WireGuard 從零連回家：OpenWrt 25.12 完整步驟、手機設定檔，和六個連不上的原因

charles

這篇的內容（23 段）

1. 做完這篇你會有什麼
2. 為什麼選 WireGuard
3. 0-1 看路由器 WAN 口拿到的 IP
4. 0-2 判斷
5. 0-3 對照外部看到的 IP
6. 0-4 被 CGNAT 擋住的話怎麼辦
7. 0-5 打電話給 ISP
8. 步驟 1：裝套件
9. 步驟 2：產生金鑰
10. 步驟 3：建立 wg0 介面
11. 步驟 4：防火牆
12. 4-2 開放 51820/udp
13. 4-3 驗證埠真的開著
14. 5-1 申請一個動態網域
15. 5-2 在 OpenWrt 上裝 DDNS 更新程式
16. 5-3 設定
17. 5-4 驗證
18. 步驟 6：客戶端設定檔
19. 步驟 8：第一次連線與驗證
20. 8-3 逐層測連通
21. 家裡的網段選什麼比較好
22. 安全注意事項
23. 最後的檢查清單

從外面存取家裡的 Home Assistant，安全性由高到低是：

• Nabu Casa（官方雲端，月付，最省事）
  
• VPN 回家（WireGuard／Tailscale）
  
• 反向代理加憑證（要開通訊埠，要自己顧安全）
  
• 直接把 8123 開到公網（不要這樣做）
  

這篇做第二種，而且只開一個 UDP 埠，不把任何服務暴露到公網。



做完這篇你會有什麼

• 一台當 WireGuard 伺服器的 OpenWrt 路由器
  
• 手機上掃一個 QR Code 就能連的設定
  
• 在外面能連到家裡所有裝置，而且能用家裡的 DNS
  
• 一套故障排查順序，每一種症狀對應到哪一個設定
  

用什麼版本：這篇以 OpenWrt 25.12.x 為準（2026 年的現行穩定版）。舊版的指令差異會另外標出來。

---

為什麼選 WireGuard

• 快 —— 比 OpenVPN 快很多，手機連上幾乎無感
  
• 省電 —— 沒流量時幾乎不耗電，手機可以一直開著
  
• 設定短 —— 客戶端設定檔只有十幾行
  
• 在 Linux 核心裡 —— OpenWrt、群暉、Proxmox 都原生支援
  

代價：家裡要有一個從外面連得進來的 IP，而且要開一個 UDP 埠。下一步就是確認你有沒有。

---

步驟 0：先確認你家連得進來（做錯這一步，後面全白做）

有一種網路環境叫 CGNAT（電信業者的大型 NAT），在這種環境下通訊埠轉發完全無效，而且你做完所有設定都會「看起來很正常，就是連不上」。

0-1 看路由器 WAN 口拿到的 IP

進路由器管理頁，找「狀態」或「WAN」，看它顯示的 IP。

0-2 判斷

• WAN IP 落在 100.64.0.0 到 100.127.255.255 之間（也就是 100.64.x.x ~ 100.127.x.x）→ 確定是 CGNAT
  
• WAN IP 是 192.168.x.x、10.x.x.x 或 172.16–31.x.x → 你的路由器接在另一台路由器（或光世代數據機的路由模式）後面，要先把前面那台設成橋接，或在前面那台做埠轉發
  
• WAN IP 是其他數字 → 再做一次 0-3 確認
  

0-3 對照外部看到的 IP

用手機（關掉 Wi-Fi，走行動網路，這樣才是從外面看）開瀏覽器搜尋「my ip」，記下那個數字。

你會看到什麼：

• 兩個 IP 一樣 → 你家有公網 IP，可以做 WireGuard，往下走
  
• 兩個 IP 不一樣 → 中間還有一層 NAT。如果 WAN IP 是 100.64–100.127 那段就是 CGNAT，無解
  

0-4 被 CGNAT 擋住的話怎麼辦

兩條路，都不用開埠：

• Tailscale —— 同樣基於 WireGuard，但用中繼伺服器做穿透，不需要任何埠轉發。免費方案 100 台裝置。代價是連線的協調要經過它的伺服器（流量本身仍是端對端加密，他們看不到內容）。⚠ Home Assistant 的 Tailscale 整合是唯讀的，只是顯示狀態，你還是要裝 Tailscale 的附加元件或 App
  
• Nabu Casa —— 官方訂閱，什麼都不用設
  

另外提醒一件很多人踩到的事：Home Assistant 官方的 WireGuard 附加元件只能當伺服器（別人連進來），而且一樣要能從外面連得到 —— 所以 CGNAT 環境下它也不能用。

0-5 打電話給 ISP

台灣的固網業者多半可以申請改成真實 IP，有些免費有些要加錢。打客服說「我要申請固定制或真實 IP，現在拿到的是 100.64 的私有位址」。

---



步驟 1：裝套件

SSH 進 OpenWrt（`ssh root@192.168.1.1`）。

OpenWrt 25.12 以後（現行穩定版）：

1. apk update
2. apk add kmod-wireguard wireguard-tools luci-proto-wireguard

複製代碼

OpenWrt 24.10 以前：

1. opkg update
2. opkg install kmod-wireguard wireguard-tools luci-proto-wireguard

複製代碼

為什麼有兩套：OpenWrt 25.12（2026 年 3 月發布）把套件管理員從 opkg 換成了 apk。套件名稱沒變，只有指令變了。不確定自己是哪一版的話跑 `cat /etc/openwrt_release | grep RELEASE`。

裝完重開機一次，讓核心模組確實載入：

1. reboot

複製代碼

你會看到什麼（重開後驗證）：

1. # 這兩個都要有輸出
2. wg --version
3. lsmod | grep wireguard

複製代碼

以下還有約 80% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入