OpenWrt 路由器配置 VPN，核心不是把一条订阅粘贴进路由器就结束，而是让路由器上的代理客户端接收线路配置，再决定哪些设备或请求走代理、哪些保持直连。配置方式会受固件版本、路由器架构、插件内核和订阅格式影响，因此应先确认兼容性，再动手修改。本文按备份、导入、分流、DNS 与故障回退的顺序说明操作思路；不同插件的菜单名称可能不一样，具体选项以当前固件和插件文档为准。
先理解路由器代理的工作方式
电脑或手机上的客户端通常只处理本机流量；路由器上的透明代理则尝试接收经过路由器转发的设备流量。终端无需逐台配置系统代理，但这不代表所有协议和设备都会自动进入代理。实际覆盖范围取决于代理核心的转发方式、路由规则、DNS 设置、IPv6 配置以及终端是否使用了其他网关。
OpenWrt 本身是路由器固件，不是一种 VPN 协议。OpenClash、PassWall 等插件，以及基于 sing-box 的方案，属于不同的管理界面或代理实现；它们可支持的配置类型、规则格式和透明转发能力并不完全相同。Shadowsocks、VMess、Trojan、Hysteria2 等名称表示不同协议或协议体系，不是线路速度等级。导入前应确认服务提供的订阅格式和协议在当前插件内核中受支持，不能只凭插件名称推断兼容性。
还要区分“系统代理”和“透明代理”。系统代理通常要求每台设备或应用明确设置代理地址；透明代理由路由器接管符合规则的转发流量，更适合全屋共享，但对防火墙、DNS 和路由规则的要求更高。仅在路由器上填写 HTTP 或 SOCKS 代理地址，并不会自动让所有接入 Wi-Fi 的设备使用它。
- ✅ 先确认路由器 CPU 架构、固件版本、可用存储空间与插件安装包相匹配。
- ✅ 先弄清插件使用的代理核心、订阅格式和转发模式，再导入配置。
- ✅ 预先记录管理地址、当前网络设置和恢复方式，避免配置失误后无法进入管理界面。
- ❌ 不要同时启用多个会接管透明代理流量的插件，规则、策略路由和防火墙配置可能互相冲突。
若还在选择服务或整理客户端资料，可从VPNGF 免费VPN下载了解站点提供的信息；实际配置仍应以你使用的路由器固件和兼容客户端为准。订阅链接通常包含访问凭据，导入后不要公开粘贴到论坛、截图或日志中。
安装前检查固件与订阅
先登录 OpenWrt 管理界面，查看固件版本、设备型号和可用存储空间。插件包必须与设备架构及固件依赖相符；用其他型号的安装包强行安装，可能出现依赖缺失、服务无法启动或系统空间不足。若路由器由厂商固件改装而来，也应确认当前系统是否允许安装所需组件。
在修改之前导出 OpenWrt 配置备份，并确认自己知道如何通过管理界面、恢复模式或设备厂商提供的方法回退。备份不等于固件镜像，也不一定能跨硬件型号恢复。若插件需要安装额外软件包，应先检查空间和依赖状态，不要在网络不稳定时连续更新固件与插件。
订阅导入时，应使用服务说明中与插件相符的订阅入口。订阅链接、节点配置和客户端配置文件不是普通网页地址，可能包含认证信息；不要把它们放进公开的在线转换工具，也不要为了解决格式报错而随意删除配置字段。更新完成后检查线路列表、配置更新时间和错误日志。线路名称出现只说明配置被读取，不代表代理连接及转发已经正常。
在启用全屋转发前，先选择一个可控的测试终端，并保留另一个可以直连路由器管理页面的设备。初始状态尽量使用插件提供的默认规则或简单策略，确认基本连接后再增加复杂的域名、IP 网段和设备规则。关于客户端导入的通用步骤，也可参考快速上手；路由器插件界面与桌面客户端界面不同，不能把某个客户端的菜单路径直接套用到 OpenWrt。
按设备或网段设置分流
分流规则的目标，是把不同设备或目标请求分配到合适的出口，而不是让所有家庭流量一概走同一条路径。多数插件会提供全局代理、规则模式或直连等选项，名称和具体行为因插件而异。开始前先确定策略：哪些设备需要代理，哪些设备必须保持本地直连，路由器自身访问外部服务是否使用代理，以及代理失效时是否允许自动回退。
- 确认客户端地址。在 OpenWrt 的 DHCP 租约列表中找到测试设备，必要时为其设置静态租约或固定地址。地址变化会让按 IP 编写的设备策略不再命中；也可以使用插件支持的设备识别方式，但要先确认其规则确实覆盖目标流量。
- 先建立简单策略。可先让一台测试设备走代理，其他设备保持直连；或者仅为选定目标域名配置代理规则。不要一开始就叠加设备组、域名集、IP 段和多个自定义规则，否则出现偏差时很难定位是哪条规则造成的。
- 检查规则优先级。许多规则系统按顺序匹配，先命中的规则可能决定出站路径。自定义规则应放在符合插件逻辑的位置，并留意更宽泛的直连规则是否提前覆盖了需要代理的目标。域名规则和 IP 规则的匹配对象不同，不应把一类规则当成另一类的替代。
- 启用对应转发模式。按插件要求设置透明代理或策略路由，并确认防火墙区域、转发接口与 LAN 网段配置一致。若界面同时提供 TCP、UDP 或 IPv6 相关开关，应先读清楚说明，不要因某个网页能打开就假定所有流量类型都已接管。
- 分项验证并保存配置。先检查测试设备的代理连接，再分别测试预期走代理的服务和应当直连的本地服务。确认设备重连、路由器服务重启后规则仍有效，再逐步扩展到其他设备；每次只调整一类规则，并记录改动以便回退。
如果希望为不同设备分配不同策略，设备识别和规则匹配必须与路由器实际看到的地址一致。访客网络、独立 VLAN、无线中继或 mesh 子节点可能使用不同网段或转发路径，不能假定它们与主 LAN 的处理方式相同。家用打印机、投屏设备、存储设备等本地服务通常依赖局域网直连，配置后应实际验证设备发现和本地访问。
策略路由适合按设备或网段做选择；基于域名的规则适合按目标服务分类，但域名解析、CDN 地址变化和应用使用的额外域名都可能影响匹配结果。不要只根据某个网站首页设置规则就认定其全部功能会走同一出口。规则应逐步补充，并结合插件日志检查命中情况。
检查 DNS、IPv6 与故障回退
DNS 负责把域名解析为地址，代理规则负责决定连接走哪个出口，两者需要配合。若终端直接向外部 DNS 查询，而代理连接走另一条路径，可能出现解析结果与实际出口不一致，或个别域名无法按预期访问。检查插件是否接管 DNS 请求、终端是否手动指定 DNS，以及路由器是否将 DNS 查询转发到预期的解析方式。不要在没有理解后果时关闭路由器 DNS 服务或强行改写所有请求。
IPv6 也应单独检查。若代理策略只处理 IPv4，而终端仍获得 IPv6 地址，部分连接可能绕过预期路径；反过来，简单关闭 IPv6 也可能影响本地网络或运营商服务。应查看插件和固件对 IPv6 转发的支持，再用测试设备分别核对 IPv4、IPv6 的连接表现。对不支持 IPv6 代理的配置，应明确选择与自身网络相符的处理策略，而不是只看 IPv4 网站是否可用。
- ✅ 通过插件状态页或日志确认核心正在运行，订阅配置没有解析错误。
- ✅ 分别测试代理目标、本地管理页面和局域网设备，确认直连规则没有被误覆盖。
- ✅ 更换网络或重启相关服务后重新测试，确认规则没有依赖临时状态。
- ❌ 不把单个网页可打开当成 DNS、IPv6、UDP 和所有应用均正常的证明。
发生故障时，按层次排查比反复切换节点更有效：先确认终端能否访问路由器和普通直连网站；再检查代理核心、线路连接及插件日志；随后检查 DNS 解析、规则命中和防火墙转发。若只有某个应用异常，确认应用使用的域名、连接方式和目标地址是否被规则覆盖；若所有设备都无法上网，优先恢复基础 WAN、LAN 和 DHCP，再检查代理服务是否影响了路由器转发。
故障回退可以先关闭插件的透明转发或切回直连模式，恢复到已知可用的网络路径，再逐条检查最近修改的规则。不要在无法访问管理页面时连续重启或恢复出厂设置；先使用有线连接、备用管理地址或固件提供的恢复方式。分享排错日志前，删除订阅链接、认证字段、内网地址等敏感内容。
常见问题
配置一次后，所有连接路由器的设备都会走代理吗？
不一定。是否接管某台设备，取决于插件的透明转发方式、设备所在网段、策略规则、IPv6 和设备自身网络设置。按设备分流时，应先确认 DHCP 地址或设备标识稳定，再使用测试终端验证规则命中；访客网络或独立 VLAN 还可能需要单独配置。
订阅导入成功，但线路不能连接，应该检查什么？
先确认订阅格式与插件支持的配置类型一致，再查看代理核心日志和配置解析错误。随后检查线路连接状态、系统时间、网络连通性及插件内核对相应协议或传输方式的支持。线路列表显示正常不等于连接已建立，也不要通过公开转换网站上传包含凭据的订阅。
如何让本地设备保持直连，其他设备使用代理？
使用插件提供的按设备、IP 地址或网段策略，将本地设备加入直连规则，并确认规则顺序不会被更宽泛的代理规则覆盖。配置后测试打印、投屏、文件共享和路由器管理页面等本地功能；如果设备地址会变化，应使用稳定的 DHCP 租约或插件支持的设备匹配方法。
修改规则后全家断网，最快的恢复方法是什么？
若仍能进入管理界面，先关闭透明代理或切回直连，恢复基础 WAN、LAN 和 DHCP 连通性，再逐项撤销最近的规则更改。若管理页面也不可达，改用有线连接或设备文档说明的恢复方式，并在系统恢复后导入先前备份。避免在未确认备份适用性的情况下跨型号恢复配置。