OpenWrt路由器VPN配置教⁠程：全屋设⁠备一次设置更省心

把 VPN 放到 OpenWrt 路由器上运行，手机、电脑、电视等连接家庭 Wi-Fi 的设备就能按同一套规则使用网络，不必逐台安装客户端。不过，路由器配置并不等于“填入订阅链接就会自动生效”：还要确认固件和插件支持相应协议，设置代理流量的匹配方式，并处理 DNS、IPv6 与防火墙转发。本文按先检查、再配置、最后验证和回退的顺序说明，尽量避免一次改动太多设置而难以定位问题。

先明确一个边界：OpenWrt 路由器上的插件通常是第三方软件，界面名称、支持的订阅格式和可用协议会随固件版本、插件版本及核心程序变化。OpenClash 常见于使用 Mihomo 内核的配置方式；Passwall 等插件也可能支持多种协议，但不能据名称推断每个版本都支持相同功能。操作前应查看当前项目的说明，并确认订阅中的协议能被路由器端核心识别。

配置前先检查固件、插件与网络结构

第一步是确认路由器运行的 OpenWrt 版本、设备架构、可用存储空间和内存状况。插件包通常与系统版本和处理器架构有关，不能把为另一款设备或另一版固件准备的安装包直接套用。若插件需要额外下载核心程序，也要核对核心架构是否匹配。安装来源应可信，避免从来历不明的镜像下载可执行文件。

第二步是检查网络拓扑。常见家庭结构是光猫或上级路由器连接 OpenWrt 的 WAN 口，电脑和无线接入点连接 OpenWrt 的 LAN 侧。如果 OpenWrt 只是接在现有路由器后面，且没有承担默认网关职责，那么仅在 OpenWrt 上启用代理，不一定会影响其他设备的流量。此时应先弄清楚设备实际使用的默认网关和 DHCP 服务器，再决定是让 OpenWrt 接管家庭网络，还是只让指定设备通过它转发。

第三步是确认客户端配置来源。路由器插件可能支持直接读取订阅，也可能需要将订阅转换成该插件可识别的配置格式。订阅中包含的节点协议、传输参数、分组和规则并非所有插件都能完整保留；导入成功也不代表每个节点都能正常使用。若服务提供面向特定客户端的配置说明，应优先按说明选择对应格式。订阅链接属于敏感凭据，不要贴到公开转换网站、论坛或截图中。

路由器的性能也值得提前评估。加密、转发和规则匹配都会占用处理资源；配置越复杂、连接的终端越多，负载越可能上升。若路由器出现管理页面响应变慢、无线网络不稳定或 CPU 长时间繁忙，不应只靠不断增加规则解决问题，可以先缩小使用范围、减少不必要的日志，再评估硬件是否适合承担网关与代理任务。

选择代理模式与分流边界

常见模式可以粗略分为全局代理、规则分流和直连。全局代理会尽可能把符合接管条件的流量交给代理核心，配置简单，但本地设备互访、国内服务、打印机发现或局域网管理可能受到影响。规则分流则依据域名、IP 地址、目标地区或策略组决定走代理还是直连，灵活性更好，但需要规则维护；直连模式主要用于验证基础网络，也可用于不需要代理的网络环境。

路由器端的策略路由与桌面客户端的“应用分流”不是一回事。路由器通常更容易按设备地址、目标域名或网段区分流量，而不一定能准确识别某台电脑上的具体应用。若需要让电视走代理、办公电脑直连，可考虑按终端地址制定规则；要让同一台电脑里的浏览器和其他应用采用不同路径，则桌面客户端往往更容易操作。

建议先从少量设备开始测试，再逐步扩大范围。可以为测试设备设置固定的局域网地址，并只对这台设备启用代理策略；确认访问、DNS 和本地服务都符合预期后，再将规则扩展到其他终端。局域网地址固定的方式取决于网络管理方式，可以使用路由器 DHCP 静态租约，避免地址变化后规则误匹配到别的设备。

动手配置：从导入到验证按顺序进行

不同插件的菜单名称会变化，下面给出的是通用操作顺序，不对应某个固定版本的按钮位置。若你的界面选项与描述不一致，应先查看该插件与当前固件版本的文档，不要为了照搬步骤而随意改写防火墙或网络接口。

1. 安装并核对插件。通过固件的软件包管理方式安装与当前系统匹配的插件及其依赖。重启相关服务后，确认插件页面可正常打开，核心程序能够启动。若日志提示架构不匹配、缺少依赖或配置解析失败，应先解决这些问题，而不是继续导入订阅。
2. 导入配置并更新节点。在插件支持的入口添加订阅地址或配置文件，执行更新后查看节点和策略组是否出现。若订阅只能由客户端读取，或者插件无法解析其中的协议参数，就需要使用服务提供的兼容配置方式；不要通过删改关键字段来“强行导入”。
3. 先选一条目标明确的线路。测试时选择符合实际用途的地区与节点，避免同时修改节点、协议、DNS 和规则。若连接失败，查看插件日志中的核心错误、握手或解析提示，再判断是订阅失效、协议不兼容还是网络连通性问题。
4. 设置流量接管范围。先启用测试设备或测试网段的策略，再选择规则或全局模式。确认局域网地址、管理页面和本地设备互访仍符合预期。启用 TUN、TProxy 等透明代理方式时，应按插件说明配置对应的网络与防火墙依赖；这些机制不能互相随意替换。
5. 检查 DNS 与 IPv6。确认 DNS 请求按预期交由指定解析路径处理，并留意终端是否通过另一条路径发出 IPv6 流量。若当前插件或规则没有覆盖 IPv6，可以在理解影响的前提下调整相关设置，或先限制测试设备使用未受管控的路径。不要只凭网页能打开就认定不存在 DNS 或 IPv6 泄漏。
6. 逐项验证后扩大范围。检查连接状态、出口地址、常用网站、局域网资源和断开后的行为。确认测试设备正常，再逐台加入其他设备；每次只改变一类设置，出问题时更容易恢复到最后一个正常状态。

验证时至少分别测试三种情况：代理规则命中的目标、应当直连的本地或常用服务，以及路由器管理页面和局域网设备。可以通过可信的 IP 查询页面观察出口地址，但不同目标的结果应结合规则判断，不能假设所有网站都必须显示同一个地址。若只有某一类网站异常，优先检查域名规则、DNS 缓存和策略组；若所有终端都无法上网，则先停用代理接管，确认原始 WAN、LAN 与 DHCP 是否正常。

也要确认断开或服务异常时的表现。有些配置会在代理核心停止后让流量恢复直连，有些规则可能阻止匹配流量继续转发。对于工作设备或需要持续连接的设备，应明确这种故障时的行为，并确保有本地管理入口。不要把“连接状态显示运行中”当成完整验证；路由器服务状态、终端路由选择和实际访问结果需要分开检查。

常见故障与安全回退

插件启动但节点不可用：先查看配置解析和核心日志，确认订阅是否更新、节点协议是否受支持、系统时间是否正确。时间偏差可能影响依赖证书或时间校验的连接。若刚更新订阅后才发生问题，可对照备份或服务说明恢复到已知可用的配置，不要一次性更换多个参数。

部分设备能用，部分设备不能用：检查失败设备的默认网关、DHCP 获取结果、固定地址与策略规则是否一致。还要确认无线接入点是否处于桥接或路由模式；若它另行提供 DHCP 或 NAT，终端流量可能没有按预期经过 OpenWrt。针对单台设备的规则也可能因地址变化而匹配失效。

网页能打开，但部分应用或域名异常：核对规则是否将目标误判为直连，检查 DNS 缓存、域名解析结果及应用是否使用了不同的解析方式。可以在测试设备上清理相关缓存后复测，并短暂切换到更简单的策略来定位问题。不要把关闭防火墙或开放所有端口作为常规修复办法。

修改后全家断网：优先通过网线连接 OpenWrt，进入管理界面关闭代理接管或恢复最近的配置备份；如果管理地址、DHCP 或防火墙也被改动，再按设备厂商与固件说明使用本地恢复方式。恢复后先确认普通网络可用，再重新启用插件。需要逐项回退时，记录每次改动及结果，比连续尝试多个不确定的修复命令更可靠。

• ✅ 保留有线管理入口和最近一次可用配置备份。
• ✅ 更新插件或订阅后，先在单台设备上复测。
• ✅ 记录节点、策略模式、DNS 与防火墙的关键变更。
• ❌ 不要同时运行多个接管系统流量的代理插件，以免路由与防火墙规则冲突。
• ❌ 不要公开订阅链接、管理密码或包含凭据的完整配置文件。

如果你仍在选择客户端或准备导入订阅，可以先查看使用教程；若问题集中在连接、DNS 或客户端状态，可参考疑难解答手册。路由器插件与桌面、手机客户端的配置入口不同，实际操作仍以 OpenWrt 和对应插件的版本说明为准。

常见问题

OpenWrt 路由器能直接使用手机或电脑客户端吗？

通常不能把面向 Windows、macOS、Android 或 iOS 的图形客户端直接安装到 OpenWrt。路由器需要适配其固件架构的插件或核心程序，并使用兼容的配置格式。即使服务在其他平台提供官方客户端，也不代表 OpenWrt 路由器有同一款客户端版本。

订阅链接导入成功，为什么仍然无法连接？

导入成功可能只代表链接可读取或配置文件可解析，并不保证其中所有节点、协议和策略组都受当前核心支持。检查更新结果、节点参数、插件日志和订阅兼容性；如果服务提供专用配置说明，应按对应说明选择客户端类型。

通过路由器连接后，家里的所有设备都会自动使用 VPN 吗？

不一定。只有实际经过该 OpenWrt 路由器并命中接管规则的流量，才会按配置处理。若设备连接到另一台承担默认网关的路由器、使用独立的 DHCP 配置，或被规则设为直连，就可能不走预期路径。应先确认网络拓扑，再逐台验证。

怎样尽量避免配置失败后无法上网？

先备份配置，保留有线管理入口，并从单台测试设备开始；确认 DNS、局域网访问和直连规则均正常后再扩大范围。若发生故障，先停用流量接管并恢复基础网络，再检查最近的改动，不要在断网状态下连续更换多个设置。