OpenWrt 路由器代理配置入门

先想清楚要不要做

在路由器上部署代理,好处只有一个但足够诱人:全家设备一次配置,电视盒子、游戏主机、智能音箱这些装不了客户端的设备也能被覆盖。代价则有好几条——性能受限、排障复杂、配置失误的影响面从一台设备扩大到整个家庭网络。

所以先做一次取舍。若你需要代理的只是笔记本和手机,在设备上装客户端更合理,速度更快、出问题也只影响自己,Linux 端的客户端配置在这里更合适。只有确实需要覆盖那些「没有客户端可装」的设备时,折腾路由器才划算。

本文面向已刷好 OpenWrt、能进入 Web 管理界面(LuCI)并会用 SSH 的读者。刷机本身不在讨论范围内,请以设备对应的官方固件说明为准。

硬件能不能扛住

这是最该提前判断却最常被跳过的一环。代理意味着路由器要对每个数据包做加解密,而家用路由器的 CPU 多是低主频芯片,单核性能只有电脑的零头。

一个现实的预期:入门级路由器跑加密代理,即使你办的是千兆宽带,实际吞吐也常常只有几十兆。这不是配置没调好,而是芯片算力上限,路由器方案换来的是覆盖面而非速度。协议选择上,轻量一些的方案对 CPU 更友好,特点可对照协议差异说明。

动手前的四道保险

这一节比后面的操作步骤更重要。路由器是整个家庭网络的枢纽,一条写错的防火墙规则就可能让所有设备同时失去网络,而你也会一并失去通过 Wi-Fi 登录管理界面的能力。

第一,备份现有配置。在 LuCI 的「系统 → 备份/升级」中生成备份文件并下载到电脑,不要只存在路由器本地。

第二,确认有线管理入口可用。准备一根网线,确保能用电脑直连路由器 LAN 口,并在本机手动设置同网段静态 IP 后访问管理地址。这是配置崩了之后唯一可靠的救援通道。

第三,提前查清本机型的恢复方式。多数设备支持在启动阶段进入安全模式(failsafe)或长按复位键恢复出厂,别等出事了才翻文档。

第四,挑一个没人急着用网的时间段操作,中途反复重启网络服务是常态。备齐这四条,即使失败也只是花二十分钟恢复,而不是整晚断网。

主路由改造还是旁路由

两条路线差别很大,建议多数人选后者。

主路由方案是把代理直接部署在承担拨号和 DHCP 的那台设备上,所有流量天然经过它,客户端无需任何设置。但它同时是单点:插件异常可能连带影响正常上网,调试期间全家都在陪你测试。

旁路由方案则是用另一台设备(软路由小主机或第二台路由器)接入现有局域网,关闭其 DHCP,只提供代理与网关服务。需要代理的设备手动把网关和 DNS 指向它,其余设备保持原状;失败时把网关改回去即可立刻恢复。代价是每台设备要手动改一次设置,且旁路由需长期开机。

安装插件的步骤

以下以旁路由为例,主路由流程类似,但每一步的影响范围更大。

1. 通过浏览器进入 LuCI 管理界面,在「系统 → 软件包」中点击更新列表,确认软件源可达。
2. 检查页面上方显示的剩余空间。若可用闪存不足 32MB,先卸载用不到的组件,或考虑挂载外部存储扩展空间。
3. 安装代理插件。优先使用 OpenWrt 官方软件源中已有的包;若需要第三方插件,只从其项目的 GitHub Releases 页面下载 ipk 文件,不要使用论坛附件或网盘转存的版本。
4. 若是手动上传 ipk,在「系统 → 软件包 → 上传安装包」中选择文件安装,依赖包需按提示一并安装。
5. 安装完成后刷新页面,菜单栏中会出现对应的插件入口(通常在「服务」菜单下)。
6. 进入插件页面,先不要急着启用,通读一遍各个选项卡。

如果第 1 步更新软件源就失败,说明路由器当前无法正常访问源站,先解决这个问题再继续——源都拉不到时强行装包只会得到一堆依赖错误。

接入订阅并设置分流

插件界面各不相同,但配置项的逻辑高度一致,通常包含以下几块。

订阅管理:找到「订阅」或「节点订阅」标签页,粘贴机场提供的订阅链接并点击更新。节点列表拉取成功后,回到主设置页选择要使用的节点。订阅格式须与插件匹配,格式不符会解析为空。

运行模式:一般提供「绕过中国大陆」「全局」「仅代理指定列表」几种。默认选绕过大陆,让国内流量直连,既省流量也避免国内服务因出口异常受影响。

DNS 处理:这是路由器方案最容易出问题的地方。国内域名应交给国内 DNS,国外域名交由远端解析,否则会出现节点连通但网页打不开的情况,原理见DNS 污染条目。保持插件默认的分流解析即可,不要把所有查询都指向单一境外 DNS。

局域网访问控制:多数插件支持按设备 IP 或 MAC 指定是否走代理。建议先只把一台测试设备加入代理列表,验证无误后再扩大范围,而不是一上来就接管全网。保存并应用后插件会重写防火墙规则,网络可能短暂中断几秒;若超过一分钟仍未恢复,用有线直连进管理界面关闭插件。

怎么确认它在工作

先在未加入代理列表的设备上访问国内网站,确认正常,说明没有误伤整个局域网;再到测试设备上访问国外站点,确认能加载。

进一步验证可以看插件自带的连接日志或状态页面,那里通常显示当前节点、已建立连接数与实时速率。想知道算力是否成为瓶颈,在下载大文件的同时通过 SSH 执行 top 观察 CPU:某个核心长时间接近满载而带宽远未跑满,基本可以确认是硬件限制。另外,晚间高峰速度下降是普遍现象,不必立刻归咎于配置。

出问题时按这个顺序查

另需留意:代理长期运行时连接数持续累积,内存偏小的机型几天后可能明显卡顿,可考虑定时重启或降低并发连接上限。

停用与恢复原状

正常停用只需在插件页面关闭启用开关并点击应用,防火墙规则会被撤销,流量恢复直连。旁路由方案下还要把此前改过网关的设备改回原路由器地址,否则它们会因为指向一个不再转发的网关而失去网络。

彻底卸载则在「系统 → 软件包」中移除插件及其依赖并重启路由器。如果卸载后网络仍不正常,说明有残留的防火墙或路由规则,最省事的做法是恢复此前下载的备份配置——这也是前面反复强调备份的原因。

安全与风险的最后提醒

路由器代理接管的是全家人的流量,部署前最好与同住的人说明。插件运行在最高权限下,来源不明的固件或 ipk 包一旦有问题,动摇的是整个网络的信任基础,务必坚持官方源与项目官方发布页。

管理界面要设强密码,并关闭从 WAN 口访问管理页面的选项。订阅链接保存在路由器配置中,备份文件同样包含它,不要随意上传网盘或转发他人。

最后重申现实预期:路由器方案解决的是覆盖问题而非速度问题,也不存在配置一次就一劳永逸的说法。动手前建议先读一遍风险与合规提示。