出门在外也想安全连回家：用 WireGuard 给家庭网络开一条专属隧道

远程访问的诱惑，和背后的坑

家里慢慢堆起 NAS、摄像头、智能音箱，还有跑在软路由上的各种服务之后，人不在家也想随时用，是很自然的需求。看一眼监控、取一份文件、连回家里的去广告 DNS，都只想掏出手机点一下。

但便利的另一面是风险。很多人第一次远程访问的做法，是直接在路由器上把 NAS 的端口映射出去，再配个 DDNS 用域名访问。问题在于，一旦端口暴露到公网，它就 24 小时接受全世界的扫描与爆破。弱口令、未修复的漏洞、甚至是服务自身的管理后台，都可能成为突破口。DDNS 解决的是「叫什么名字」，并不解决「谁都能敲门」这件事。

WireGuard 凭什么又轻又快

比起老牌的 OpenVPN，WireGuard 的设计哲学是「只做最少的事」。它没有臃肿的协商流程，核心代码只有几千行，握手用的是现代加密套件，连上之后几乎不占资源，手机后台挂着也几乎不掉电。

它的模型很简单：两端各持一把密钥，预共享一段配置，连上就是一条点对点的加密隧道。你手机的流量先进入家里的网络，再以「家里人」的身份去访问 NAS、摄像头和管理后台——对外看到的只有一个 UDP 端口，而且没有正确密钥的人连握手都过不了。换句话说，服务仍然只在家庭内网里，公网根本摸不到它们的存在。

一条隧道怎么落地

落地位置有两个常见选择。其一是软路由：在 OpenWrt 或 iKuai 上装 WireGuard 插件，把家庭网段作为 AllowedIPs 推给客户端，手机一连就能像在家一样访问整段内网。其二是 NAS：群晖有现成的 VPN Server 套件，自组 NAS 用 Docker 跑一个 WireGuard 容器也很轻量，再配合前面说过的 DDNS 给隧道端点一个固定域名即可。

无论放哪，都建议单独划一个 VPN 子网，并只放行真正需要的访问目标，而不是把全部内网权限一股脑交给每一个客户端。这是最小权限原则，也是出问题时能少烧一点脑子的前提。

手机和笔记本怎么用

客户端几乎覆盖全平台。手机装官方 WireGuard App，扫一下配置文件里的二维码就能导入；笔记本同样是导入一个后缀为 conf 的文件。日常使用就是开关一个按钮，连上后所有回家流量自动走隧道，断线会自动重连。

如果希望「只有在访问家里地址时才走隧道、刷短视频仍走本地流量」，可以在配置里精确写 AllowedIPs，只把家庭网段纳管进去，而不是用 0.0.0.0/0 把所有流量都兜回家里。后者叫「全局代理」，适合需要家里公网出口的场景，但对电量和体验都不友好。

三个容易翻车的地方

第一，UDP 端口被运营商封禁或 NAT 类型不友好时连不上，可以换一个高位端口，或在软路由侧开启 PersistentKeepalive 维持打洞。

第二，家里宽带如果没有公网 IP，隧道端点就无处可连，这时候需要先解决 DDNS 加 IPv6 直连，或借助有公网 IP 的中转节点，方案复杂度会上升一截。

第三，配置文件里含私钥，别随手发到群聊或云笔记。一台设备丢了，记得在服务端把它的公钥吊销，相当于立刻收回那把钥匙。

小结

远程访问这件事，核心不是「能不能连上」，而是「连上的代价是否可控」。用 WireGuard 给家庭网络开一条专属加密隧道，既守住了内网服务不直接暴露的公理，又保留了随身的便利。它不炫技，但足够稳——对于大多数家庭来说，这正是一条对的路。