OpenWrt 路由器 VPN 配置教⁠程：分流规则一次配好

OpenWrt 路由器 VPN 配置的核心，不是把一个客户端安装到路由器里，而是让路由器接管家庭网络中的流量转发、DNS 解析和分流判断。配置完成后，手机、电脑、电视、游戏主机等设备只要连接到指定 Wi-Fi 或网口，就可以按照路由器的规则访问网络，不必逐台安装客户端。

不过，路由器方案也比单设备连接更需要规划。你需要先确认 OpenWrt 的硬件性能、固件版本、代理组件与订阅格式是否匹配，再决定采用全局转发、国内外分流，还是只让部分设备经过代理。本文以“可维护、可回退、便于排查”为目标，依次说明网络结构、订阅导入、分流规则、DNS 配置和故障处理方法。

先理解路由器方案：VPN、代理与订阅不是一回事

OpenWrt 是运行在路由器上的 Linux 系统，通常负责 DHCP、DNS、NAT、防火墙、无线网络和路由表。所谓“在路由器上配置 VPN”，可能指通过 WireGuard、OpenVPN 等方式建立加密隧道，也可能指安装能够读取订阅的代理组件，再把符合规则的流量转发到节点。两者都能改变流量路径，但工作方式和配置文件并不相同。

WireGuard 更接近传统意义上的 VPN 隧道。客户端和服务端通过密钥建立隧道，配置重点包括私钥、公钥、地址、端点和允许访问的网络。OpenVPN 则使用证书、用户名密码或配置文件建立连接。Shadowsocks、VMess、VLESS、Trojan、Hysteria2 等属于代理协议或代理生态中的连接方式，通常需要由兼容的路由器组件读取订阅并生成节点配置。

因此，不能把任意订阅链接直接填进 OpenWrt 的系统 VPN 页面。系统网络接口通常需要 WireGuard 配置、OpenVPN 配置文件或对应认证参数；而代理订阅则需要能够解析该格式的管理组件。即使某个链接在手机客户端中可以导入，也不代表 OpenWrt 原生界面能够识别。

如果订阅服务同时提供官方客户端和兼容订阅，建议先在电脑或手机上确认订阅本身有效，再迁移到路由器。迁移时只需要验证三个对象：订阅是否能更新、节点是否能建立连接、规则是否能把目标流量送到正确出口。不要在路由器上反复修改一份未经验证的链接，否则很难判断问题来自订阅、组件还是固件。

• ✅ 确认路由器已正常连接 WAN，并能打开 OpenWrt 管理页面。
• ✅ 记录原有 DHCP、DNS 和防火墙设置，方便出现问题时恢复。
• ✅ 确认组件支持订阅中的协议与配置格式，不只看“能导入”提示。
• ✅ 为电视、手机和电脑规划是否全部代理，还是按设备分别处理。
• ❌ 不要同时运行多个会接管透明代理的组件，避免端口和防火墙规则冲突。
• ❌ 不要把完整订阅链接发布到截图、工单或公共文档中。

安装前检查：硬件、固件与组件选择

路由器需要同时处理无线转发、NAT、防火墙、DNS 和代理流量。加密协议以及规则匹配会占用处理器和内存，设备原本性能较弱时，开启复杂规则后可能出现管理页面变慢、无线吞吐下降或连接间歇性中断。因此，先观察系统资源使用情况，再决定是否把全部家庭设备交给路由器处理。

固件版本也会影响软件包名称、内核模块、iptables 或 nftables 规则，以及 IPv6 防火墙行为。安装组件前，应先查看 OpenWrt 的版本、架构和存储空间，确认软件源与固件分支匹配。不要直接把其他版本的安装包复制到当前系统；依赖不匹配时，组件可能表面安装成功，却无法启动或无法创建透明代理规则。

对于只需要加密隧道的场景，可以优先考虑 WireGuard 或 OpenVPN。对于需要订阅、多节点切换、域名分流和不同协议共存的场景，则要选择支持对应格式的代理管理组件。常见组件会提供 LuCI 图形界面，也有组件需要通过配置文件或命令行维护。无论选择哪一种，重点都应放在规则可读、日志可查、配置可备份，而不是功能按钮越多越好。

安装前最好先保存 OpenWrt 配置备份。备份内容不应只包括代理组件，还要包含网络接口、DHCP、DNS、无线和防火墙设置。若后续升级固件，不能假设旧组件和旧规则一定兼容；升级前导出配置，升级后重新核对软件包与防火墙行为更稳妥。

动手配置：从订阅导入到首次连接

下面的流程适用于大多数支持 LuCI 或配置文件管理的 OpenWrt 方案。不同组件的菜单名称可能不同，但顺序不应随意调整：先保证基础网络，再安装组件，随后更新订阅，最后开启规则转发。

1. 确认基础网络。进入 OpenWrt 管理界面，检查 WAN 已取得地址，路由器自身可以解析域名并访问软件源。先不要修改默认 DNS，也不要在基础网络异常时继续安装代理组件。
2. 确认系统架构与软件源。查看固件版本、目标平台、可用存储和软件源状态。软件源无法访问时，应先修复时间、网关和 DNS，而不是手工混装其他固件分支的软件包。
3. 安装兼容组件。根据订阅支持的协议选择 WireGuard、OpenVPN 或兼容订阅的代理管理组件。安装后先检查服务是否能启动，确认监听端口没有与路由器管理页面、DNS 服务或其他代理程序重复。
4. 添加订阅链接。在组件的订阅管理页面粘贴完整链接，保存后执行更新。若更新失败，先检查链接是否复制完整、路由器自身是否能解析订阅域名，以及系统时间是否正确。
5. 选择节点并生成配置。首次测试只选择一个稳定、名称清楚的节点，不要同时启用大量节点和复杂自动选择规则。生成配置后查看日志，确认代理进程已启动并创建了预期的透明转发或隧道接口。
6. 启用基础分流。先使用组件提供的默认规则，让局域网地址、路由器管理地址和必要的国内服务保持直连，再逐步增加自定义域名。每次只修改一类规则，方便定位变化来源。
7. 验证终端设备。让一台电脑或手机重新获取 DHCP 配置，确认网关和 DNS 指向路由器。先测试普通网页，再测试需要代理的目标，最后检查视频设备或其他不便安装客户端的终端。

首次配置不要直接选择“全局代理”。全局模式会让系统更新、局域网服务、银行或办公网站等流量全部经过同一路径，出现问题时不容易判断是 DNS、规则还是线路造成的。先使用分流模式验证基础功能，确认无误后，再根据实际需求为特定设备或域名调整策略。

分流规则与 DNS：稳定性的关键位置

分流通常由两部分组成：规则决定某个请求或连接走直连、代理还是拒绝；DNS 决定域名被解析成什么地址，以及解析请求本身通过哪条路径发送。只配置其中一项，另一项不匹配时，可能出现网页打不开、命中错误地区、视频服务反复切换或局域网设备无法发现等问题。

一套容易维护的规则可以按以下思路建立。第一类是局域网直连，包括路由器管理地址、家庭 NAS、打印机、智能电视的本地控制地址以及其他私有地址。第二类是明确需要保持本地访问的域名和服务。第三类是需要通过代理访问的目标域名或规则集。最后设置兜底策略，通常让未匹配流量直连，等确认需求后再逐项加入代理。

• ✅ 把局域网网段、路由器管理地址和家庭设备发现流量放在直连规则前面。
• ✅ 优先使用域名规则或维护良好的规则集，避免手工维护大量临时 IP。
• ✅ 为需要固定出口的电视或电脑设置独立设备策略，避免影响全家终端。
• ✅ 规则更新后清理相关 DNS 缓存，并重新连接测试设备。
• ❌ 不要把所有域名都加入代理列表，否则规则体积、维护成本和故障范围都会增加。
• ❌ 不要只根据网页能否打开判断分流正确，还要验证 DNS 结果与实际出口。

DNS 方案可以分为直连解析、代理解析和按规则分流解析。直连解析通常速度简单，但某些域名的结果可能不适合代理出口；代理解析可以让 DNS 请求跟随代理路径，但需要组件正确支持远程解析与防泄漏；分流解析则根据域名类别选择不同上游，灵活性更高，也更需要维护。

如果出现“网页打开了但内容地区不对”，可能是 DNS 解析走了直连，而实际连接走了代理；如果出现“本地设备名称无法访问”，可能是局域网 DNS 被错误转发，或者 mDNS、广播发现流量被透明代理接管。此时先把局域网域名和私有地址加入直连，再检查组件是否提供 DNS 劫持、远程解析或 fake-IP 类选项，并按照组件文档逐项验证。

故障排查与回退：先定位层级，再修改设置

路由器方案出现问题时，建议按照“终端—路由器—代理进程—远端节点”的顺序排查。终端完全无法上网，先看 DHCP、网关和 WAN；只有部分域名失败，重点看 DNS 与规则；代理组件启动但目标连接失败，再检查节点协议、TLS、端口和服务端状态。不要在四个层级之间同时改动，否则日志会失去参考价值。

回退方案应在配置成功前就准备好。最简单的方式是保留原有 WAN、DHCP 和 DNS 配置，关闭代理组件的透明转发后，让路由器恢复普通路由。若组件修改了防火墙或 nftables 规则，不能只关闭网页开关，还要确认相关规则已经撤销。必要时使用预先保存的配置备份恢复，再重新启动网络服务。

当只有某个设备异常时，不要马上重置整个路由器。先让该设备忘记 Wi-Fi 后重新连接，检查是否获得新的网关和 DNS；再暂时把该设备设置为直连策略。如果直连正常而代理策略异常，说明问题集中在规则、DNS 或节点，不必重新安装固件。电视和游戏设备尤其应单独测试，因为它们可能不支持手工代理，也可能使用多种域名完成登录、更新和内容加载。

常见问题

OpenWrt 的优势在于把网络策略集中管理，难点则在于配置之间存在关联。稳妥的做法是先确认基础路由，再确认协议和订阅，随后建立简单分流，最后完善 DNS 与设备策略。每次修改都保留备份和日志，遇到异常先回退到可用状态，再针对单个环节调整，这样才能得到稳定、可维护的家庭网络方案。