OpenVPN 怎么用、什么时候选它

• 只认 OpenVPN 的设备：路由器固件（OpenWrt、梅林、DD-WRT）、NAS（群晖、威联通）、Linux 服务器、旧系统。这些地方装不了 Hiddify，AnyConnect 也没有客户端。
• 要开机自动连、无人值守：OpenVPN 的配置是一个文件，放进系统的 VPN 设置就能随开机启动，不需要界面操作。
• 手机和电脑日常用：AnyConnect 不用导入、Hiddify 抗丢包更强，日常用它们更顺手。OpenVPN 优先走 UDP，UDP 被限时会自动改走 TCP 保持连通，这种网络下 AnyConnect 更快。
• 同一个账号三种都能用，没有必要只选一种。

选你的系统，照着截图一步步做；右上角的按钮可以直接看视频，截图点一下能放大。

• iPhone / iPad 没有视频：在本站专网页面的表里装官方的 OpenVPN Connect，登录后点地区国旗下载 .ovpn 文件，在客户端里打开或导入，点连接。
• 除了 OpenVPN Connect，Windows 还可以用 OpenVPN GUI，macOS 可以用 Tunnelblick，都认同一份配置。
• Windows、macOS、安卓、iOS 的配置已内置账号密码，不用再填；只有 Linux 要在首次连接时填本站邮箱和密码。
• 一个地区一个文件，要几个地区就下几份。

• OpenWrt 路由器：装 luci-app-openvpn，上传 .ovpn，启用即可；整个局域网走线路。装了本站固件的路由器不需要这一步，登录账号就行。
• 群晖 NAS：控制面板 → 网络 → 网络界面 → 新增 → VPN → OpenVPN（通过导入 .ovpn 文件）；勾选「使用默认网关」才会让 NAS 的出站流量走线路，只想让 NAS 能被访问的话不勾。
• 威联通 NAS：QVPN → VPN 客户端 → 添加 → OpenVPN，导入文件。
• Linux 桌面：网络设置 → VPN → 从文件导入。命令行（Debian/Ubuntu 先装 openvpn 包）：openvpn --config 文件名 想开机自启，把文件放到 /etc/openvpn/client/ 并启用对应的 systemd 单元。

人在国内连上线路后，所有流量都从海外出去，国内网站会绕远变慢。本站提供一个「国内直连工具」，下载双击运行，国内 IP 直连、其余走线路，思科和专网通用；局域网本来就是直连的，不需要处理。

海外用户请忽略这个工具——它会让国内网站绕过线路，对回国看视频是反效果。

要更细的规则（按域名、按应用），用路由器方案或 Hiddify 的分流。

1. 换一个地区的配置再连。另一个地区能连，说明只是那台服务器暂时不可达。
2. 看日志里的关键词。AUTH_FAILED 是账号密码错或账号到期；日志里先是 UDP 超时、随后改用 TCP 连上，说明当前网络限制了 UDP，能用但会慢；UDP 和 TCP 都报 TLS handshake failed / TLS key negotiation failed，是到服务器的网络不通，换网络或换地区；改过密码的要重新下载配置，旧文件里的密码已经失效。
3. 换网络。宽带不行切手机流量试一次，反过来也一样；校园网、公司网限制 UDP 时 OpenVPN 会自动改走 TCP，能连但慢，嫌慢就改用走 TLS 的 AnyConnect。
4. 更新客户端。旧版 OpenVPN 客户端不认新的加密配置，表现为导入报错或连接失败。
5. 账号到期后服务器会断开连接，续费后重新连接即可，配置不用换。

配置文件里带着你的账号密码，等于账号本身：别发给别人、别传到公开的地方。泄露了就在本站改密码，旧文件立刻失效，重新下载即可。

线路的握手本身也加了密：没有配置里那把密钥的人连握手都发不起，服务器对扫描器不可见。这也是为什么旧版本客户端要更新——OpenVPN 2.5 以前的版本不支持这种握手。

加密用 AES-256-GCM，与 AnyConnect 的强度相当。