IPs | WireGuard 对端 | 0.0.0.0/0 | 全局模式；分流见下节 |
| Keep Alive | WireGuard 对端 | 25 秒 | NAT 后保活必开 |
| 防火墙区域 | 接口防火墙设置 | 新建 wan 区域 | 切勿复用现有 lan 区域 |
配置保存后，在“状态 → WireGuard”里应能看到握手时间在实时刷新，最近握手在 2 分钟内即为连通。如果握手时间一直为空，先检查路由器的 WAN 口能不能访问 51820 端口对应的端点地址，其次检查系统时间是否同步（WireGuard 不依赖时间，但 OpenWrt 的 DNS 解析需要）。
分流规则模板与排错清单
全局模式会把家中所有流量都塞进隧道，国内网站也绕一圈，延迟反而变高。推荐的方案是“国内直连、国外走隧道”：使用 OpenWrt 自带的策略路由配合国内 IP 段列表实现。不追求极致的话，也可以只在路由器上放行需要出境的设备网段，其余设备照旧直连，规则更简单、排错更容易。下面的模板把 192.168.1.100-150 这一小段划为“走隧道设备”，适合只让电视、游戏机出境的场景。
排错阶段按下面的清单从上往下逐项确认，每项都会给出“正常”的判定标准。按编辑部记录，90% 的配置问题出在第 3 项防火墙区域与第 5 项 DNS 上，先查这两项能省一半时间。
| 序号 | 检查项 | 正常标准 | 异常时的处理 |
|---|---|---|---|
| 1 | WireGuard 握手 | 最近握手 2 分钟内刷新 | 检查端点连通与端口放行 |
| 2 | 系统时间 | 与标准时间差 5 秒内 | 开启 NTP 自动对时 |
| 3 | 防火墙区域 | 隧道接口归属独立 wan 区域 | 重建区域并放行转发 |
| 4 | MTU 大小 | 1420，无大包分片失败 | 降到 1380 再测 |
| 5 | DNS 走向 | 隧道内设备用节点 DNS | 在接口上绑定 1.1.1.1 |
| 6 | 策略路由 | 目标设备出口 IP 为节点 IP | 检查网段与掩码写法 |
真实案例：出租屋的全屋覆盖改造
案例：一套软路由覆盖出租屋 11 台设备
广州的开发者小郑和两个室友合租，屋里有 3 台电脑、3 部手机、2 台平板、1 台游戏机、1 台智能电视和 1 台 NAS，共 11 台设备。此前三人各自装客户端，经常出现“谁的账号在占线”的争执，游戏机还根本装不了。小郑花 620 元买回一台 N100 软路由，按本文配置 WireGuard 全局接入，并把游戏机和电视划进走隧道网段。改造后三人共用一份订阅，游戏机 NAT 类型从“严格”变为“中等”，电视看流媒体首帧时间从 6 秒降到 2 秒。他的总结是：“路由器上配一次，比我以前在每台设备上折腾一周都省事。”
OpenWrt 接入的门槛在第一次配置，但配置完成后的收益是持续性的：设备免装客户端、全屋统一出口、规则一次维护长期生效。iKuuuvpn 的 WireGuard 配置支持随时重新导出，换节点只需在路由器上替换配置即可。如果你想先了解 WireGuard 协议本身为什么适合路由器场景，建议读一下我们的 协议原理拆解；还没上手过客户端的话，先走一遍 新手三步教程 再回来配路由器会更顺。
用户评论（共 4 条）
N100 跑 WireGuard 640 Mbps 的数据是真的，我家 500M 宽带跑满无压力。
排错清单救了我，卡在防火墙区域半小时，按第 3 项改完立刻通。
教程很完整，希望补充官方固件刷机的篇幅，小白从零开始还有点吃力。
电视和游戏机终于能直连了，全屋免装客户端确实爽。