雅寶社區 · 頂客論壇 (AHPAL.COM)

💻 3C 科技教學

路由器 VPN 效能實測：ASUS RT-AX88U 的 WireGuard 與 OpenVPN 差異

發表時間：2026 年 11 月 10 日 | 更新日期：2026 年 11 月 10 日 | 編輯：雅寶社區編輯團隊

握手成本與重連機制：WireGuard 的握手只有一來一回，OpenVPN 要走完整的 TLS 握手，行動網路切換時感受特別明顯。

換句話說，RT-AX88U 用的是博通 BCM49408 四核心 Cortex-A53 1.8GHz，這個級別的 CPU 跑 WireGuard 是綽綽有餘，跑 OpenVPN 則是「剛好夠用」。下面就用實測數字驗證這句話。

二、測試平台與方法：ASUS RT-AX88U 硬體、韌體與量測工具

在丟數字之前，先把測試環境交代清楚。任何沒有交代環境的「實測」都只能當成參考值，因為換一條線路、換一個韌體版本，數字就可能差兩成以上。

2-1 受測設備與網路環境

受測路由器是 ASUS RT-AX88U，硬體規格為博通 BCM49408 四核心 1.8GHz、512MB 記憶體、256MB 儲存空間，提供 1 組 2.5G 級別的 WAN（實際上為 Gigabit）與 8 組 Gigabit LAN。測試時韌體為官方 ASUSWRT 3.0.0.4.388 系列（測試版本 388.24188），未刷第三方韌體，全部使用原廠介面設定。

對外線路為中華電信 FTTH 1Gbps/600Mbps，PPPoE 撥接，實測無 VPN 狀態下 Speedtest 約 940Mbps 下行、580Mbps 上行。測試期間關閉 AiProtection、QoS、流量分析與家長控制，因為這些功能會額外消耗 CPU，讓 VPN 吞吐量出現 5% 到 15% 的落差。

對端節點有兩個。第一個是「另一條獨立 1Gbps 光纖」環境下的用戶端，用來測試路由器當伺服器的情境；第二個是位於日本東京的 KVM VPS（1Gbps 共享埠、Ubuntu 22.04），用來測試路由器當用戶端的情境。兩邊都安裝了 iperf3 與 wireguard-tools、openvpn 2.6。

2-2 測試項目與量測方式

吞吐量一律用 iperf3 量測，參數為 iperf3 -c <對端> -P 4 -t 30 -O 3，也就是開四條平行連線、跑 30 秒、捨棄前 3 秒的暖機資料。每個設定跑三次，取中位數。之所以不用 Speedtest，是因為 Speedtest 的結果同時受到測試伺服器負載與路由跳數影響，變異太大，不適合拿來比較協定差異。

CPU 使用率透過 SSH 登入路由器後執行 top 與 cat /proc/loadavg 觀察，並記錄「單一核心最高使用率」與「四核平均使用率」兩個數字，因為 OpenVPN 幾乎只吃一顆核心，只看平均值會嚴重低估它的負擔。溫度則讀取路由器內建感測器，室溫控制在 26°C，測試前先閒置 30 分鐘。

延遲與抖動的部分，在 iperf3 跑滿速的同時並行執行 ping -i 0.2 -c 300，記錄平均 RTT、最大 RTT 與封包遺失率。連線建立時間則用 time 指令量測從下達連線命令到 tunnel 起來的時間，重複十次取中位數。

三、實測結果：WireGuard 與 OpenVPN 的效能差距有多大？

好，進入重頭戲。以下所有數字都是 RT-AX88U 在原廠韌體下的實測值，你的環境不一定會完全一樣，但「比例關係」基本上是可以參考的。

3-1 吞吐量實測：WireGuard 幾乎是 OpenVPN 的兩倍以上

先看路由器當 VPN 伺服器的情境，也就是你人在外面連回家裡。這個情境下，對端用戶端位於另一條 1Gbps 光纖後面，理論上不會成為瓶頸。

協定與設定

下行實測

上行實測

四核平均 CPU

單核最高 CPU

無 VPN 基準（LAN 直通）

938 Mbps

587 Mbps

12%

28%

WireGuard（MTU 1420）

641 Mbps

562 Mbps

31%

64%

OpenVPN UDP / AES-256-GCM

287 Mbps

268 Mbps

29%

97%

OpenVPN TCP / 443

182 Mbps

175 Mbps

28%

96%

這張表最有意思的地方不是「WireGuard 比較快」，而是「CPU 平均使用率幾乎一樣」。兩者的四核平均值都在 30% 上下，但 OpenVPN 的單核峰值已經頂到 97%，代表它被單執行緒架構牢牢鎖死在一個核心上。換句話說，RT-AX88U 的四顆核心對 OpenVPN 來說，只有一顆在真正工作，另外三顆在旁邊納涼。

WireGuard 這邊的單核峰值是 64%，四核平均 31%，看得出加密工作有一部分被分攤到其他核心。這也解釋了為什麼它能把下行推到 641Mbps，接近你家 600Mbps 上傳頻寬的上限——在這個設定下，瓶頸已經不是路由器，而是線路本身。

接著看路由器當 VPN 用戶端的情境，也就是整棟房子透過日本 VPS 出國。這個情境更貼近多數版友的實際用途。

協定與設定

下行實測

上行實測

延遲增加

抖動（jitter）

無 VPN 直連（對照組）

936 Mbps

578 Mbps

+0 ms

1.2 ms

WireGuard（東京節點）

618 Mbps

574 Mbps

+4 ms

2.1 ms

OpenVPN UDP / AES-256-GCM

262 Mbps

248 Mbps

+14 ms

5.8 ms

OpenVPN TCP / 443

155 Mbps

140 Mbps

+19 ms

11.4 ms

這裡的差距更誇張。WireGuard 下行 618Mbps，OpenVPN UDP 只有 262Mbps，比例約 2.36 倍；如果拿 OpenVPN TCP 來比，差距拉到將近 4 倍。抖動的差異也值得注意，WireGuard 是 2.1ms，OpenVPN UDP 是 5.8ms，OpenVPN TCP 則是 11.4ms。對於視訊會議、雲端遊戲這種對抖動敏感的應用，這個差距是能直接被使用者感受到的。

另外要提醒一個常見誤區：很多人以為「路由器 CPU 四核 1.8GHz」就代表 VPN 會很快，但實際上 OpenVPN 只看單核。所以如果你買的是雙核 1.5GHz 的入門機種，OpenVPN 吞吐量很可能掉到 150Mbps 以下，這時候就算你的寬頻是 1G，實際能用到的也只有一小部分。

3-2 CPU 使用率與溫度：誰比較省電、誰比較燙

連續跑滿速 30 分鐘後的溫度讀數如下：無 VPN 狀態下 CPU 約 62°C；WireGuard 滿載時約 68°C；OpenVPN UDP 滿載時約 74°C；OpenVPN TCP 則是 76°C。RT-AX88U 的散熱設計本來就不差，這個溫差還在安全範圍內，但如果你把路由器塞在弱電箱這種通風不良的地方，OpenVPN 滿載加上夏天室溫 32°C，是有機會讓機器進入降頻保護的。

功耗方面，用變電家量測整機功耗：待機約 9.8W，WireGuard 滿載約 13.2W，OpenVPN UDP 滿載約 14.6W。差距不算大，但如果 24 小時開著，一年下來的電費差異還是可以算得出來，大約是十幾塊新台幣的等級，實務上不用太在意。

真正要在意的是「高負載時的穩定性」。筆者在 OpenVPN UDP 滿載的情境下連續跑了 4 小時，中間出現過兩次短暫的吞吐量掉到 80Mbps 再回升的狀況，推測是 CPU 溫度逼近閾值後的短暫降頻。WireGuard 在同一個測試中沒有出現類似現象。對於需要長時間穩定傳輸的用途（例如異地備份），這一點值得納入考慮。

3-3 延遲、抖動與連線建立速度

連線建立速度的差距，是 WireGuard 最容易被低估的優勢。從下達連線命令到 tunnel 完全可用，WireGuard 的中位數是 0.18 秒（主要是金鑰協商與路由表更新），OpenVPN 則是 1.8 秒（含 TLS 握手、憑證驗證與 push options 交換）。如果開啟 tls-crypt 與雙向憑證驗證，OpenVPN 的建立時間會拉長到 2.5 秒左右。

這個差距在「固定連線」的情境下感受不明顯，但在「行動裝置切換網路」時就非常關鍵。筆者實測手機從 Wi-Fi 切到 5G，WireGuard 大約 1 到 2 秒就恢復連通，OpenVPN 則需要 4 到 8 秒重新握手，這段時間內的連線（例如 Line 語音通話、SSH session）會直接斷掉。如果你是那種常常在外面跑、需要保持連線的人，這個差異會非常有感。

另外，WireGuard 的設計是「無連線狀態」（stateless），封包遺失時不會觸發整個隧道重建，只會重送該封包。OpenVPN 走 TCP 模式時，外層 TCP 與內層 TCP 會產生「TCP-over-TCP」的效應，一旦線路品質不佳，重傳風暴會讓速度雪崩式下降。這也是為什麼上表中 OpenVPN TCP 的抖動高達 11.4ms 的原因。

3-4 手機與筆電端的補充測試

除了路由器對路由器的測試，筆者也用 iPhone 搭配官方 App 做了一輪補充測試。在 5G 網路下（實測約 300Mbps 下行），WireGuard 可以跑到 285Mbps，OpenVPN 則是 190Mbps 左右。這個差距比有線環境小很多，原因是行動網路本身的延遲與變異就比較大，把協定差異稀釋掉了。但即使在這裡，WireGuard 仍然有優勢，而且省電效果更明顯——連續使用 30 分鐘，WireGuard 的耗電量約為 OpenVPN 的 70%。

筆電端（Windows 11 搭配官方 WireGuard 與 OpenVPN GUI）在同樣的 5G 熱點下，WireGuard 跑到 292Mbps，OpenVPN 跑到 196Mbps。整體趨勢一致。

四、為什麼 WireGuard 比較快？從加密演算法與核心實作說起

知道「快多少」之後，接著要問「為什麼」。理解原理之後，你才有辦法判斷自己的情境適不適合換，而不是盲目跟風。

4-1 ChaCha20-Poly1305 與 AES-256-GCM 的硬體加速差異

OpenVPN 預設使用 AES-256-GCM，這個演算法在 ARMv8 平台上可以透過 Crypto Extensions 指令集加速，理論上不會太慢。問題在於 OpenVPN 的實作是呼叫 OpenSSL 函式庫，加解密過程中有大量的記憶體複製與函式呼叫開銷，真正用在「數學運算」上的時間其實只佔一小部分。

WireGuard 使用的 ChaCha20-Poly1305 在沒有專用指令集的平台上效能優秀，而在 ARM 平台則透過 NEON 向量指令加速。更關鍵的是，WireGuard 的實作極度精簡，整份程式碼大約四千行，加解密路徑上幾乎沒有多餘的分支與複製，這讓它的實際效率遠高於「理論值」的比較。

換句話說，不是 AES 比較慢，而是 OpenVPN 的「包裝」比較重。這也是為什麼在同樣的 RT-AX88U 上，兩者的單核 CPU 峰值會差到 33 個百分點。

4-2 核心空間與使用者空間的搬移成本

這是最根本的差異。OpenVPN 是一個使用者空間程式，每一個封包都要從網路卡進核心、往上送到使用者空間的 OpenVPN 處理、再送回核心、最後從網路卡送出。這中間涉及兩次 context switch 與多次記憶體複製（copy）。在 1Gbps 滿載時，這代表每秒數十萬次的搬移動作，全部都要 CPU 買單。

WireGuard 在原廠 ASUSWRT 韌體中是以核心模組的形式整合，封包在核心內就直接完成加解密與封裝，不需要進出使用者空間。這一個設計差異，就足以解釋大部分的速度落差。也因為它在核心內運作，記憶體足跡極小，對路由器的 512MB 記憶體來說幾乎沒有負擔。

4-3 握手次數與連線恢復機制

WireGuard 的握手採用 Noise Protocol Framework，整個流程只有一來一回，而且支援「無狀態」的連線恢復。當你的手機從 Wi-Fi 切到 5G，對端只要看到來自新 IP 的有效封包，就會自動更新端點位址，連線幾乎是無縫接續。

OpenVPN 則需要完整的 TLS 握手，包括憑證交換、驗證、加密參數協商，整個流程要好幾個 RTT。加上它是有狀態的連線，一旦 IP 改變就必須重新建立，沒有「自動跟隨」的機制。這就是為什麼在行動網路環境下，兩者的體驗差距會被放大。

五、ASUS 路由器上的 WireGuard 實戰設定

看懂原理之後，接著來看怎麼在 RT-AX88U 上把它開起來。原廠固件的操作邏輯其實設計得相當直覺，只要避開幾個常見的坑就好。

5-1 開啟 WireGuard 伺服器

登入路由器管理介面後，左側選單找到「VPN」→「VPN 伺服器」，切換到 WireGuard 頁籤，把「啟用 WireGuard 伺服器」設為開啟。接著設定監聽埠（預設 51820，建議改成 1024 到 65535 之間的非慣用埠以降低被掃描的機率），並確認「允許訪問網際網路」這個選項。如果你只想讓用戶端存取家中區網（例如 NAS），這裡保持關閉；如果你要讓所有流量都走家裡出去，就要開啟。兩者的效能表現略有不同，全隧道模式會多一些 NAT 開銷。

建立 Peer 的方式很簡單，點「新增」之後系統會自動產生一組金鑰對，你只需要填入一個容易辨識的名稱。 RT-AX88U 的原廠介面大約可建立 10 組 Peer，對家庭用戶來說相當夠用。若你要給臨時訪客使用，建議額外建一個專用 Peer，用完就刪，不要跟自己的裝置共用同一組金鑰。

5-2 匯出設定與匯入用戶端

建立好 Peer 之後，點擊右側的「匯出」按鈕，會下載一個 .conf 檔。這個檔案裡包含了用戶端的私鑰、伺服器公鑰、端點位址與 AllowedIPs。手機端只要安裝官方 WireGuard App，掃描介面提供的 QR Code 就能完成匯入，整個過程不到一分鐘。

電腦端則是安裝對應版本的 WireGuard 用戶端，把 .conf 檔直接拖進去即可。要注意的是，如果你在家用路由器後方用的是「DDNS 名稱」而非固定 IP，記得確認 DDNS 已經正確更新，否則出門後會連不上。另外，若你的網路環境處於 CGNAT（例如部分社區寬頻或 5G 固網），外部是無法直接連進來的，這種情況下有兩個解法：改用 Instant Guard（走 IPSec）或是改採 Tailscale、ZeroTier 這類打洞型方案。

5-3 常見錯誤排查

實務上最常遇到的問題有三個。第一是「連上了但沒有網路」，通常是 AllowedIPs 沒有設成 0.0.0.0/0，或是伺服器端沒有開啟「允許訪問網際網路」。第二是「速度只有幾十 Mbps」，八成是 MTU 設定不對，建議把用戶端的 MTU 從 1420 往下調到 1380 或 1360 試試，特別是在 PPPoE 撥接的線路上。第三是「一段時間後就斷線」，這通常與路由器的連線追蹤表（conntrack table）上限有關，可以把 UDP timeout 調長一點，或是直接更新到較新的韌體版本。

順帶一提，若你同時開啟了 AiProtection 或 QoS，記得測試時先關掉，否則你會量到被這些服務吃掉效能之後的數字，然後誤以為是 WireGuard 不夠快。

六、OpenVPN 還有存在價值嗎？三種情況建議繼續用

看到這裡，你可能覺得 OpenVPN 該被掃進歷史垃圾桶了。但先別衝動，以下三種情境，OpenVPN 仍然是更好的選擇。

第一，你需要穿透嚴格的防火牆。WireGuard 只走 UDP，而且封包特徵相對固定。在部分企業網路、飯店或學校網路中，非 443 埠的 UDP 流量會被直接封鎖。OpenVPN 可以走 TCP 443，封包長得跟 HTTPS 幾乎一樣，穿透率明顯較高。這也是筆者每次出差到網路環境複雜的地方，還是會把 OpenVPN TCP 設定留著當備援的原因。

第二，你需要帳號密碼與憑證的雙重驗證。WireGuard 只認金鑰，不認人。這在家庭環境很夠用，但如果你要管理十幾二十個使用者，而且要能個別撤銷權限、記錄誰在什麼時候連進來，OpenVPN 搭配使用者名稱密碼驗證、甚至整合 RADIUS 伺服器，管理彈性大得多。

第三，你的路由器比較舊或效能較弱。如果你手上的機器是較早期的 ARM 平台或 MIPS 架構，而且跑 OpenVPN 已經綽綽有餘（例如你家的上傳只有 100Mbps），那麼升級到 WireGuard 帶來的邊際效益有限，還不如把時間花在調整 Wi-Fi 覆蓋率上。

七、選購與調校建議：讓 RT-AX88U 的 VPN 效能再往上推

如果你已經決定要切換到 WireGuard，以下幾個調校方向可以讓效能再往上推一點。

7-1 韌體與設定調校

首先，確認韌體版本在 3.0.0.4.388 以上，早期版本雖然也能跑 WireGuard，但部分使用者回報有記憶體洩漏與斷線問題，後續版本已經修掉。其次，把不必要的中斷服務關掉，尤其是 QoS、流量分析與家長控制，這三個功能對 CPU 的消耗最有感。

第三，如果你的對外線路是 PPPoE 撥接，可以考慮把撥接工作交給中華電信的小烏龜，讓 RT-AX88U 走 DHCP 取得 IP。這樣可以省下路由器處理 PPPoE 封包的成本，實測大約能多出 3% 到 5% 的 VPN 吞吐量。第四，MTU 一定要調，特別是在 PPPoE 環境下，把 WireGuard 的 MTU 設為 1380 到 1400 之間，可以避免封包分段造成的效能損失。

7-2 什麼時候該換機器？

RT-AX88U 在 WireGuard 模式下能跑出 600Mbps 以上的吞吐量，對絕大多數家庭用戶來說已經足夠。但如果你的需求符合以下任一條件，就可以考慮升級到搭載更高階處理器的機種（例如具備 2.5G 埠與更強 CPU 的 Wi-Fi 7 機型）：你的寬頻超過 1Gbps；你需要同時跑多條 VPN 隧道（例如一條出國、一條連公司）；你需要站點對站點並且同時跑滿 IPSec 與 WireGuard。否則，把預算留給 Mesh 節點或 NAS 可能更實際。

八、結論與選型建議

總結這輪實測的結果：在 ASUS RT-AX88U 上，WireGuard 的吞吐量約為 OpenVPN（UDP / AES-256-GCM）的 2.1 到 2.4 倍，延遲增加量從 14ms 降到 4ms，抖動從 5.8ms 降到 2.1ms，連線建立時間從 1.8 秒縮短到 0.18 秒，單核 CPU 峰值從 97% 降到 64%。這些數字加起來，對「整棟房子出國」與「行動裝置遠端連回家」這兩種情境，都是非常明確的升級。

但我也必須說清楚：OpenVPN 不會消失。它走 TCP 443 的穿透能力、完整的帳號管理機制、以及對舊硬體的相容性，在特定場景下仍然是無可取代的。比較務實的做法是「兩個都留」：平時用 WireGuard 享受速度，遇到惡劣網路環境時切換到 OpenVPN TCP 當備援。RT-AX88U 的硬體規格足以同時支援兩套服務，你不用二選一。

最後提醒一句，這篇的所有數字都是在特定環境下測出來的，你的線路品質、韌體版本、甚至測試當下的鄰居有沒有在抓 BT，都會影響結果。建議各位版友自己動手量一次，看看你家路由器在 VPN 模式下到底能跑到多少，那才是對你真正有意義的數字。如果實測結果跟文中差距太大，歡迎到論壇的 3C 科技教學版發文討論，把你的環境資訊一起貼上來，會比較容易找出瓶頸在哪。

```

🏠 返回首頁