- VPN 直通允许 IPsec、PPTP 和 L2TP 等协议穿越带有 NAT 的路由器，而不会中断 VPN 隧道。
- 它不会将路由器变成 VPN 服务器或客户端；它只允许网络上其他设备产生的流量通过。
- IPsec、PPTP 和 L2TP 直通具有兼容性优势，但也存在严重的安全性和性能限制。
- 几乎所有现代路由器默认都启用此功能，但建议您检查设置并考虑更安全的替代方案。
如果你曾经为了在家连接公司网络而费尽心思设置路由器，那你可能听说过“VPN 直通”这个词，但却不太明白它的意思。这是路由器控制面板里一个鲜为人知的选项，几乎没人能解释清楚，但它却决定着你的 VPN 能否正常工作。
本文将深入浅出地讲解VPN 透传的概念、存在意义、与 NAT 的关系，以及启用或禁用 VPN 透传对安全性和性能的影响。您还将了解到 VPN 透传与 VPN 路由器的区别、它支持的协议类型（IPsec、PPTP、L2TP），以及在家庭和小型办公室路由器上的典型配置方式。
什么是 VPN？为什么有些 VPN 协议会导致路由器出现问题？
在深入探讨细节之前，我们不妨先简要回顾一下虚拟专用网络 (VPN) 在商业环境中的作用。VPN 会在您的设备和远程网络（通常是企业网络）之间创建一个加密隧道，使您能够像身处办公室一样访问内部资源，只不过是通过互联网实现的。
许多组织仍然使用诸如 IPsec 和 PPTP 之类的“传统”VPN 协议来保护敏感数据，例如医疗记录、财务信息或内部文档。IPsec（互联网协议安全）是一组在网络层添加身份验证和加密的协议，而 PPTP（点对点隧道协议）定义了一种创建点对点隧道的简单方法。
当这些协议遇到使用 NAT 或 NAPT 在多个设备间共享单个公网 IP 地址的路由器时，问题就出现了。网络地址转换需要读取和修改 IP 数据包头部中的某些字段，但一些较旧的 VPN 协议的加密机制会阻止路由器正常执行此操作。
因此，如果不采取特殊措施，VPN流量可能会被阻止，或者隧道可能无法正确建立。这时，广受欢迎的VPN透传功能就派上了用场。
VPN透传究竟是什么？
当您在路由器上看到“VPN 直通”选项时，它指的是一项特定功能，允许来自特定 VPN 协议的流量绕过路由器，而不会被 NAT 或防火墙阻止。换句话说，路由器会“传递”这些特殊流量，以便其后的 VPN 客户端能够建立与远程网络的出站连接。
实际上，这意味着本地网络上的设备（计算机、笔记本电脑、手机等）可以通过路由器建立到互联网的 VPN 隧道，即使路由器本身并非 VPN 端点，也没有运行 VPN 客户端。路由器的作用仅仅是识别和管理 IPsec、PPTP 或 L2TP 流量，从而避免地址转换导致连接中断。
需要强调的是，VPN 透传并不会将路由器变成 VPN 服务器或客户端。它不会创建隧道或验证用户身份；它只是允许其他设备产生的流量无缝地通过路由器。许多厂商对此都有明确的解释：“VPN 透传并不意味着路由器可以创建 VPN 端点。”
如今，几乎所有家庭和小型办公室路由器默认都启用了 IPsec、PPTP 和 L2TP 的 VPN 直通功能，正是为了避免用户从家中连接到公司网络时遇到麻烦。
VPN 直通和 VPN 路由器的区别
人们普遍存在一个误解，认为具备 VPN 直通功能的路由器与集成了 VPN 客户端或服务器的“真正”VPN 路由器是同一回事。实际上，它们是截然不同的概念，应该区分开来。
一方面，VPN 直通只是一种直通功能：路由器识别某些类型的隧道流量（例如 IPsec、PPTP 或 L2TP），并允许它们正确穿过 NAT，以便安装在 PC 或移动设备上的 VPN 客户端可以连接到远程服务器。
另一方面，VPN路由器本身就内置了VPN功能。它可以运行VPN客户端连接到VPN提供商或服务器，这样其后的多个设备就可以自动连接到该隧道，而无需在每台设备上配置VPN。
在 VPN 路由器中，所有本地网络流量都可以通过单一隧道进行封装和加密，从而确保所有连接设备的匿名性或安全性。此外，其固件通常提供高级管理选项、流量优先级设置和不同的隧道类型。
总结一下核心概念：VPN 透传只是为设备上的 VPN 连接“打开通道”；VPN 路由器直接创建和管理这些隧道。它们是不同的功能层，尽管有时单个路由器可以同时提供这两种功能。
NAT是如何介入的？为什么需要直通模式？
要充分理解 VPN 透传技术存在的意义，你需要了解NAT（网络地址转换）和 NAPT 或 PAT（端口地址转换）。在 SOHO（小型办公室/家庭办公室）路由器中，这是多个设备共享一个公网 IP 地址的互联网连接的标准方法。
使用NAT时，路由器会将内部网络的私有IP地址转换为公共IP地址，并将每个连接映射到特定的端口。对于NAPT或PAT，这种转换也使用端口号，因此多个设备可以使用同一个公共IP地址，但使用不同的端口。
当较旧的 VPN 协议不仅加密数据本身，还加密 NAT 进行正确转换所需的部分信息时，问题就出现了。如果路由器缺少特定机制，就无法在不破坏加密的情况下修改这些字段，从而导致 VPN 隧道连接失败或根本无法建立。
VPN 直通功能为路由器添加了必要的逻辑，使其能够正确处理这些 VPN 数据包，即使存在 NAT。在某些情况下，它依赖于 NAT-T（NAT 穿越）等技术，该技术将 IPsec 数据包封装在 UDP 中，使其能够穿过 NAT 设备而不中断隧道连接。
如果路由器缺少此功能，即使没有配置高度严格的防火墙，来自内部网络的基于 IPsec 或 PPTP 的 VPN 连接也可能默认被阻止。因此，制造商通常会在其接口上提供 NAT 透传或 VPN 透传作为独立选项。
IPsec 透传：它是什么以及它包含哪些内容
在 VPN 透传技术中，最重要的功能之一是IPsec 透传，它被那些需要高安全性的公司广泛使用。IPsec 在网络层提供加密、完整性和身份验证，从而实现网关之间或客户端与服务器之间安全的端到端连接。
问题在于IPsec 本身与 NAT 的兼容性不佳。为了解决这个问题，可以使用 NAT-T（网络地址转换穿越），它将 IPsec 数据包封装在 UDP 数据包中，这样路由器就可以将其视为“普通”的 UDP 流量，并在不影响安全性的前提下进行地址转换。
在路由器上启用 IPsec 直通功能后，即可允许IPsec 隧道绕过 NAT 和防火墙访问远程服务器。许多家用和商用路由器默认都已启用 IPsec 直通功能，有的甚至还启用了 L2TP 直通功能。
IPsec 直通的主要优势很明显：它允许位于具有 NAT 的路由器后面的设备建立安全的 IPsec 连接，而无需更改整个基础架构或为每个客户端使用专用的公共 IP 地址。
缺点在于，所有通过隧道传输的数据包都需要加密和解密，这会增加相关设备的 CPU 负载，并可能导致一定的延迟。此外，理论上，远程网络 IP 层的任何漏洞都可能通过隧道传播，并影响企业网络。
PPTP 直通：一种经典但正逐渐被淘汰的协议
另一个关键因素是PPTP 直通，它允许 PPTP 连接穿越带有 NAT 的路由器。多年来，由于 PPTP 简单易用，并且许多操作系统默认支持它，因此它一直是互联网上连接虚拟专用网络最广泛使用的 VPN 协议之一。
路由器使用 NAT 时，可能会因为无法正确识别此类流量而阻止它，因此PPTP 直通负责启用这些连接，以便路由器后面的客户端可以建立到远程服务器的隧道。
PPTP 直通协议的优势之一是通常能提供相当高的 VPN 速度和非常简单的设置，并且与 Windows、macOS 和 Linux 等系统保持广泛的兼容性。这解释了为什么尽管 PPTP 的使用越来越不被提倡，但它仍然出现在许多路由器上。
PPTP 的主要问题在于其安全性和加密机制已完全过时。它采用 128 位加密，这种加密方式现在可以通过暴力破解攻击或利用已知漏洞来破解，因此它并非保护敏感信息的安全协议。
因此，即使路由器上提供了 PPTP 直通选项，也不建议将组织的安全性建立在 PPTP 之上，最好迁移到更强大的协议，例如使用 IKEv2 的 IPsec，或者 WireGuard 和零信任方法等现代解决方案。
L2TP 直通：一种更强大的替代方案
第三个主要参与者是L2TP 直通，它与第二层隧道协议 (L2TP) 相关。L2TP 通常与 IPsec 结合使用以增加加密功能，因为它本身不提供保密性。
与 PPTP 类似，L2TP 直通允许路由器后面的设备与外部服务器建立 L2TP 隧道，在现有 IP 网络之上添加一个新的“隧道层”。这种连接方式常用于企业环境和一些商业 VPN 服务中。
L2TP 直通的优势包括：比 PPTP 更安全，通常支持高达 256 位的加密（与 IPsec 结合使用时），相当稳定，并且与主流操作系统保持良好的兼容性。
然而，它也有缺点：通过 NAT 建立的 L2TP 连接往往是单向的，这可能会限制某些类型流量的路由，而且封装和加密的需求会增加开销，因此有效速度可能会略低一些。
在许多路由器上，设置 L2TP 直通需要确保适当的端口已打开或在端口转发表中定义，通常在“端口转发”或“虚拟服务器”等部分下，以及启用特定的 L2TP 直通复选框（如果存在）。
路由器上的NAT透传和其他相关选项
一些厂商，例如华硕，将所有这些功能集中在路由器WAN设置中的“NAT直通”菜单下。您可以在这里单独启用或禁用PPTP直通、L2TP直通和IPsec直通等选项。
在同一部分中，通常还会出现其他类型的“直通”或协议辅助功能，例如用于实时流媒体的 RTSP 直通、用于通过 IP 进行语音和视频传输的 H.323 和 SIP 直通，甚至是允许 LAN 设备通过路由器建立自己的 PPPoE 会话的 PPPoE 中继。
这些选项并非严格意义上的 VPN，但它们遵循相同的理念：允许特定协议通过 NAT而不影响其运行。无论采用哪种方式，修改配置后都需要保存并应用更改才能生效。
对于 TP-Link 设备，方法类似：该品牌的大多数路由器默认启用PPTP、L2TP 和 IPsec (ESP) 的 VPN 直通功能，该选项通常位于 Web 管理界面中，通常在安全或高级设置部分。
建议始终查看制造商手册或官方文档，因为每个型号的菜单组织方式略有不同，选项的确切名称也可能发生变化（VPN 直通、NAT 直通、虚拟服务器等）。
如何在普通路由器上配置 VPN 透传
虽然大多数现代路由器默认启用 VPN 透传功能，但在某些情况下可能需要调整设置。一般来说，无论品牌如何，操作步骤通常都类似。
第一步是将电脑连接到路由器（通过网线或Wi-Fi），然后在浏览器中输入路由器的局域网IP地址或特定网址（例如http://www.asusrouter.com）访问其网页管理界面。接下来，输入管理员用户名和密码。
进入设置后，您需要找到WAN 配置、安全或 NAT 直通部分。例如，在华硕路由器上，典型的路径是 WAN > NAT 直通，其中会显示几个选项：PPTP 直通、L2TP 直通、IPsec 直通等。
根据您使用的 VPN 协议，您可以启用或禁用相应选项。选择必要的设置后，点击“应用”或“保存”以保存更改，并允许路由器在必要时重启其内部服务。
其他厂商（例如 TP-Link）的路由器，虽然名称可能略有不同，但原理相同：允许其他设备生成的 VPN 流量通过外部网络。部分路由器还允许用户指定特定端口，或选择 VPN 连接优先级最高的设备。
VPN 透传的优势、劣势以及适用场景
VPN 直通功能的主要优势在于，它允许您继续使用传统的 VPN 基础设施（IPsec、PPTP、L2TP），而无需更换所有路由器或重新设计网络拓扑。对于许多中小企业和大型组织而言，这样的变更成本可能非常高昂。
在需要远程访问企业网络的环境中，VPN 直通功能可以帮助员工即使使用普通家用路由器也能在家中无缝连接。此外，它还免去了为每个 VPN 客户端分配额外公网 IP 地址的麻烦。
反之，使用这些协议意味着要接受它们的安全性和性能方面的局限性，尤其是 PPTP 协议。此外，还需注意的是，加密连接会增加 CPU 负载并可能提高延迟，这在网络拥塞严重或硬件性能较低的网络上会尤为明显。
另一方面，某些类型的直通（例如某些 IPsec 或 L2TP 模式）可能存在路由限制或本质上是单向的，这使得访问托管在特定远程服务器上的资源变得困难，或者使高级配置变得复杂。
如今，许多专家建议逐步从传统 VPN 迁移到现代安全模型，例如零信任网络访问 (ZTNA) 解决方案，这些方案消除了网络中的隐式信任，并按用户和应用程序划分访问权限。即便如此，在过渡进行的同时，VPN 直通仍然是许多实际网络中的关键组成部分。
与 VPN 透传相关的一切都围绕着一个目标：确保旧版 VPN 协议能够在现代路由器上继续运行，而无需对基础设施进行彻底改造。了解每种透传类型（IPsec、PPTP、L2TP）的功能、如何在路由器上配置以及它们的局限性，将有助于您更好地管理网络，评估是否值得继续依赖这些技术，或者是否应该升级到更先进的解决方案，例如现代 VPN 或零信任模型。