把 VPN 配置在 OpenWrt 路由器上，最大的价值不是让某一台电脑少安装一个客户端，而是把连接、DNS 和分流规则集中到家庭网络入口。手机、电脑、平板、电视盒子以及部分智能设备接入同一个 Wi-Fi 后，可以按照路由器的策略使用直连或代理，不必在每台设备上重复导入订阅。

不过，路由器配置比 Windows、macOS 或 Android 客户端更容易受到固件版本、闪存空间、插件类型和 DNS 设置影响。本文从兼容性检查开始，说明如何选择 OpenWrt 上的配置方式，导入订阅或手动填写协议参数，再通过策略路由完成设备验证。如果配置过程中出现问题，也可以按照文中的恢复步骤先回到默认网络，再逐项排查。

90+

国家覆盖

200+

线路数

不限

同时在线设备

5

支持平台

先检查 OpenWrt 固件与路由器条件

配置前不要急着安装插件。OpenWrt 路由器能否稳定运行代理服务，首先取决于硬件资源和固件来源。官方固件、第三方定制固件以及厂商预装系统的目录结构、软件源和管理界面可能不同。即使两个设备都标注为支持 OpenWrt，CPU 架构、可用存储和内存容量也可能完全不同。

进入路由器管理后台后，先确认当前固件版本、设备型号和目标架构。可以在“系统”或“软件包”页面查看，也可以通过 SSH 执行以下命令：

cat /etc/openwrt_release
ubus call system board
df -h
free -h

前两条命令用于确认系统版本和硬件信息，后两条命令用于观察存储与内存使用情况。安装插件前应保留一定余量，不要在空间已经紧张时反复安装多个内核、规则集或图形管理插件。路由器的可用空间不足时，常见表现包括软件包安装失败、规则文件写入不完整，以及重启后配置丢失。

还要确认路由器的网络角色。若 OpenWrt 是家庭主路由器，通常由它负责拨号、DHCP、DNS 和默认网关；若它只是旁路由，则需要明确主路由与 OpenWrt 之间的网段、网关和 DHCP 归属。旁路由模式下，如果终端仍然从主路由获取默认网关，策略可能不会经过 OpenWrt。

  • ✅ 先备份当前配置，再安装插件或修改防火墙。
  • ✅ 确认 OpenWrt 的 CPU 架构和软件源能够匹配目标插件。
  • ✅ 明确主路由、旁路由、DHCP 和默认网关分别由谁负责。
  • ❌ 不要把适用于 Clash Verge 或桌面客户端的配置文件直接当作 OpenWrt 插件安装包。
  • ❌ 不要同时启用多个会接管 DNS 和透明代理的插件。
检查结论：先判断 OpenWrt 是主路由还是旁路由，再确认硬件资源与插件格式；角色不清楚时，后续的 DNS 和策略路由很难调通。

选择适合的导入方式

OpenWrt 上常见的配置思路有三类：使用支持订阅的管理插件，使用 sing-box 等核心配合管理界面，或者手动配置 WireGuard 等协议。选择方式时，应以订阅实际提供的格式和路由器的资源为准，而不是单纯追求插件名称。

使用订阅管理插件

如果服务提供 Clash、 sing-box 或其他兼容格式的订阅，可以在对应插件的“订阅管理”页面粘贴订阅链接，填写一个便于识别的配置名称，然后执行更新。更新成功后，先查看节点列表和解析后的协议字段，再选择节点启动。订阅链接包含识别凭据，应当像密码一样保存，不要粘贴到公开论坛、截图或不明转换网站。

这里要区分“订阅格式”和“客户端名称”。Clash Verge、Shadowrocket 等客户端能够读取某种订阅格式，并不意味着 OpenWrt 可以直接运行同一个客户端。路由器需要相应的代理核心和管理插件，才能把节点转换为本机服务，并进一步接管局域网设备的请求。

手动填写协议参数

手动方式适合配置数量较少、参数明确的节点。例如 WireGuard 通常需要私钥、地址、DNS、对端公钥、服务器地址、端口和允许的 IP 范围；Shadowsocks、VMess、Trojan、Hysteria2 等协议则依赖各自的认证、传输和 TLS 参数。字段名称在不同管理界面中可能不同，不能只凭节点名称猜测。

如果配置使用 TLS、REALITY、WebSocket 或 QUIC 等传输选项，服务器名称、路径、证书校验和 UDP 支持都可能影响连接。导入成功只代表文件格式被读取，不代表握手已经完成。启动后应查看日志，重点关注认证失败、DNS 解析失败、证书校验失败和 UDP 不可达等信息。

配置方式 适合场景 需要重点确认
订阅插件 节点较多，需要定期更新 订阅格式、核心兼容性、更新后规则是否保留
sing-box 管理方式 需要更细的协议和路由控制 JSON 配置结构、入站端口、DNS 与路由规则
WireGuard 手动配置 只有明确的 WireGuard 参数 密钥、AllowedIPs、路由表和 DNS 处理方式

导入配置并完成第一次启动

建议在路由器已经能够正常访问互联网时进行配置。先登录后台，打开软件包或插件管理页面，安装与当前固件匹配的核心和管理界面。安装结束后不要立即开启全局接管，先添加订阅、更新配置并确认节点能够被识别。

  1. 保存订阅。在插件的订阅管理区域新增配置，使用不包含敏感信息的名称区分不同来源。
  2. 更新配置。执行更新后查看节点数量、协议类型和规则文件是否成功生成。若页面提示解析错误，先检查链接是否复制完整。
  3. 选择节点。先选一个文档中明确推荐的节点，不要在连接失败时同时改变协议、DNS 和防火墙设置。
  4. 启动核心。查看运行状态和日志，确认入站监听端口没有与路由器管理服务、其他插件发生冲突。
  5. 测试路由器本机。在路由器后台使用网络诊断工具测试域名解析和连通性，再测试局域网终端。

如果订阅能够更新但节点全部无法连接，问题通常不在“订阅地址是否存在”，而可能出在核心版本、协议字段、系统时间、DNS 或防火墙。路由器系统时间错误时，TLS 证书校验尤其容易失败。建议先启用可靠的系统时间同步，再重新查看日志，而不是反复刷新订阅。

设置 DNS 与策略路由

路由器配置中最容易被忽略的是 DNS。终端访问一个域名时，通常先进行 DNS 查询，再根据返回地址建立连接。若 DNS 请求走了与实际流量不同的路径，可能出现域名解析结果不适合当前线路、个别网站打不开，或者浏览器表现与 IP 检测结果不一致的情况。

OpenWrt 常见的 DNS 处理方式包括由 dnsmasq 继续提供局域网解析，再把特定域名转发给代理核心；也可以由代理核心接管部分或全部 DNS 请求。无论选择哪种方式，都要确认 LAN 客户端收到的 DNS 地址、插件监听的 DNS 端口以及防火墙转发规则相互一致。不要在多个插件中重复启用 DNS 劫持，否则容易形成循环解析。

策略路由则决定哪些流量经过代理，哪些流量保持直连。家庭网络一般适合从规则模式开始：国内常用服务、路由器管理地址和局域网设备保持直连，规则命中的目标再交给代理核心。全局模式虽然容易理解，但会让本地服务、打印机、智能家居控制和部分支付应用受到影响。

如果使用旁路由，常见做法是让指定终端把 OpenWrt 设置为默认网关，或者在主路由上为特定客户端下发网关。修改 DHCP 前应记录原有参数。若主路由和 OpenWrt 都开启 DHCP，局域网终端可能随机获得不同的网关，表现为连接时好时坏。

  • ✅ 先让一台测试设备使用新 DNS 和默认网关，确认无误后再扩大范围。
  • ✅ 把路由器管理地址、局域网网段和必要的本地服务加入直连范围。
  • ✅ 规则模式下分别测试域名访问、IP 访问和局域网设备访问。
  • ❌ 不要只测试网页打开，就认为所有应用都已经按照预期分流。
  • ❌ 不要把 DNS 劫持、透明代理和多个防火墙脚本重复叠加。

验证出口时，可以先使用本站的 IP 检测查看公网地址和 DNS 结果，再分别测试手机、电脑以及不方便安装客户端的智能设备。若 IP 已变化但 DNS 仍异常，说明 DNS 路径尚未统一；若 DNS 正常但某个应用失败，则应进一步检查该应用是否使用独立 DNS、IPv6 或不兼容的 UDP 连接。

手机、电脑和智能设备的验证顺序

不要一次把所有家庭设备都切换到新策略。更稳妥的顺序是先验证路由器本机，再验证一台电脑，接着验证手机，最后处理电视、音箱、摄像头和其他智能设备。每完成一类设备，就记录当前网关、DNS、访问结果和规则命中情况，便于出现问题时回退。

电脑适合用来观察浏览器、命令行和局域网访问。手机则要注意移动系统可能保留旧 DNS、旧网络状态或应用缓存，切换 Wi-Fi 后可以先关闭再重新连接。电视和智能设备通常不方便查看详细日志，有些设备还固定使用特定 DNS，因此更适合采用明确的分流策略，不要一开始就让整个局域网进入全局模式。

同时运行电脑客户端和路由器透明代理时，要特别小心重复接管。电脑客户端可能创建 TUN 虚拟网卡，路由器也可能把同一请求再次转发，结果是连接循环、DNS 反复改写或部分网站无法打开。测试路由器方案时，建议先关闭终端上的其他代理软件，确认路由器路径稳定后再决定是否保留终端级分流。

配置出错时如何恢复默认网络

如果修改后局域网无法上网，先不要恢复出厂设置。第一步是通过路由器后台停止代理核心、关闭透明代理和 DNS 劫持，再把 LAN 的 DNS、网关和 DHCP 设置恢复到原来的值。若管理后台仍能打开，可以先导出当前配置，方便之后对照差异。

如果后台无法访问，可以使用网线连接，并尝试通过 SSH 登录。根据插件的管理方式停止相关服务，删除或移出最近生成的规则文件，然后重启网络服务。不同固件和插件的服务名称可能不同，执行命令前应查看系统服务列表，不要照抄并不存在的服务名。

ip addr
ip route
logread | tail -n 50
/etc/init.d/network restart

这些命令用于查看接口、默认路由和近期系统日志。重启网络服务会短暂中断连接，操作前应尽量使用网线，并保留管理地址。若配置错误导致无法登录，可按照设备对应的 OpenWrt 救援或 failsafe 文档恢复；最后才考虑重置配置。恢复后先只启用基础上网，再依次加入订阅、核心、DNS 和策略规则。

排查结论：一次只改变一个变量。先恢复路由器本机上网，再恢复 DNS，最后开启策略路由，能够最大限度减少定位范围。

常见问题解答

订阅链接能否直接粘贴到 OpenWrt？

不一定。只有插件或核心支持该订阅格式时，链接才能被正确解析。Clash、sing-box、WireGuard 等配置的字段结构不同，桌面客户端能导入并不代表 OpenWrt 上的插件也能识别。遇到解析失败，应先确认目标插件支持的格式，再选择对应订阅或手动配置。

路由器配置后，还需要在手机上安装客户端吗？

如果手机只是通过家庭 Wi-Fi 接入，并且 OpenWrt 已经正确承担网关、DNS 与策略路由，通常不需要重复安装客户端。但手机切换到蜂窝网络、公共 Wi-Fi 或其他路由器后，仍不会自动继承家庭路由器的配置。需要移动网络独立使用时，再考虑使用官方客户端或兼容客户端。

开启后网速变慢，应该先检查什么？

先检查是否误开启全局模式、是否重复运行终端客户端、DNS 是否循环，以及路由器 CPU 和内存是否持续紧张。然后更换节点并查看日志，区分是单一线路问题、协议握手问题，还是所有流量都被错误接管。不要一看到速度变化就同时更换插件和固件。

怎样避免下次配置失败后无法恢复？

每次修改前导出配置，记录原来的 DHCP、DNS、网关和 LAN 网段；首次启用时只让一台设备测试；确认后台管理地址仍可访问后再扩大范围。若需要长期维护，建议把订阅更新、规则更新和固件升级分开进行，并在每一步完成后验证网络。

OpenWrt 的优势在于集中管理和灵活分流，但它也要求用户理解网关、DNS、协议和防火墙之间的关系。只要按“兼容性检查—导入配置—本机启动—DNS 设置—策略路由—分设备验证—保留恢复路径”的顺序操作，全屋设备接入就不必依赖反复试错。