没有公网 IP，也能随时「回家」：WireGuard ＋纯 IPv6 的回家实战

教程稿（脱敏版）· 2026-10-28 实测

适用：宽带没有公网 IPv4（运营商 CGNAT）、但有公网 IPv6 的家庭；路由器为华硕 RT-AX86U Pro（Asuswrt-Merlin 固件，其他支持 WireGuard 服务器＋IPv6 的路由器原理相同）。

先说结论

人在外面，手机一点，整条流量钻回家里：用家里宽带上网、直接打开家里的 NAS 和内网设备，就像坐在客厅里一样。

多数人卡在第一步：「我家宽带没有公网 IP，这事办不成。」其实未必——IPv4 没有公网，IPv6 可能是真的公网。今晚这条路就是这么趟通的：一台路由器自带的 WireGuard 服务器、一个只挂 IPv6 记录的域名、一个每隔几分钟自动对账的小脚本。中间还翻了一次车，翻得很有教育意义，一并写在下面。

第一步：先查家底，别凭感觉判死刑

进路由器后台看 WAN 状态，对照两个问题：

• WAN IPv4 是不是 100.64.x.x 开头？ 是的话，这是运营商 CGNAT 的内网段——全小区共用出口，你没有公网 IPv4，从外面连不进来。
• IPv6 是不是 Native＋DHCP-PD、有公网前缀下发？ 是的话，恭喜：你家的路由器在 IPv6 世界里有一个真实可达的地址，这条路能走。

注意：查 IP 以路由器 WAN 页读数为准。电脑浏览器若挂了代理，测出来的「外网 IP」是代理出口的，会把你带偏。

第二步：开通路由器自带的 WireGuard 服务器

这台路由器出厂就带 WireGuard 服务器，不用装任何东西：

1. 后台 → VPN → VPN 服务器 → Others → WireGuard VPN，开关打开；
2. 记下监听端口（默认 51820）和隧道地址；
3. 点「＋」新建一个客户端，路由器会自动生成一对全新的密钥；
4. 导出配置文件，准备发给手机。

坑 1：固件导出的 IPv6 端点，没有方括号

导出配置里端点长这样：240e:xxxx:xxxx:xxxx::xxxx:51820——IPv6 地址和端口之间没有方括号分隔，手机 App 直接判无效、拒绝导入。

解法：手动把端点改成 [240e:xxxx:xxxx:xxxx::xxxx]:51820 再导入；或者导出为文件、用「从文件导入」的方式建隧道。本文后面还会把这个地址换成域名，一劳永逸。

第三步：外场实测，要「真外场」

在家里连家里 WiFi 测 VPN，是自欺欺人。今晚的测法：

• 电话卡插进另一台手机，开热点；
• 主力手机无卡，连这个热点——这时它对家里来说就是一个彻头彻尾的外网访客；
• 开隧道，验两件事：浏览器打开 192.168.50.1 能出路由器登录页；视频网站能正常播。

两样都过，隧道主体就算通了。

第四步：翻车——换上 DDNS 域名后，连不上了

裸 IPv6 地址能用，但电信的 IPv6 前缀会轮换（PPPoE 租约到期、路由器重启都可能变），地址一变，手机里的配置就作废。所以要给隧道配一个 DDNS 域名，地址变了域名跟着变。

路由器自带华硕 DDNS，注册好域名、打开 IPv6 更新，域名解析出的 IPv6 地址和路由器 WAN 一字不差——看起来万事大吉。结果：握手失败，只有发送、没有接收。

坑 2：域名同时挂着 A 记录，手机会先撞 IPv4

查手机端隧道详情，「对端」显示的赫然是一个 IPv4 地址。原因：这个 DDNS 域名除了 AAAA（IPv6）记录，还自动挂了一条 A（IPv4）记录，内容是运营商探测到的出口地址。手机解析域名时不挑食，拿到 IPv4 就先走 IPv4——而那个 IPv4 是 CGNAT 的共享出口，只能出、不能进，握手包石沉大海。

裸地址时代没这个毛病，是因为配置里写死的是 IPv6。域名没做错任何事，它只是「太全了」。

解法：给隧道准备一个只有 AAAA 的专用域名

• 在自己的域名 DNS 后台，建一个子域名（例如 wg.你的域名），只加一条 AAAA 记录，指向路由器当前 IPv6，TTL 设短（120 秒）；
• 隧道配置里的端点改成 wg.你的域名:51820；
• 手机再解析时无从选择，只能走 IPv6——握手秒过。

再配一个自动同步小脚本：每隔几分钟，拿路由器 DDNS 域名的最新 AAAA 和这个专用域名的记录对一次账，不一致就自动改。这样前缀轮换也好、路由器重启也好，域名永远跟着走，再不用碰手机配置。

第五步：安全收尾，别给试搭留后门

• 正式客户端单独建一对新密钥，只给正式设备用；
• 试搭期间用过的客户端，回到路由器里删掉并应用生效——试搭配置在调试中难免经手多个环节，删了才算干净；
• 密钥文件的传递只走局域网可信通道（如隔空投送），不进聊天记录、不进截图、不进文章。

成果

现在的状态：出门在外打开隧道——

• 手机流量全部经家里宽带出口，外面看到的是家里的 IP；
• 家里的 NAS、各种内网盒子，用局域网地址直接打开；
• 域名自动跟着 IPv6 变，配置一次，长期有效。

一页速查