SoftEther VPN 4.44 介绍与选型指南
SoftEther VPN 4.44（build 9807）多协议 VPN 服务器认知与选型：双版本线、七协议矩阵、虚拟 Hub/SecureNAT 核心架构与 WireGuard/OpenVPN/strongSwan/Nebula 量化对比，版本与特性取证于 2026-10-20。
SoftEther VPN 4.44 介绍与选型指南
目标：说清 SoftEther VPN 是什么、凭什么用一套服务器同时兼容七种 VPN 协议、内部由哪些机制支撑，并给出与 WireGuard、OpenVPN、strongSwan、Nebula VPN 的量化选型对比。本文版本与特性数据取证于 2026-10-20（GitHub Releases tag 实查、官方仓库源码 README/BUILD_UNIX 实读），安装与 CLI/配置的完整实操实测见本专栏安装、配置、命令三篇。
一、环境信息
本篇为认知与选型篇，所有版本、许可、协议矩阵数据均来自官方一手来源联网溯源，取证日期统一为 2026-10-20，溯源清单如下：
- 版本线与发布节奏：GitHub 仓库
SoftEtherVPN/SoftEtherVPN_Stable（稳定版源码仓库）与SoftEtherVPN/SoftEtherVPN（开发版源码仓库）的 release tag 实查（tagv4.44-9807-rtm与5.02.5187均实查存在）； - 许可证与协议矩阵：稳定版仓库源码
LICENSE、README.TXT与开发版仓库源码README.md（含 Stable Edition 与 Developer Edition 官方对照表）实读； - 官方文档站：softether.org（项目主页、下载站 softether-download.com 链接）；
- 本地佐证版本：稳定版源码包
src/CurrentBuild.txt（VERSION 444、BUILD_NUMBER 9807、BUILD_DATE 20250416）与开发版源码CMakeLists.txt（VERSION "5.02.${BUILD_NUMBER}"）实读。
💡 技术拓展：SoftEther 的「稳定版 / 开发版」双仓库模型是开源软件常见的双通道发布策略的一种，同类做法横向对比——
通道模式 代表项目 特点 适用人群 双仓库双线 SoftEther VPN（Stable 仓库 + Dev 仓库） 两套独立仓库，稳定版冻结大特性只收修复，开发版快速演进 生产用户跟 Stable，尝鲜用户跟 Dev 单仓库双分支 OpenVPN（release/2.5 与 master） 同一仓库内分支区分 生产用户跟 release 分支 滚动发布 WireGuard（main 分支即发布） 无长期稳定分支，随内核节奏走 跟随发行版打包 SoftEther 官方在开发版 README 中明确写有："Stable Edition is available on https://github.com/SoftEtherVPN/SoftEtherVPN_Stable which the non-developer user can stable use."（稳定版供非开发者用户稳定使用）。因此本系列文档以稳定线 4.44（build 9807） 为准；开发版线在选型对比中如实标注差异。
二、软件概述
2.1 项目身份
SoftEther VPN（"SoftEther" 即 "Software Ethernet"，软件以太网）是一个开源、跨平台的多协议 VPN 服务器软件，由日本筑波大学（University of Tsukuba）Daiyuu Nobori 发起的 SoftEther VPN Project 维护，其开发曾受日本政府 MITOH 研发项目支持（经济产业省 METI 行政、信息处理推进机构 IPA 运营，见稳定版仓库 README.TXT 声明）。
它最核心的卖点是：用一个 VPN Server 程序、一个 TCP/UDP 端口面，同时接受 SSL-VPN（HTTPS）、OpenVPN、IPsec/L2TP、MS-SSTP、L2TPv3、EtherIP 等多种主流 VPN 协议的接入——用户不必为 iPhone、Windows、macOS、旧版 OpenVPN 客户端分别部署不同的 VPN 网关。
关键身份信息一览（取证日期 2026-10-20）：
| 项目 | 内容 | 来源 |
|---|---|---|
| 当前稳定版 | 4.44（build 9807，RTM，源码构建日期 2025-04-16） | Stable 仓库 tag v4.44-9807-rtm、src/CurrentBuild.txt |
| 当前开发版 | 5.02（build 5187，master 线） | Dev 仓库 tag 5.02.5187、CMakeLists.txt |
| 开源许可 | Apache License 2.0（已从早期 GPL 迁移，仓库内存有《Declaration_Switch_License_from_GPL_to_Apache》声明文件） | 两仓库 LICENSE 实读 |
| 维护方 | SoftEther VPN Project（筑波大学 / SoftEther Corporation / 社区贡献者） | 仓库 AUTHORS、README |
| 运行平台 | Windows、Linux、FreeBSD、Solaris、macOS（服务器端）；Windows/macOS/Linux/Android/iOS 客户端 | 官方 README |
| 管理面 | vpncmd 命令行（服务器模式 205 条命令，本系列 D1 篇实测）、Windows GUI 管理器、多语言 Web UI、JSON-RPC API | 官方 README、CLI 实测 |
2.2 为什么"多协议兼容"值得单独强调
企业/家庭场景中常见的痛点是： 远地办公人员的笔记本只能出 HTTPS 流量； 手机想用系统自带 IPsec/L2TP 而不装 App； 存量设备还跑着传统 OpenVPN 客户端； 站点间设备只支持 EtherIP/L2TPv3 隧道。传统做法要同时部署 OpenVPN 服务器、strongSwan/L2TP 网关、SSTP 网关等多个组件。SoftEther 用一个服务进程覆盖上述全部接入方式，且这些协议接入后进入同一个虚拟二层交换网络（虚拟 Hub），账号、访问控制列表、日志策略统一管理——这是它与"单协议 VPN 软件"最本质的定位差异。
三、核心架构
3.1 架构总览
SoftEther VPN Server 的内核可以概括为"一个用户态二层以太网交换机 + 一组协议网关 + 一组虚拟网络功能"。自顶向下的关键构件：
| 构件 | 角色 | 说明 |
|---|---|---|
| TCP Listener | 多端口监听面 | 默认同时监听 TCP 443、992、1194、5555（本系列配置篇对 vpn_server.config 的 ListenerList 段实测），HTTPS-VPN 与 OpenVPN 克隆、SSL-VPN 共用监听面 |
| 协议网关 | 协议归一化 | 把 HTTPS-VPN、OpenVPN、IPsec/L2TP、MS-SSTP、L2TPv3/EtherIP 等协议会话统一翻译成内部 Session |
| Session | 会话抽象 | 每个客户端/级联/SecureNAT/本地桥接都是一个 Session（如实测会话 SID-ADMIN-3、SID-SECURENAT-1、SID-LOCALBRIDGE-2），见本系列 D1 篇 SessionGet 实测回显 |
| Virtual Hub | 虚拟二层交换机 | 独立的 MAC 学习/广播域，可挂用户表、访问控制列表、日志策略；单服务器可建多个 Hub（实测命令 HubCreate/HubList） |
| SecureNAT | 虚拟三层功能包 | 三合一：VirtualHost（虚拟网关主机）、VirtualDhcpServer（DHCP 地址池）、VirtualRouter（NAT 路由，实测默认网段 192.168.30.0/24） |
| Local Bridge | 本地桥接 | 把虚拟 Hub 直接桥接到物理网卡或 TAP 设备，让 VPN 网络与物理二层网络融合（实测 BridgeCreate ... /TAP:yes 生成 tap_* 设备） |
| Cascade | 级联 | Hub 到远端 Hub 的二层隧道互联，用于多站点拼成一个大二层域 |
| 集群 | 横向扩展 | 控制器（Controller）/成员（Member）两级，可动态/静态虚拟 Hub（命令表含 ClusterSettingController 等） |
| 附属功能 | DDNS / VPN Azure / Keep Alive | 内置动态域名（实测 DynamicDnsGetStatus 返回 *.softether.net 主机名）、Azure 中继穿透、NAT 保活 |
3.2 数据平面：虚拟二层交换 + 按需三层
SoftEther 的 VPN 网络本质是以太网帧级（L2）虚拟交换：客户端建立隧道后，其虚拟网卡（SoftEther 自有的虚拟 NIC，如 Linux 下实测生成的 vpn_vpn 设备）直接"插"进虚拟 Hub。在此之上按需叠加三层能力，形成三种组网形态：
💡 技术拓展：VPN 常见的「二层桥接组网」与「三层路由组网」是两条技术路线，同类实现横向对比——
路线 原理 代表实现 优点 缺点 二层桥接（L2 VPN） 隧道内传以太网帧，远端像在同一交换机下 SoftEther 虚拟 Hub、OpenVPN TAP 模式、Nebula（帧级） 无缝迁移内网应用、广播发现协议可用 广播域大、效率略低 三层路由（L3 VPN） 隧道内传 IP 包，靠路由表互联 WireGuard、OpenVPN TUN 模式、strongSwan VTi 效率高、无广播风暴 不透传非 IP 协议、依赖路由规划 混合 同一产品同时提供两种形态 SoftEther（虚拟 Hub + L3 交换机/SecureNAT）、Firezone（基于 WireGuard 的 L3） 按场景选形态 配置概念多、学习成本高 SoftEther 实际同时具备两者：默认虚拟 Hub 是二层交换域（本系列安装篇实测：客户端经 DHCP 拿到 192.168.30.10 后直接与 SecureNAT 网关、TAP 桥接设备互通）；服务器还内置虚拟三层交换机（
VirtualLayer3SwitchList段，配置文件实测）做 Hub 间路由。本文主线采用默认二层 Hub + SecureNAT。
3.3 控制平面：vpncmd 与配置文件
- 配置持久化：全部状态落在一个声明式文本配置文件（服务器端
/usr/vpnserver/vpn_server.config），由服务进程自动回写（默认每 300 秒自动保存一次，AutoSaveConfigSpan实测值）；人工编辑必须先停服务，否则改动会被覆盖（配置文件头部注释原文警告，本系列配置篇实读）。 - 管理通道：
vpncmd一个二进制覆盖服务器/客户端/工具三种管理模式；服务器模式 205 条命令（本系列 D1 篇HELP实测），并支持/CMD单命令批处理、/IN命令文件批量执行、/CSV机器可读输出三种自动化形态（均实测）。 - RPC/API：管理操作走内部 RPC（安全日志实测记录
Administration mode [RPC-40]等事件）；开发版提供 JSON-RPC Web API 与 HTML5 管理台（稳定版默认DisableJsonRpcWebApi false、UseWebUI false，配置文件实测）。
四、功能特性
4.1 协议矩阵（官方对照表实录）
下表逐行转录自开发版仓库 README.md 的官方 "Comparison with Stable Edition" 表（2026-10-20 实读），✅=支持，❌=不支持，⚠️=部分支持：
| 协议 | 稳定版（SE） | 开发版（DE） | 官方备注 |
|---|---|---|---|
| SSL-VPN（HTTPS） | ✅ | ✅ | |
| OpenVPN | ✅ | ✅ | AEAD 模式仅开发版支持 |
| IPsec | ✅ | ✅ | |
| L2TP | ✅ | ✅ | |
| MS-SSTP | ✅ | ✅ | |
| L2TPv3 | ✅ | ✅ | |
| EtherIP | ✅ | ✅ | |
| WireGuard | ❌ | ✅ | |
| IKEv2 | ❌ | ❌ |
4.2 认证与管理特性（官方对照表实录）
| 特性 | 稳定版（SE） | 开发版（DE） | 官方备注 |
|---|---|---|---|
| 密码认证 | ✅ | ✅ | |
| RADIUS / NT 域认证 | ✅ | ✅ | |
| 证书认证 | ⚠️ | ✅ | SE 仅在 SSL-VPN 中支持 |
| IPv6 隧道 | ⚠️ | ✅ | SE 仅 L2 隧道内支持 IPv6 |
| IPv4 路由管理 | ✅ | ✅ | 仅 Windows 客户端 |
| IPv6 路由管理 | ❌ | ✅ | 仅 Windows 客户端 |
| TLS 服务端校验 | ⚠️ | ✅ | SE 需手工指定证书或 CA |
| ECDSA 证书导入 | ❌ | ✅ | |
| AES-NI 硬件加速 | ⚠️ | ✅ | SE 需 Intel AES 库且仅 x86；DE 默认开启 |
| 兼容 SoftEther VPN 1.0 | ✅ | ❌ | |
| 兼容 Windows XP 及更早系统 | ✅ | ❌ |
💡 说明：稳定版 4.44 的协议加密算法通过
ServerCipherSet管理，实测可用算法列表共 23 项（从RC4-MD5到ECDHE-RSA-CHACHA20-POLY1305，本系列 D1 篇逐条实录），默认AES128-SHA，实测可切换为AES256-GCM-SHA384并在会话信息中确认生效（SessionGet回显Encryption: Enabled (Algorithm: TLS_AES_256_GCM_SHA384)）。
4.3 传输与运维特性
- 穿透能力：HTTPS 承载的 SSL-VPN 可穿过仅放行 443 的防火墙；内置 "VPN over ICMP / VPN over DNS"（实测默认关闭，
VpnOverIcmpDnsGet回显）；内置 NAT-T 与动态 DNS，无固定公网 IP 也能发布。 - UDP 加速：会话实测
UDP Acceleration is Supported/Active: Yes（本系列 D1 篇SessionGet回显），在 TCP 隧道之上协商 UDP 旁路加速。 - 日志体系：服务器日志、安全日志、包日志三类分目录落盘（实测
/usr/vpnserver/server_log/、security_log/<Hub名>/、packet_log/<Hub名>/），支持按 sec/min/hour/day/month 轮转（LogSwitch实测）。 - Keep Alive：内置对
keepalive.softether.org:80（UDP，实测默认 50 秒间隔）的心跳保活，防 NAT 表项老化。
五、快速开始（最小可用示例）
以下为官方源码构建路线的最小可用流程，命令转录自官方 BUILD_UNIX.TXT/README.TXT 指引与仓库内 systemd/softether-vpnserver.service 单元（本节仅列命令与预期结果，逐行实测回显见《Ubuntu 22.04 安装 SoftEther VPN 指南》篇）。查询日期 2026-10-20，来源为上述官方仓库文件。
# 1. 安装编译依赖（Ubuntu 22.04 官方源）
apt-get -y install build-essential libreadline-dev libssl-dev libncurses-dev zlib1g-dev
# 2. 下载稳定版 4.44 源码包（GitHub 官方仓库 tag）
wget https://github.com/SoftEtherVPN/SoftEtherVPN_Stable/archive/refs/tags/v4.44-9807-rtm.tar.gz
# 3. 解压并构建（configure 生成 Makefile，make 编译）
tar xzf v4.44-9807-rtm.tar.gz
cd SoftEtherVPN_Stable-4.44-9807-rtm
./configure
make -j$(nproc)
make install # 安装到 /usr/vpnserver、/usr/vpnclient、/usr/vpnbridge、/usr/vpncmd
安装完成后用 vpncmd 完成"建 Hub → 建用户 → 开 SecureNAT"三步即可接受客户端拨入（以下为服务器模式下的关键命令，完整回显见本专栏 D1 篇）：
vpncmd 127.0.0.1:5555 /SERVER /PASSWORD:q1w2e3r4 /ADMINHUB:DEFAULT /CMD UserCreate admin /GROUP:none /REALNAME:admin /NOTE:demo
vpncmd 127.0.0.1:5555 /SERVER /PASSWORD:q1w2e3r4 /ADMINHUB:DEFAULT /CMD SecureNatEnable
验证方式：vpncmd 127.0.0.1:5555 /SERVER /PASSWORD:q1w2e3r4 /CMD ServerStatusGet 应返回 Server Type | Standalone Server 与监听 Hub 数；ss -ltnp 应看到 443/992/1194/5555 四个监听端口由 vpnserver 进程持有。
六、适用场景与限制
6.1 适用场景
- 远程接入统一网关：员工设备杂（Windows/macOS/iOS/Android/Linux），要求不装客户端用系统自带 IPsec/L2TP 或 SSTP，又能兼容存量 OpenVPN 用户——SoftEther 一个服务全收，账号集中在一个 Hub。
- 受限网络出口穿透：出口仅放行 HTTPS（TCP 443）或仅有 ICMP/DNS 可用（配合 VPN over ICMP/DNS），SoftEther 的 HTTPS-VPN 与多形态穿透是针对性设计。
- 站点间二层互联：分支机构需要与总部处于同一二层广播域（如老应用依赖广播发现），用 Cascade 级联或本地桥接把两个物理网络融为一个以太网。
- 无固定公网 IP 的发布：内置 DDNS 与 NAT-T，家用宽带/动态地址也能对外提供 VPN 接入。
- 实验室多协议教学/验证环境：单一进程即可对照观察 SSL-VPN、OpenVPN、IPsec/L2TP 的握手与封装差异，命令行可完全自动化（
/IN文件批处理实测可用）。
6.2 已知限制（如实标注）
- IKEv2 不支持：官方对照表明确两版均为 ❌；需要纯 IKEv2 的场景应选 strongSwan。
- 稳定版无 WireGuard 协议：WireGuard 接入仅开发版（5.x）提供；稳定线用户如需 WireGuard 应独立部署 WireGuard 或选择本站已实测的 Nebula VPN/Firezone 方案。
- 稳定版证书认证仅限 SSL-VPN：OpenVPN/IPsec 等协议接入无法使用证书认证（官方备注 ⚠️ 项）。
- 稳定版 AES-NI 需要额外库：需手工链接 intel_aes_lib 且仅限 x86；开发版默认启用。
- IPv6 隧道能力受限：稳定版仅在 L2 隧道内支持 IPv6，且无 IPv6 路由管理（Windows 客户端场景）。
- 性能定位：官方定位为 1Gbps 级吞吐（用户态实现），追求线速加密转发应评估内核态方案（如 WireGuard 内核模块）。
七、同类选型对比
7.1 量化对比表
对比对象为四类主流自托管 VPN 方案。SoftEther/OpenVPN/strongSwan 数据取证于 2026-10-20（官方仓库与文档），Nebula VPN 数据与本站《Nebula VPN 1.11.2 介绍与选型指南》一致：
| 维度 | SoftEther VPN 4.44 | OpenVPN 2.7 | strongSwan | Nebula VPN 1.11.2 | WireGuard |
|---|---|---|---|---|---|
| 协议形态 | 多协议网关（SSL-VPN/OpenVPN/IPsec/L2TP/MS-SSTP/L2TPv3/EtherIP） | 单协议（TLS + TUN/TAP） | 单协议族（IKEv1/IKEv2 IPsec） | 单协议（自有 Noise 证书隧道） | 单协议（内核态 WireGuard） |
| 组网模型 | 虚拟二层 Hub（L2 为主，附 L3 交换） | 点对点/远程接入 | 策略/路由型 IPsec | Mesh 网状 | 点对点 Mesh（人工拓扑） |
| 配置面 | vpncmd 205 条命令 + 声明式配置文件 | 配置文件 + openvpn CLI | swanctl/ipsec 配置 | 单 YAML 配置文件 | wg-quick + wg CLI（极简） |
| 内置 DHCP/NAT | SecureNAT 三合一（实测 192.168.30.0/24 池） | 无（依赖脚本/外部服务） | 无（依赖 updown 脚本） | 无（静态地址组网） | 无（静态地址组网） |
| 穿透能力 | HTTPS 复用 + NAT-T + DDNS + VPN over ICMP/DNS | TLS 穿透强、无内置 DDNS | NAT-T 支持 | 基于 QUIC 的证书隧道穿透强 | UDP 单协议，受限网络弱 |
| 首选客户端 | 全平台（含系统自带 IPsec/SSTP） | OpenVPN 客户端 | 系统自带 IPsec 客户端 | nebula 客户端 | wg 工具/内核 |
| 集群/扩展 | 控制器-成员集群、级联 | 无原生集群 | 无原生集群（靠高可用外挂） | lighthouse 中继体系 | 无 |
| 许可证 | Apache-2.0 | GPL-2.0（AGPL 关联组件另计） | GPL-2.0 | MIT | GPL-2.0 |
| 版本节奏（取证日） | 稳定 4.44（2025-04-16）/ 开发 5.02.5187 双线 | 2.7 系列持续维护 | 6.x 系列持续维护 | 1.11.2 | 随内核发布 |
关键差异解读：SoftEther 的护城河在"协议覆盖 + 内置三层功能 + 集群/级联"，是表中最重的网关型软件；其余四者更接近"隧道协议 + 生态工具"。若只需要一条高质量隧道，WireGuard/Nebula 的配置复杂度低一个数量级；若要一个多协议兼容、带 DHCP/NAT、能桥接物理网络的 VPN 网关，SoftEther 几乎没有同量级对手。
7.2 场景化选型建议
- 需要兼容"不能装客户端"的设备（手机系统 VPN、旧 Windows SSTP、存量 OpenVPN）→ SoftEther；
- 设备全可控、追求极致吞吐与低运维 → WireGuard（或本站实测的 Nebula VPN 网状组网，见《Ubuntu 22.04 安装 Nebula VPN 指南》）；
- 纯 IPsec 站点对站点（防火墙设备互通、IKEv2 强需求）→ strongSwan；
- 需要"VPN + 统一身份/策略平台"（LDAP/SSO 驱动的准入）→ Firezone（见《Firezone 1.6.3 介绍与选型指南》）或 WireGuard 生态；
- 只想快速搭一台传统 SSL VPN 并用成熟生态 → OpenVPN（见《OpenVPN 2.7 介绍与选型指南》与《Ubuntu 22.04 安装 OpenVPN 指南》）；
- 想用一套服务器同时覆盖上述多种客户端 → SoftEther。
八、参考链接
- SoftEther VPN 官方主页：https://www.softether.org/
- 稳定版源码仓库（4.44 线）：https://github.com/SoftEtherVPN/SoftEtherVPN_Stable
- 开发版源码仓库（5.x 线）：https://github.com/SoftEtherVPN/SoftEtherVPN
- 官方二进制下载站：https://www.softether-download.com/
- 版本历史：https://www.softether.org/5-download/history
- 本专栏姊妹篇：《Ubuntu 22.04 安装 SoftEther VPN 指南》《SoftEther VPN 4.44 配置参数详解》《SoftEther VPN 4.44 常用 CLI 命令详解》