在现代家庭和小型企业网络中,远程访问内部设备、共享文件或管理路由器已成为刚需，而OpenWrt作为开源嵌入式Linux系统，凭借其高度可定制性、强大的功能支持和丰富的插件生态，成为构建家庭或办公级内网VPN的理想平台，本文将详细介绍如何基于OpenWrt搭建一个安全可靠的内网VPN服务，让你无论身处何地都能无缝访问局域网资源。
明确需求：你希望在不暴露公网IP的前提下，安全地连接到内网设备（如NAS、摄像头、打印机等），同时确保通信数据加密，OpenWrt通过支持多种协议（如OpenVPN、WireGuard）来满足这类需求，WireGuard因其轻量、高性能、易配置的特点，逐渐成为首选方案。
第一步：准备工作
确保你的路由器运行的是较新版本的OpenWrt（建议21.02以上），并具有足够的存储空间（至少512MB内存和16MB闪存），登录路由器Web界面（LuCI）或SSH终端，更新软件包列表：
opkg update
第二步：安装WireGuard
在LuCI界面中，进入“系统” → “软件包”，搜索并安装kmod-wireguard和wireguard-tools，或者使用命令行：
opkg install kmod-wireguard wireguard-tools
第三步：配置服务器端（OpenWrt）
创建一个WireGuard接口（例如wg0）：
uci set network.wg0=interface uci set network.wg0.proto='wireguard' uci set network.wg0.private_key='your_server_private_key' # 使用wg genkey生成 uci set network.wg0.listen_port='51820' uci commit network
然后添加允许客户端连接的配置：
uci add network wireguard_wg0 uci set network.wg0_peers='peer' uci set network.wg0_peers.public_key='client_public_key' uci set network.wg0_peers.allowed_ips='10.0.0.2/32' # 客户端分配IP uci set network.wg0_peers.endpoint='your_public_ip:51820' uci commit network
第四步：启用防火墙规则
在LuCI的“防火墙”设置中，为wg0接口添加允许规则，并转发内网流量（重要！否则无法访问局域网）：
iptables -A FORWARD -i wg0 -o br-lan -j ACCEPT iptables -A FORWARD -i br-lan -o wg0 -j ACCEPT iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE
第五步：客户端配置
在手机或电脑上安装WireGuard应用，导入服务器公钥和配置文件，客户端会自动获取10.0.0.x网段IP，即可像本地设备一样访问内网服务（如访问NAS的IP地址192.168.1.100）。
优势总结：
- 安全性高：端到端加密，防止中间人攻击
- 性能优：WireGuard基于现代密码学，延迟低
- 易维护：OpenWrt社区活跃，文档丰富
- 成本低：无需额外硬件，仅需一台支持OpenWrt的路由器
注意：若无公网IP，可使用DDNS动态域名解析；务必定期更新密钥，避免长期暴露风险，通过上述步骤，你就能在家中轻松打造一个私密、稳定的内网VPN环境，真正实现随时随地掌控网络资源。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
