開啟 3 天免費試用
註冊即可免費體驗全部高級功能。
*只限新用戶；每位用戶只可獲得一次試用。
甚麼是 VPN Passthrough？甚麼時候需要開啟
Ryan Foster
2026年4月19日· 更新於 2026年10月4日· 6 分鐘讀完
VPN Passthrough 是路由器上的一項功能，讓你網絡內的電腦或手機發出的 VPN 流量可以穿過路由器的 NAT 和防火牆，到達外部的 VPN 伺服器。 它適用於路由器本身不是 VPN 終止點的情況：解決的是「讓 VPN 客戶端可以經過路由器」，不會把路由器變成 VPN，也不會把它接到 VPN 伺服器。［1］［2］［3］
如果你需要補齊 VPN 基礎，可以先用這篇VPN 完整指南理清隧道、出口 IP、加密和路由，再回到本文。
先講結論：2026 年，大多數普通用戶通常不用手動調整 VPN Passthrough。 現代客戶端更常用 WireGuard、OpenVPN、IKEv2 這些對 NAT 較友好的方案，很多家用路由器也已預設處理好。真正經常遇到這個設定的，多數是舊設備、舊協議或企業歷史環境。［1］［2］［3］
關鍵要點
VPN Passthrough更接近路由器上的兼容功能，不是路由器 VPN 本身。［1］- 它主要與 NAT、舊式 VPN 協議和端口處理有關。［2］［3］
- 常見名稱包括
PPTP Passthrough、L2TP Passthrough、IPsec Passthrough。［1］- 對現代個人 VPN 用戶來說，通常不用主動開啟或關閉它。
- 如果你在配置企業 VPN、舊路由器或原生 IPsec 客戶端，這個選項才更可能影響連線。
如果你仍然把 IPsec、NAT-T 和「VPN 隧道」混在一起，建議先看了解 IPsec VPN 的保護方式和了解 VPN 隧道如何傳送流量，再回來看 passthrough 會清楚得多。
VPN Passthrough 到底是甚麼意思？
先分清兩個最容易混淆的概念：
| 名詞 | 它是甚麼意思 |
|---|---|
| 路由器 VPN | 路由器自己建立 VPN 連線，保護全網設備 |
| VPN Passthrough | 路由器允許某些 VPN 客戶端流量穿過 NAT 或防火牆［1］ |
也就是說，Passthrough 不是「主動連線」，而是「不要攔住它」。
這也是為甚麼很多人明明只在電腦上開 VPN，卻在路由器後台看到 IPsec Passthrough 之類的開關。它不是讓電腦自動更安全，而是為了兼容特定協議。
VPN Passthrough 為甚麼會和 NAT 有關？
因為家用路由器幾乎都在做 NAT。NAT 會把家中多台設備的私有地址映射到同一個公網出口。問題是，某些舊式 VPN 協議的封包結構和校驗方式，本來就不太適合被 NAT 改地址或端口。RFC 3715 和 RFC 3947 都專門討論了 IPsec 與 NAT 的兼容問題。［3］［4］
Passthrough 就是因此存在：它本質上是一組兼容處理，讓這些 VPN 流量能順利穿過路由器。
甚麼時候你真的可能需要 VPN Passthrough？
以下情況更可能碰到它：
- 你在使用較舊的路由器；
- 你連接公司提供的原生 IPsec/L2TP 配置；
- 你遇到「手機熱點能連，在家中路由器後面反而連不上」；
- 你在排查企業 VPN 與家用 NAT 的兼容問題。
如果你只是日常使用成熟 VPN App，而且預設走現代協議，多數時候不用主動修改這個設定。
上面列表中「手機熱點能連、路由器後面連不上」的情況，值得在打開路由器管理介面之前先驗證。使用 AethoVPN 時，先在家中路由器後面連接某個伺服器位置，再讓同一裝置改用手機熱點連接同一個位置，然後換一個負載顯示為綠色的位置重複一次。如果只有路由器後面的嘗試失敗，原因較可能在路由器或防火牆；App 不能改動你路由器的 NAT 或防火牆規則，所以只有路由器本身的說明指向 passthrough 選項時才去切換它。改動路由器設定之前，先開始 3 天免費 Pro 試用，把四次嘗試（路由器或熱點 × 第一個或第二個位置）各自是否成功記錄下來。
常見的 VPN Passthrough 有哪些？
每個名稱對應一種舊協議需要路由器轉發和追蹤的流量：
| Passthrough 名稱 | 路由器需要放行的流量 | NAT 為甚麼會造成阻礙 |
|---|---|---|
| PPTP Passthrough | TCP 1723 端口上的控制連線，加上 GRE 封裝的數據封包［5］ | GRE 沒有端口號，簡單的 NAT 無法判斷回應封包屬於家中哪部裝置 |
| L2TP Passthrough | UDP 1701 端口，通常包在 IPsec 內，即 L2TP/IPsec［2］［6］ | 底層的 IPsec 會遇到與一般 IPsec 相同的 NAT 問題 |
| IPsec Passthrough | IKE 使用 UDP 500 端口，NAT-T 使用 UDP 4500 端口；不用 NAT-T 時是原始 ESP 封包［4］［7］ | IKE 預期固定的來源端口，而 ESP 沒有端口，NAT 只能用其他方式追蹤工作階段［3］ |
PPTP Passthrough
這是最舊的一類。它主要處理 PPTP 相關流量穿過 NAT 的問題，但 PPTP 已不符合現代安全標準，一般不建議繼續使用。［1］
L2TP Passthrough
它主要與 UDP 端口處理有關，用來協助 L2TP 流量穿過路由器。
IPsec Passthrough
這是最常聽到的一類。它通常與 NAT-T、ESP、IKE 等 IPsec 機制相關，也是企業遠端接入中更可能遇到的問題。［3］［4］
VPN Passthrough 和「路由器裝 VPN」有甚麼分別？
這一點最需要分清楚。
| 問題 | VPN Passthrough | 路由器裝 VPN |
|---|---|---|
| 路由器自己會不會連 VPN | 不會 | 會 |
| 作用對象 | 允許客戶端流量通過 | 讓全網設備走路由器 VPN |
| 常見用途 | 協議兼容、NAT 適配 | 全屋設備統一加密 |
| 普通用戶是否常用 | 很少單獨關心 | 相對更常見 |
如果你真正想理解「隧道」本身，可以繼續看了解 VPN 隧道如何傳送流量。
2026 年還需要手動開啟 VPN Passthrough 嗎？
多數情況下，不需要。
原因很簡單：
- 現代家用路由器很多已預設啟用相關兼容；
- 現代 VPN 客戶端更偏向 NAT 友好的協議；
- 普通用戶越來越少手動配置舊式 PPTP/L2TP 環境。［1］
真正需要你動手時，通常已經有明確故障，例如 VPN 一直卡在連線中、同一帳戶在其他網絡正常但在家中路由器後不正常，或企業 IT 明確要求你檢查 IPsec passthrough。
VPN 連不上時，Passthrough 應該怎樣排查？
較穩的次序是：
- 先換網絡，例如手機熱點；
- 確認是否只有家中路由器後面不行；
- 查看路由器是否有
IPsec/L2TP/PPTP Passthrough選項； - 優先保留現代協議，盡量不要回退到更舊方案；
- 如果是企業環境，按 IT 提供的協議和端口要求排查。
如果你遇到的是更廣義的「VPN 根本連不上」，也可以搭配看排查 VPN 連線失敗。
總結
VPN Passthrough是路由器對特定 VPN 協議流量的兼容功能，不等於路由器自己連 VPN。［1］- 它存在的核心原因，是 NAT 與舊式 VPN 協議之間的兼容問題。［3］［4］
- 大多數普通用戶在 2026 年已不需要頻繁手動調整這個設定。
- 真正碰到它時，通常代表你正在處理舊協議、舊路由器或企業歷史環境。
常見問題（FAQ）
VPN Passthrough 到底是甚麼？
它是路由器允許某些 VPN 協議流量穿過 NAT 的兼容功能，不是 VPN 本體。［1］
開了 VPN Passthrough，家中所有設備會自動走 VPN 嗎？
不會。Passthrough 只是讓相應協議流量通過路由器；若要讓裝置經路由器使用 VPN，還需要另行設定 VPN 連線和路由規則。
現在還需要 PPTP Passthrough 嗎？
多數情況下不建議繼續依賴 PPTP，因為它已不符合現代安全要求。
IPsec Passthrough 和 NAT-T 是同一回事嗎？
不是同一回事，但關係密切。前者更像設備側兼容選項，後者是 IPsec 穿越 NAT 的協議級方案。［3］［4］
為甚麼手機熱點能連 VPN，家中路由器後面反而不行？
這可能與家用路由器的位址轉換、協議兼容性或穿透設定有關。熱點與家中網絡的比較是排查線索，不能單憑它確定故障原因。
普通用戶需要到路由器後台手動開啟它嗎？
大多數情況下不用，除非你已有明確連線故障，或企業 IT 明確要求檢查。
免責聲明：本文僅用於一般網絡與路由器配置知識說明，不構成企業網絡部署、安全審計或採購建議。不同品牌路由器的功能名稱與實作方式可能存在差異。
來源：
- TechTarget - How do I disable VPN passthrough? What are the pros and cons to disabling it? — https://www.techtarget.com/searchnetworking/answer/How-do-I-disable-VPN-passthrough-What-are-the-pros-and-cons-to-disabling-it
- Microsoft Learn - VPN connection types — https://learn.microsoft.com/en-us/windows/security/operating-system-security/network-security/vpn/vpn-connection-type
- RFC 3715 - IPsec-Network Address Translation (NAT) Compatibility Requirements — https://www.rfc-editor.org/rfc/rfc3715
- RFC 3947 - Negotiation of NAT-Traversal in the IKE — https://www.rfc-editor.org/rfc/rfc3947
- RFC 2637 - Point-to-Point Tunneling Protocol (PPTP) — https://www.rfc-editor.org/rfc/rfc2637
- RFC 2661 - Layer Two Tunneling Protocol "L2TP" — https://www.rfc-editor.org/rfc/rfc2661
- RFC 3948 - UDP Encapsulation of IPsec ESP Packets — https://www.rfc-editor.org/rfc/rfc3948
Sources checked 2026 年 10 月 4 日。
延伸閱讀：
