如何将中美两国的家庭网络组成局域网?

[chengfeng1992]

中国、美国各有一个家庭网络，均有公网 ipv4 ，且可以互相直连，延迟 150ms 左右，比较稳定。 两个局域网内各有几十台家用设备。

希望:

1. 实现局域网互通。可以在两端各加一个旁臂路由，或者其他设备也可。(个人不喜欢用软路由当主路由)
2. 互相作为网络出口。在中国通过美国网络访问 Google 、ChatGPT 等，在美国使用中国网络访问淘宝等网站。

大佬们有成熟方案吗？或者给个关键词？ ZeroTier 或 WireGuard 好用吗？

提前感谢各位大佬！

补充:

1. 在美国使用中国网络访问淘宝等网站

这个属于 刚需。

最近在美，没办法用淘宝下单很多东西了，哪怕寄到国内转运仓也不行。

个人猜测与此有关:

阿里巴巴与AUS同意支付6亿美元，以了结美国司法当局对其提出的未阻止非法药物销售的指控

挂国内的梯子会被淘宝检测到，但挂家中自建梯子没问题。如果有好的办法，也请大佬告知。

1. 在中国通过美国网络访问 Google 、ChatGPT 等

这个不重要。

平时有梯子可以用，比直连美国要快。只是偶尔在需要美国住宅ip的时候用一下。

[Thesara]

你这个需求比较符合 tailscale 吧，可以组网，然后可以把其中的设备配置为出口，然后组网的设备可以按需启动

[churchmice]

弄两台 openwrt 的路由器，用 zerotier 路由器直通，然后修改路由表，就可以做到互联了
我是 zerotier 自建 planet

[chengfeng1992]

@churchmice 大佬，这样实现需求 2 会撞墙吗？是不是还需要再加一层壳？

[YAFEIML]

这种其实 VPN 比较好，国外一般有公网 IP ，国内直接 VPN 拨号过去做好路由表就跟局域网没差了，就是速度不太好罢了。

[hefish]

我也是 zerotier ， 自建 planet 。 我还有不自建 planet 的备选。 两个 network 都可用。

[volvo007]

整个美国 vps?

[docx]

还是尽量用过墙的协议

[xenme]

wireguard/ipsec 基本不用考虑，大概率被阻断。openvpn 会好一点。推荐翻墙协议，两边 x86 或者 openwrt 建连

[Mar5]

ZeroTier 、tailscale 以及普通 vpn 还是算了吧，你这要过 GFW ，至少外面套一层适合翻墙的协议。
另外非对称路由全互通想想就觉得麻烦。

[M48A1]

友情提醒，随着时间的推移，注意美国家里的公网 IP 送中。

[chengfeng1992]

@M48A1 意思时间长了，ip 可能直接进 GFWList ？

[miyuki]

@chengfeng1992

比如你在国内用油管 app ，用的多了，谷歌通过大数据或者 app 定位把你美国 ip 标记成中国了

[lurenjiaMAX]

"局域网互通" 这个要求可以详细说说 因为有些软件是三层 VPN 只有 IP 互联 MAC 层不互联 一些广播包和利用二层的协议支持不了 导致一些依赖这种行为的游戏或软件没有办法去互联
比如 Tailscale 就是三层 SD-LAN VPN 而 Zerotier 则是二层的
这点要考虑好

[chengfeng1992]

@miyuki 收到，感谢大佬，会注意这个问题的。这种我可以用梯子。刚才没说清楚，在上面做了一下补充。

[chengfeng1992]

@lurenjiaMAX 可以在浏览器/App 远程管理下异地的局域网设备就行，比如进入路由器管理后台/查看监控。我的理解这个不需要 MAC 层的互联。

[DogBear]

不管用啥协议，建议外层套一层 xray 或者 hysteria2 做转发

[xxyyang]

我就是这么做的，简单分享下思路：
用 Tailscale 组网，中国家庭网络、美国家庭网络各一个节点，再在阿里云/腾讯云海外选一个物理位置居中的地方自建一个 DERP 中转（教程很多），三者组进同一个 tailnet ，并指定走自建 DERP 替换官方 DERP——一是打洞更快，二是国内访问官方 DERP 容易遇到瓶颈。
进阶玩法：把中国家庭网络设为 exit node ，配合分流软件，只让极端需要国内 IP 的流量（比如政务类网站，如北京小客车指标、12123 之类）走这条线，其余流量正常走。海外也能跑满中国 40M 上行带宽。

[stephCurry]

@xxyyang 可是过 gfw 稳定吗？毕竟基于 wireguard 特征明显，是否会遇到 udp 丢包或者更近一步被 gfw ban ip ？

[sansam]

@stephCurry 强制走 derp 中转，中国<->derp 协议<->美国，这样就没有 wg 跨墙。我考虑过这个方案，一直没这么弄。

[qqqyh]

两个局域网均有公网 IP ，这不是 S2S VPN 的应用场景吗？

[ajyz]

买个机场中转就不错，不然相当于直连，稳定性堪忧

[mooyo]

流量不大的话搞个按流量计费的专线 VPS ，跑 wireguard 就行了。

[laminux29]

正确的落地方案应该是：

1.在中国通过美国网络访问 Google 、ChatGPT 等：
买搬瓦工的 CN2 GIA VPS ，这样就有独享的美国 IPv4 。需要开 IPv4 白名单 + fail2ban + 至少 16 位强密码，然后在国内使用 SSH 反向隧道访问，才是正解。速度快，周五晚高峰不丢包，全年稳定。

2.在美国使用中国网络访问淘宝等网站：
买个阿里云的 Windows VPS ，开远程桌面 + IPv4 白名单 + wail2ban + 至少 16 位强密码，然后美国电脑直接用远程桌面连接过去就行。

[stephCurry]

@sansam 国内腾讯云自建 derp 然后走 tailscale 的节点的 exit node ，我理解等于美国穿 gfw 进 derp 然后这个协议还是会被识别啊，就是新加坡腾讯云 derp 也需要传走 gfw 到国内，也还是没有跳过 gfw 探测。当然，不确定个人这样做会不会被 gfw ban ，几年前个人用境外家宽部署 ss ，国内链接仅个人用，链接一会 port 会被临时 ban 掉一段时间，当时用机场节点当中转解决。大家说的 wireguard 协议明显容易被 gfw 识别，不知道真正实践又有多少，ss 我是亲自实践亲自部署的

[stephCurry]

@laminux29 我推测 ssh 反代小流量看看网页 ok ，持续大流量应该不行吧，毕竟早期 gfw 就对 ssh 方案有对应方法

[FringJX]

1.国内的家里放一台 macmini ，装一个 surge ，打开 Ponte 。

2.美国的家里也放一台 macmin ，安装 surge ，把国内的所有地址和 ip 都分流到国内的 Ponte 作为流量出口。

3.结束。

[crackself]

中美互联 WireGuard 协议会被墙，用 xray 或者 singbox 加密互联，指定域名设置规则分流

[knightdf]

zerotier

[taikobo]

这么多人都是纸上谈兵
我现在就在用着呢
国内北美欧洲 6 个不同城市内网互联
就 wireguard 就行, 搞其他虚头巴脑的毫无意义, 走 ipv6
也可以套一个转 tcp 的工具, 尽量找小众一点的

重点是你两头都得是家宽 IP

国内有几个摄像头连到北美的 NAS 上 frigate, 一个月将近 2T 流量都没问题

[786375312123]

直接用电信联通电话卡漫游

[Cbdy]

试试 netbird ，我就用这个

[lonely701]

比较安全的做法是国内路由器上架设 openvpn 服务器，需要在美国访问国内网站的时候按需连接。如果是在国内访问海外网站，建议购买代理，带宽差得不是一点半点。当然，在应急或者需要住宅 IP 的时候反过来连接 openvpn 即可，这样比较安全，速度慢是缺点但也是优点，不容易被 GFW 识别。

[lonely701]

@lonely701 在两边的路由器上架设两个 openvpn 服务端，我目前就是这么做的。

[bottlebottles]

路由器上开一个 OpenVPN 就好了，简单易用，各端都有客户端

[fyq]

在关注这类方案，我听人说 GFW 对你从中国往外翻睁一只眼闭一只眼，但对于你在国内开一个 exit node 提供国内出口的，打击迅速而严厉，会导致你在美国的 IP 被 GFW 墙掉，从此你再也看不到任何中国的 IP 。不知道这种说法是真是假，我有固定 IP ，不太敢拿自己当小白鼠。请过来人指点一二。

[Autonomous]

选一侧网关架设 VLESS+Reality+Vision 或者 Hysteria2 服务端，另一侧网关用客户端连。
分别是 TCP 和 QUIC 的方案，两者都试试，哪个好用就留哪个。

[92493]

@fyq 我感觉是错误的。例子是：我在国内的 exit node 已平稳运行 300 余天，平日连接速度也比较快，两边都是家宽。

[enrolls]

WireGuard + wg-friend 撸起衣袖，用起来再说，出现被墙，生物自然会进化。BTW 小路由(内存小于 512M)的 Hysteria2 我自己发现有转发 bug （在 pve ）下，爬坑的时候注意点。

[laminux29]

@stephCurry #25 SFTP 也是走 SSH 的，GFW 不敢断 SSH ，不然各种互联网基础设施、业务，就得挂掉一大片。

[zsqduke]

两边各搞一个 shadowsocks 服务器即可

[defunct9]

费劲。走混淆过的 openvpn 就完事了

[mylara]

我在美国没有家，就不纸上谈兵了。

[m3mcpy]

推荐 Netbird ，开自建中继、管理，文档也比较全。
https://github.com/netbirdio/netbird

[stephCurry]

@zsqduke #24 有回复 肯定阻断啊 10 年前的方案 gfw 精准识别啊

[xhcnb]

两边各放一台设备, 根据 ip 地址分流, 比如 https://github.com/dndx/nchnroutes
我推荐使用 tinc 协议, 小众, 走 TCP, 也可封装进其他隧道, 内地和香港用这个稳定好几年了

[enrolls]

根据 IP 分流，我也做了一个 https://github.com/swoiow/poptrie 主打一个拼 Python 灵活性＋批量解析速度+文件大小的天花板，自动滚动更新数据。带 overlap 报告，检查分类的冲突（譬如多个国家拥有同一 CIDR ）。

基本上，时至今天，GITHUB 上的技术把这些问题都玩透了。

[Ipsum]

使用 xray-core 之类的代理工具将 wg 包一层之后就是路由器与路由器之间的事情了。

[lnbiuc]

比较麻烦，你说的局域网是 L3 层代理吧，得用 WireGuard 这种 tun 网卡协议，WireGuard 又不能直接用，得 udp 转 tcp 再套 tls 伪装。如果你只是刷淘宝一个作用的话，直接 tls 代理就行

[fyq]

@92493 家里的话，用什么设备合适，Apple TV 怎么样？

[hxdyxd]

家宽是动态 ip 吧，有 ipv6 建议优先用 ipv6

[92493]

@fyq 路由器就可以，我是部署在一台 openwrt 路由器上、一个 s805 机顶盒上。当然 Apple TV 性能相当强悍，肯定也可以。参考官方帮助文档： https://tailscale.com/docs/install/appletv

[383394544]

v2ray-core 或 xray-core 的反向代理功能正是你要的。

[huihuilang]

买一条阿里云或者云厂专线，两边虚拟路由器，通过 ipsec 组网，是最正规的企业级组网方式

不过提醒一下，单向翻墙被抓到非常刑

[lirui0073]

easytier 轻松加愉快

[zsqduke]

@stephCurry 用了几年没问题，可能我流量小吧。就是直连速度太慢

[tvirus]

屏蔽 Tailscale 的 UDP 41641 端口，强制流量通过 DERP(HTTPS/TLS 443 端口) 代理中转。强制使用 TLS 后，通信流量由于经过了 DERP 中继节点，其加密外壳会显现为普通的 HTTPS 流量，但网络吞吐量（带宽）会受到严重限制

[kujou]

看了一下你好像没有组成局域网的刚需，
你的需求可以拆成两个，1 ，中国人通过梯子访问美国网站
2 ，中国家里放一个 mini 主机或 nas 或其他设备常年开过墙服务，美国人连回来。

[ranaanna]

本人的做法是两地之间建两条独立的 vpn 隧道（目前是用两个 lxc 的 wireguard ，每个容器只占用 3MB 的内存），每条隧道的一边做 ip reoute 和 dnsmasq 分流以及 iptables -t nat -A POSTROUTING -o 隧道 tun 名称 -j MASQUERADE ，另一边 iptables -t nat -A POSTROUTING -s 隧道网段 ! -d 隧道网段 -j SNAT --to-source 本机地址，两边都 sysctgl -w net.ipv4.ip_forward=1 ，两边的 dhcp server 都指定各自一边的主机作默认网关。这样简单处理两边的所有终端不用任何处理就可以完全无感互访，上网也美国到美国中国到中国分得粉清楚，完全满足 OP 需求且不用前面各位说的“按需连接”和"exit node"，double exit nodes 有没有是不是。很多年用下来也并没有遇到 GFW 问题。ipv6 也可以如法炮制。如果有多地需要连接，那么选择一地做星形即可

[00oo00]

@ranaanna 其实一条就可以了，VPN 隧道是双向互通的

[williampan]

最简单，2 个 mini 装远程软件，你在哪里就远程连接远方的。当然你要组网确实不可以这么操作。

[briancao]

WG 出墙是不合适，就算国内跨城市都被 QOS 的厉害，刚部署好那会你能连上，一旦你在国内访问谷歌什么的，立马第二天你美国的 ip 端口被墙。如果你不从国内访问谷歌，只是美国访问中国，wg 也行，qos 你可以试试 ipv6 之类的，反正我是不愿意被防火墙明文知道我在干啥
所以建议二端加密，至于用哪种方式，网上太多了，找一种你觉得都方便的方法就行了。

[wanghanthu]

美国翻中国比中国翻美国难。你以为方滨兴是吃干饭的吗？

[shum02]

tailscale 就好了，坐标 MY
目前家里移动无公网 NAT1+联通有公网 配合爱快双线配置路由规则
因为 MY 到国内的链路只有移动 CMI 比较好，所以爱快路由规则让 MY 目前的家宽段 IP 路由都走移动那条线
然后 tailscale 的 exit node 用来我在 MY 连回国内，以及在国内反向连接使用 GPT 之类的
目前只有我和我朋友使用，还算比较稳定，没有长时间大流量需求，偶尔使用一下没什么问题