WireGuard 是什麼？跟 OpenVPN、Tailscale 差在哪，你該用哪一個

charles

這篇的內容（6 段）

1. WireGuard 為什麼比 OpenVPN 快
2. 代價是什麼
3. 三個方案怎麼選
4. 什麼情況你「不需要」自己架
5. 怎麼知道自己是不是 CGNAT
6. 這個系列接下來會寫：

在外面想連回家裡的 NAS、Home Assistant、攝影機，就需要 VPN。

這篇先講清楚三個常見方案的差別，你才不會架到一半才發現選錯。



WireGuard 為什麼比 OpenVPN 快

• 程式碼只有約四千行，OpenVPN 是它的幾十倍。能出錯的地方少很多
  
• 跑在核心裡，不像 OpenVPN 在使用者空間繞一圈
  
• 加密演算法固定，不用像 OpenVPN 那樣先協商一輪
  
• 連線恢復快。手機從 Wi-Fi 切到 4G，WireGuard 幾乎無感
  

代價是什麼

• 沒有帳號密碼的概念。認證靠金鑰，要新增一個人就得動伺服器設定
  
• 預設會記錄對方的 IP（為了知道封包要送去哪），不是完全無痕
  
• 沒有內建的「自動繞過 NAT」。你家沒有固定 IP 或對外埠打不開就會卡住
  

三個方案怎麼選



什麼情況你「不需要」自己架

• 你只是想連回家看 NAS 的檔案 —— 群暉的 QuickConnect、威聯通的 myQNAPcloud 都能用，雖然慢
  
• 你家是電信商給的 CGNAT（虛擬 IP），對外埠根本打不開。這種情況只能用 Tailscale 這類會自動打洞的方案
  
• 你只有一台裝置要連，而且那個服務本身就支援安全的遠端存取
  

怎麼知道自己是不是 CGNAT

在家裡的路由器管理頁面看 WAN IP，再上網搜尋「我的 IP」比對：

• 兩個一樣 → 你有真實對外 IP，可以自己架
  
• 不一樣 → 你在 CGNAT 後面，自己架 WireGuard 會連不上
  

路由器上的 WAN IP 如果是 100.64.x.x 到 100.127.x.x 這個範圍，那就是 CGNAT。

---

這個系列接下來會寫：

• 用 Docker 架（wg-easy，有網頁介面）
  
• 用 Docker 架（純設定檔版，適合想懂原理的人）
  
• 在 RouterOS 上架
  
• Client 端怎麼設定（含全流量與分流的差別）
  
• 連不上的時候怎麼查