VPN 怎么共享给局域网设备？先选主机方案，再验证路由是否生效

更新于 2026-11-01 · flowercloud.site

简答：长期让多台设备共用 VPN，优先考虑支持 VPN 客户端的路由器或旁路由；临时共享可先试 Windows 的 ICS 或网络共享。macOS、Linux 和手机热点不能仅凭“热点已连接”判断成功，必须检查目标设备的 IP、默认网关、DNS、IPv6 和 VPN 断线后的行为。

定义：VPN 共享是让一台已建立 VPN 隧道的主机或路由器充当局域网网关，通过 Wi-Fi、网线或其他网络接口把连接转发给其他设备。

先选方案：你需要的是共享出口，还是访问远端内网？

先把问题分成两类：如果只是让电视、游戏机、平板或其他设备通过同一个 VPN 出口访问互联网，重点是共享接口、默认路由、NAT 和 DNS；如果还要访问公司内网、家庭存储或远端网段，还必须确认 VPN 服务端路由、分流规则、DNS 后缀和访问控制，不能只看网页能否打开。

方案	适合场景	额外设备	能否默认确认走 VPN	验证重点
VPN 路由器或旁路由	长期覆盖多台设备	通常需要支持对应协议的路由器	不能默认确认	路由器状态、客户端公网 IP、DNS 与断线行为
Windows ICS 或网络共享	临时共享给手机、电视、游戏机	Wi-Fi 网卡或另一块有线网卡	取决于共享的接口和 VPN 路由	目标设备网关、共享接口、出口 IP
macOS Internet Sharing	Mac 作为临时网关	通常需要独立的上游和输出接口	取决于版本、客户端和可用接口	共享来源是否出现、出口 IP 与断线测试
Linux NetworkManager	可控的家庭网关或实验环境	最好有有线回程或两块无线网卡	只有默认路由确实指向 VPN 时才成立	默认路由、VPN 接口、转发、NAT 和 DNS
Android 或 iPhone 热点	临时提供普通网络	手机本身即可	不能默认确认	必须在另一台设备上检查出口 IP；Android 官方资料也明确区分 VPN 流量与热点共享流量

最短判断：长期多设备使用，优先把 VPN 放在路由器或旁路由上；临时电脑共享，先尝试 Windows 的 ICS 或系统网络共享；Mac 和 Linux 要先确认可用的 VPN 接口与默认路由；手机热点只有通过目标设备实测后才能算成功。

Windows 的移动热点文档只说明可以选择一个互联网连接并通过 Wi-Fi 或蓝牙共享，并没有保证任意 VPN 虚拟适配器都能被移动热点正确转发。可先核对 Microsoft 的移动热点说明，再根据实际接口进行验证。

Windows：区分移动热点与传统 ICS，不要把热点已连接当成 VPN 共享成功

Windows 上有两条不同路径：一条是“设置”里的移动热点，适合快速共享系统识别到的互联网连接；另一条是“网络连接”里的 Internet Connection Sharing，也就是 ICS，适合明确指定共享来源和输出网卡。两者是否能把 VPN 流量转给局域网设备，取决于系统、驱动、VPN 客户端和路由行为，不能只凭菜单名称判断。

前置条件

电脑自身已经连接 VPN，并能访问目标业务或网页。
准备一个输出接口：Wi-Fi 热点、以太网网卡或 USB 网卡。
记录电脑连接 VPN 前后的公网 IP、默认路由和 DNS，便于回退和对照。
确认 VPN 客户端没有禁止局域网访问、转发或共享；菜单名称可能因客户端而变化。

路径一：先试 Windows 移动热点

打开 VPN 并确认电脑本机连接正常。
进入“设置”>“网络和 Internet”>“移动热点”。
在“共享我的 Internet 连接来自”中选择 Windows 当前列出的连接。不要假定列表中的普通 Wi-Fi、以太网或某个虚拟适配器一定代表 VPN 隧道。
在“共享方式”中选择 Wi-Fi，设置名称和密码后开启热点。
让目标设备连接热点，然后立即进行本文的 IP、网关、DNS、IPv6 和断线测试。

如果 VPN 虚拟接口没有出现在移动热点可选项中，或目标设备出口 IP 没有变化，不要继续反复开关热点；改用下面的 ICS、网线共享、路由器或让目标设备单独安装客户端。

路径二：用 ICS 明确指定输出网卡

按 Win+R，输入 ncpa.cpl，打开“网络连接”。
先识别三类接口：上游普通网络接口、VPN 客户端实际使用的虚拟接口、连接目标设备的输出网卡。名称可能包含 VPN、TUN、TAP、Wintun 或其他自定义名称，但不能只凭名称确认。
右键可能承载 VPN 流量的接口，选择“属性”>“共享”。若该接口没有“共享”选项，或启用后目标设备无法获得地址，说明当前客户端或驱动可能不支持这种共享方式。
勾选允许其他网络用户通过此计算机的 Internet 连接来连接，并在下拉框中选择输出网卡。
目标设备设为自动获取 IP 和 DNS。它获得的默认网关通常应指向 Windows 电脑在共享接口上的局域网地址，而不是直接指向上游路由器。
在目标设备上检查地址、网关和公网出口；若网关指向上游路由器，通常说明设备没有经过 Windows 共享链路。

Windows 官方说明可确认移动热点的入口和共享方式，但不能替代对 VPN 虚拟接口的实际核验。若 Windows 10 仍在使用，请注意其支持已于 2025 年 10 月 14 日结束；菜单和驱动行为应按当前系统版本单独确认。

macOS：Internet Sharing 只负责共享，VPN 是否能成为上游要看接口是否可用

macOS 提供 Internet Sharing，可把一个网络连接共享到 Wi-Fi、以太网或其他输出端口。Apple 官方路径是“Apple 菜单”>“系统设置”>“通用”>“共享”>“互联网共享”，然后配置“共享连接来自”和“连接到设备使用”。具体步骤可核对 Apple 的 Mac 网络共享说明。

可复现的判断流程

先连接 VPN，确认 Mac 本机的公网 IP 和目标业务访问正常。
打开“系统设置”>“通用”>“共享”>“互联网共享”。
查看“共享连接来自”列表中是否存在可用于共享的 VPN 或系统网络接口。
如果列表没有明确可用的 VPN 接口，不要把普通 Wi-Fi 或以太网直接当成 VPN 上游；系统设置本身可能无法完成该方案。
在“连接到设备使用”中选择输出方式，设置 Wi-Fi 名称和密码，开启共享。
让目标设备连接后，检查它的网关、出口 IP、DNS、IPv6，再关闭 Mac 上的 VPN观察是否立即失去对应访问。

macOS 版本、VPN 客户端的系统网络扩展、协议实现和路由规则都可能影响共享结果。Apple 还提醒，如果互联网连接和本地网络使用同一个端口，开启共享可能造成网络副作用；遇到网络异常时，应停止共享并恢复原来的连接布局。

Linux：创建热点不等于完成 VPN 共享，必须确认默认路由和 NAT 方向

Linux 的 NetworkManager 可以为输出接口启用共享模式。官方文档说明，ipv4.method=shared 会在共享接口上提供私有地址、DHCP、DNS 转发和 NAT，并把客户端流量映射到当前默认网络连接；因此，热点客户端是否走 VPN，关键不在“热点是否创建成功”，而在 VPN 是否已经成为主机的默认路由或被策略路由明确接管。可核对 NetworkManager 的 IPv4 shared 设置说明。

只创建共享接口

先查看接口：

nmcli device status
nmcli connection show --active
ip route

假设输出接口是 wlan1，可以用以下示例创建共享连接：

nmcli device wifi hotspot ifname wlan1 con-name vpn-share ssid VPN-Share password "请替换为强密码"
nmcli connection modify vpn-share ipv4.method shared
nmcli connection up vpn-share

这一步只完成热点、地址分配和 NAT 的基础配置。它通常会把客户端流量送往“当前默认网络连接”，所以必须再次执行 ip route，确认默认路由是否指向 VPN 接口。若默认路由仍指向普通 Wi-Fi 或以太网，热点客户端也可能绕过 VPN。

需要远端内网时的额外核对

检查 VPN 配置是否包含目标远端网段，而不是只包含普通互联网默认路由。
WireGuard 要核对 peer 的 AllowedIPs；它决定哪些目标地址会被送入该 peer，不能把所有配置都当成全局出口。
检查输出接口上的共享地址、客户端默认网关和 NAT 状态。
如果使用自定义防火墙或策略路由，需额外检查转发规则；不要只依赖热点创建命令。

只有当目标设备拿到正确网关、主机的路由把对应流量送入 VPN、NAT 和防火墙允许转发，并且公网出口验证通过时，才可以称为完成了 VPN 共享。

Android 与 iPhone：原生热点不要默认当成 VPN 共享

手机本机连接 VPN，不代表连接手机热点的其他设备自动使用同一条隧道。Android 官方资料说明了 VPN 服务如何为本机建立虚拟接口、按应用选择流量以及阻止非 VPN 连接；Android 的热点帮助页则单独说明了移动数据共享。两者不能合并推导出“热点流量一定经过 VPN”。

部分 Pixel 设备的官方说明还明确把 USB 和 Wi-Fi 热点流量列为不受该设备 VPN 保护的数据类型，可参考 Google Pixel 的 VPN 说明。这说明手机热点必须以目标设备实测为准，不能只看手机状态栏中的 VPN 图标。

在手机上连接 VPN。
开启热点，让另一台设备连接。
在另一台设备上检查公网 IP、DNS 和 IPv6；手机本身的结果不能替代目标设备结果。
关闭手机 VPN，观察目标设备是否恢复到普通出口。
如果出口没有变化，停止把该热点当作 VPN 共享，改用电脑 ICS、支持 VPN 的路由器，或让目标设备单独安装客户端。

Root、修改系统路由或安装来源不明的转发工具可能带来权限和稳定性风险。本文不建议为了临时共享而改变手机的系统安全边界。

验证速查：目标设备必须检查 IP、网关、DNS、IPv6 和断线行为

不要只看“已连接”。目标设备能连上热点，只能说明它完成了无线或有线接入，不代表流量已经进入 VPN。建议按下面顺序验证：

项目	怎么查	成功标准	失败时先看什么
公网 IP	在目标设备浏览器打开 IP 检查页面；电脑或可用终端也可执行 `curl https://api.ipify.org`	与 VPN 主机连接后的出口符合预期	共享来源、默认网关、VPN 路由
默认网关	在目标设备网络详情或路由器管理页查看	网关通常指向共享主机或共享路由器，而非直接指向上游网络	ICS、DHCP、访客网络和客户端隔离
DNS	使用系统网络详情、浏览器 DNS 检测页，或在终端执行 `nslookup example.com`	解析服务器和解析结果符合 VPN 或企业网络要求	DNS 覆盖范围、分流规则和共享接口
IPv6	浏览器访问 IPv6 检测页；终端可执行 `curl -6 https://api64.ipify.org`	IPv6 不应绕过预期的 VPN 路径	客户端 IPv6 能力和共享网络的 IPv6 配置
断线行为	保持目标设备连接，关闭主机 VPN	目标设备应停止访问受 VPN 保护的目标，或按明确的 Kill Switch 规则阻断	Kill Switch 覆盖范围、普通默认路由和防火墙

电视、游戏机和部分物联网设备不一定能执行命令。此时使用浏览器访问 IP 检查页，查看系统网络详情中的网关和 DNS，或在共享路由器的客户端列表与状态页核对。没有实测结果时，不要声称共享已经生效。

分层排错：接口、地址、路由、DNS、应用依次检查

现象	优先检查	处理与回退
目标设备搜不到热点	输出网卡、热点开关、无线频段和驱动	改用网线、另一块无线网卡或路由器；先停止当前共享
能连接但拿不到 IP	DHCP、Windows ICS、NetworkManager shared、访客网络	关闭共享并重新建立；Linux 检查 dnsmasq 是否可用
有 IP 但网关指向上游路由器	共享主机是否真正充当网关	检查 DHCP 和输出接口；不要继续修改 DNS 或 MTU
有 IP 和网关但出口 IP 未变化	VPN 是否是默认路由，或共享的是普通接口	停止共享，重新确认 VPN 接口和路由，再重复验证
网页能开但部分服务失败	DNS、IPv6、分流规则和远端网段路由	先分别测试 IPv4、IPv6 和 DNS；MTU 只作为进阶排查，不要直接套用固定值
VPN 断开后目标设备仍正常访问	普通默认路由和 Kill Switch 覆盖范围	确认保护的是主机、共享客户端还是两者；无法确认时停止共享
互联网可用但内网设备找不到	局域网隔离、广播发现、防火墙和远端路由	把“共享互联网出口”和“局域网发现”分开排查

最安全的回退顺序：先让目标设备断开共享网络，再关闭热点或 Internet Sharing；随后断开 VPN；恢复电脑或路由器原来的默认网络；最后删除临时共享配置。不要同时叠加多个代理、VPN、DNS 和 MTU 改动，否则很难判断是哪一步造成问题。

边界与延伸：协议名称不能替代接口和路由核验

OpenVPN、WireGuard、TUN、TAP、系统网络扩展等实现可能暴露不同的系统接口和路由行为。本文不把它们当成同一种配置：真正决定能否共享的是客户端是否提供可共享接口、默认路由或策略路由是否覆盖目标流量、输出接口是否完成 DHCP/NAT，以及防火墙是否允许转发。

如果目标只是共享互联网出口，重点记录：主机系统版本、VPN 客户端名称、VPN 接口、上游接口、输出接口、目标设备 IP、网关、DNS 和 VPN 开关前后的公网 IP。如果目标还要访问远端内网，再增加远端网段、DNS 后缀、分流规则和访问控制信息。

本文只提供核验框架，没有对任何具体客户端、线路、速度或兼容性作保证。菜单名称、协议能力和系统行为可能随版本变化，应以当前客户端和系统实际显示为准。

如果你准备长期让多台设备共用一条网络出口，可了解边界云加速的设备与线路配置方案，再按实际终端逐项验证。

常见问题

打开电脑热点后，连接的手机或电视就一定走 VPN 吗？

不一定。移动热点可能共享普通 Wi-Fi 或以太网，ICS 也可能选错接口。目标设备必须检查默认网关、公网 IP、DNS、IPv6，并进行主机 VPN 断线测试。

Windows 移动热点里没有 VPN 虚拟适配器怎么办？

不要强行把普通接口当成 VPN 上游。可以尝试“网络连接”中的 ICS，明确指定实际输出网卡；如果目标设备出口 IP 仍未变化，改用支持 VPN 的路由器或让目标设备单独安装客户端。

Windows 网线共享后，目标设备的默认网关应该是什么？

通常应指向 Windows 电脑在共享输出接口上的局域网地址，而不是直接指向上游路由器。具体地址由 Windows ICS 和网络配置决定，应以目标设备实际获得的地址为准。

macOS 能不能把 VPN 共享给 Wi-Fi 设备？

macOS 提供 Internet Sharing，但是否能把 VPN 作为可用上游，取决于系统版本、客户端实现、网络扩展和路由。若“共享连接来自”列表没有可用 VPN 接口，系统设置本身可能无法完成该方案。

Linux 创建了热点，为什么客户端仍然没有走 VPN？

NetworkManager 的 shared 模式会把客户端流量 NAT 到当前默认网络连接。若主机默认路由仍指向普通 Wi-Fi 或以太网，热点客户端也可能绕过 VPN。应检查 <code>ip route</code>、VPN 接口、默认路由和防火墙转发。

Android 手机连着 VPN，开热点后其他设备能共用吗？

不能默认保证。Android 的 VPN 主要描述手机本机的流量路径；热点属于另一条共享链路。必须在连接热点的设备上检查公网 IP、DNS 和 IPv6，不能用手机本身的 VPN 图标代替验证。

共享 VPN 后能访问公司内网或家庭存储吗？

不一定。共享互联网出口和访问远端内网是两种需求，还要检查远端网段路由、DNS、WireGuard 的 AllowedIPs 或其他分流规则，以及服务端访问控制。