🔒 加密筆記 encryption.hk
[]

屋企Router刷DD-WRT開WireGuard伺服器：新手圖文教學

想為家居網絡添加一層加密保護？本文帶你一步步將舊路由器刷成DD-WRT韌體，並設定WireGuard VPN伺服器。從準備工作到實戰操作，2026年最新實測教學，無需專業背景也能輕鬆完成。

NaN年NaN月NaN日

根據2026年Statista的報告，全球超過68%的家居網絡仍然使用原廠路由器韌體，這些設備普遍缺乏進階安全功能。英國國家網絡安全中心（NCSC）2026年第一季的調查更指出，未加密的家居Wi-Fi流量每日平均遭受12次探測攻擊。在這樣的環境下，將舊路由器刷入第三方韌體並架設VPN伺服器，已成為技術愛好者保障私隱的重要方案。

本文聚焦DD-WRT 安裝 教學與WireGuard 伺服器 設定，從路由器刷機到VPN部署，全部採用圖文並茂的方式解說。WireGuard作為新一代輕量級VPN協議，其程式碼僅約4000行，相比OpenVPN的10萬行以上，不僅效能更佳，審計也更容易。2026年的DD-WRT版本已原生整合WireGuard，設定門檻大幅降低。

為什麼選擇DD-WRT而非原廠韌體？

原廠路由器韌體的功能限制，往往讓使用者無法充分發揮硬件潛能。DD-WRT作為開源韌體，在2026年已支援超過300款路由器型號，涵蓋Broadcom、MediaTek、Qualcomm等主流晶片。它的最大優勢在於解鎖硬件完整功能，例如發射功率調整、VLAN分割、以及本文重點的VPN伺服器。

從安全角度來看，原廠韌體的更新周期通常只有2-3年，而DD-WRT社群在2026年仍持續為2018年推出的路由器提供安全修補。這代表你可以讓舊設備煥發新生，同時獲得最新的家居 網絡 加密保護。此外，DD-WRT的網頁管理介面經過多年打磨，即使新手也能快速上手。

刷機前的準備工作與相容性檢查

在進行路由器 刷機 VPN改造前，有幾項關鍵準備不可忽略。首先，確認你的路由器型號是否在DD-WRT官方相容清單中。2026年的穩定版本r58236支援TP-Link Archer C7 v2-v5、Netgear R7000、Linksys WRT3200ACM等熱門型號，這些設備在二手市場價格親民，非常適合練手。

準備工具清單包括：一條RJ45網絡線（刷機期間必須有線連接）、一台電腦、以及路由器型號對應的DD-WRT韌體檔案。強烈建議先備份原廠韌體和當前設定，萬一刷機失敗還能回復原狀。另外，記下路由器的預設IP位址（通常是192.168.1.1或192.168.0.1）和管理員密碼，這些資訊在刷機後會用到。

第一步：下載並刷入DD-WRT韌體

前往DD-WRT官網的Router Database頁面，輸入你的路由器型號。2026年的網站已加入智能推薦系統，會自動篩選出最穩定的韌體版本。一般來說，選擇標註「stable」的版本，避免使用beta測試版以免出現不穩定情況。下載後會得到一個.bin或.img檔案，這就是我們要刷入的韌體。

刷機步驟因路由器而異，但主流做法是透過原廠的韌體升級頁面直接上傳。將電腦以網絡線連接路由器的LAN埠，瀏覽器登入管理後台，找到「系統工具」或「韌體升級」選項。選擇剛才下載的DD-WRT檔案，點擊升級。過程中切勿斷電或重啟，等待約5分鐘直到進度條完成。路由器會自動重啟，此時IP位址可能變為192.168.1.1。

第二步：DD-WRT初始設定與網絡配置

刷機完成後，首次登入DD-WRT管理介面（預設帳號root，密碼admin），系統會引導你設定管理員密碼。這一步至關重要，因為原廠密碼組合極易被暴力破解。設定完畢後，進入「Setup」→「Basic Setup」頁面，確認WAN連接類型是否正確（通常是DHCP或PPPoE），確保路由器能正常上網。

接著，在「Network Address Server Settings」區塊，你可以自訂區域網絡IP段。預設的192.168.1.x在多數環境下都能運作，但如果你家中已有其他網絡設備佔用這個網段，建議改為192.168.10.x之類的冷門區段。DNS伺服器建議指定為Cloudflare的1.1.1.1或Google的8.8.8.8，提升解析速度之餘也增加一層惡意網站過濾。

第三步：啟用WireGuard伺服器核心功能

進入「Services」→「VPN」頁面，你會看到DD-WRT 2026版本已將WireGuard整合在VPN服務選單中。將「Start WireGuard」設為Enable，這是啟動WireGuard 伺服器 設定的總開關。接著，在「WireGuard Server Configuration」區塊填入以下參數：

這些設定完成後，伺服器端基本就緒。私鑰務必妥善保存，它是整個VPN加密體系的根基。

第四步：新增WireGuard客戶端並導出配置

在「WireGuard Peers」區塊，點擊「Add Peer」按鈕新增一個客戶端。為每個設備（手機、平板、筆電）建立獨立的Peer配置，這樣方便日後管理與撤銷權限。系統會要求你輸入客戶端的Public Key和Allowed IPs，但2026年的DD-WRT已支援自動產生金鑰對，只需點擊「Generate Keypair」即可。

Allowed IPs欄位填入0.0.0.0/0代表所有流量都經VPN隧道傳輸，適合需要全面保護的場景。如果你只想加密訪問特定內網資源，可以填入路由器的區域網絡網段如192.168.1.0/24。設定完成後，點擊「Save」並「Apply Settings」，WireGuard伺服器就會正式運作。

第五步：客戶端連線測試與疑難排解

在手機或電腦上安裝WireGuard客戶端（App Store或Google Play搜尋「WireGuard」即可），選擇「從檔案匯入」或「手動建立隧道」。將剛才產生的客戶端配置（包含伺服器公鑰、客戶端私鑰、隧道IP等）填入對應欄位。Endpoint欄位輸入家中路由器的對外IP位址:51820，如果使用動態IP，建議先設定DDNS服務。

連線成功後，你可以透過瀏覽器搜尋「what is my ip」驗證流量是否確實經由家中網絡出口。常見問題包括：防火牆阻擋51820埠（需在「Security」→「Firewall」中開放）、金鑰配對錯誤（重新產生金鑰）、以及動態IP變更（設定DDNS並在Endpoint使用域名）。2026年的DD-WRT日誌系統已相當完善，遇到問題可先查看「Status」→「Syslog」尋找線索。

總結：自建VPN的長期維護建議

完成上述步驟後，你已成功將舊路由器改造為具備WireGuard伺服器功能的安全閘道。這套系統能為所有連回家中網絡的設備提供端到端加密，無論身處公共Wi-Fi還是境外網絡，都能安全存取家居資源。2026年的網絡威脅環境下，這種自建方案遠比商業VPN更透明可控。

長期維護方面，建議每季檢查DD-WRT的韌體更新，並定期輪換WireGuard金鑰。如果路由器硬件效能不足（例如早期單核處理器），可以考慮僅讓特定設備走VPN隧道，減輕加密解密負擔。最後，善用DD-WRT的存取限制功能，為VPN客戶端設定連線時間窗口，進一步強化安全防護。

FAQ

Q1：2026年的DD-WRT穩定版支援哪些路由器型號？ A1：2026年DD-WRT穩定版r58236已驗證支援超過300款路由器，熱門型號包括TP-Link Archer C7（v2至v5）、Netgear R7000、Linksys WRT3200ACM、以及Asus RT-AC68U。刷機前務必在DD-WRT官網Router Database確認你的硬件版本與韌體檔案完全匹配，不同版本間的韌體通常無法通用。

Q2：WireGuard伺服器最多可以支援多少個同時連線的客戶端？ A2：理論上WireGuard本身沒有連線數上限，實際瓶頸在於路由器的CPU效能和記憶體容量。以2026年常見的Broadcom BCM4709雙核處理器為例，約可穩定承載15-20個同時活躍的客戶端。若連線數超過此範圍，建議升級至配備四核處理器的新款路由器，或限制每個Peer的流量頻寬。

Q3：刷了DD-WRT後還能回復原廠韌體嗎？ A3：多數情況下可以，但需要準備原廠韌體檔案並透過DD-WRT的韌體升級頁面刷回。部分型號（如TP-Link某些版本）可能需要先刷入過渡版韌體再升級原廠。回復過程約需10分鐘，期間同樣不可斷電。建議刷機前先從官方網站下載原廠韌體備用，避免日後尋找困難。

參考資料

tags: DD-WRT 安裝 教學WireGuard 伺服器 設定路由器 刷機 VPN家居 網絡 加密OpenWrt 替代方案