软路由与家用路由器透明代理配置思路：OpenWrt 与 PassWall 指南

对于拥有多台智能设备（如 Apple TV、PlayStation 5、Nintendo Switch、智能音箱、多台手机与电脑）的家庭或极客工作室而言，为每一台设备单独安装客户端、配置证书与管理开关是一件极其繁琐的事情，甚至有些电视盒子与游戏机根本无法原生安装第三方代理软件。解决这一痛点的终极架构方案，便是在路由器层面部署“透明代理（Transparent Proxy）”。本文将基于开源 OpenWrt 固件与主流插件 PassWall，系统梳理网络拓扑选型与关键配置步骤。

一、核心网络拓扑选型：主路由模式 vs 旁路由（网关服务器）模式

在着手配置之前，理清软路由在局域网中的物理定位至关重要：

• 方案 A：软路由作为单臂唯一主路由（All-in-One）：

  光猫拨号桥接 -> x86 软路由（负责 PPPoE 宽带拨号、DHCP 地址下发、NAT 转发与透明代理） -> 下接交换机 / AP 无线发射。

  优点： 网络链路单向清晰，性能上限高，所有连接家庭局域网的设备无需任何改动即可享受加速。
  缺点： 一旦软路由固件调试重启或配置失误，全屋宽带立即瘫痪，影响家人正常使用。

• 方案 B：旁路由 / 单网口网关模式（强烈推荐初学者）：

  保留原有性能优异的家用硬路由作为主路由负责拨号和 DHCP；将软路由作为一台普通网络设备接入主路由的 LAN 口，并为其配置固定内网 IP（如 192.168.1.2）。

  优点： 容错率极高。只有需要科学加速的设备（如 Apple TV 或主机），在设备自身的网络设置中手动将“网关”和“DNS”更改为旁路由的 IP 即可；未修改配置的设备依然走主路由纯净直连，互不干扰。

二、PassWall 插件基础配置关键环节

1. 节点列表订阅导入：

   进入 OpenWrt 后台菜单的“服务 -> PassWall -> 节点列表”，在“节点订阅”子页面中填入服务商提供的标准订阅链接，点击“保存并保存订阅更新”，插件会自动抓取解析并生成可用节点列表；

2. 主节点与备用节点绑定：

   在“基本设置”页面中，选择当前网络环境下延迟优异的节点作为“TCP 节点”与“UDP 节点”；建议开启“节点故障自动切换”选项，当主节点发生网络波动时自动转移至备选通道；

3. DNS 分流方案选型（透明代理成败的核心）：

   透明代理最容易踩坑的环节在于 DNS 污染与解析回环。推荐配置为：

   • 国内 DNS 解析：指定为 223.5.5.5（阿里）或 119.29.29.29（腾讯），确保国内网站秒级解析出最靠近本省的 CDN IP；
   • 国外 DNS 解析：选用 Fake-IP（虚拟 IP 模式）或通过 TCP 走远端代理查询 8.8.8.8 / 1.1.1.1，彻底杜绝本地运营商的 DNS 劫持与投毒。

三、旁路由常见无法联网故障排查（防火墙自增伪装）

很多朋友在部署旁路由时经常遇到“国内网络正常，但国外打不开”或“设备配置旁路由网关后直接失联”，这通常是由于 Linux 内核的数据包转发规则未生效。解决方法非常成熟：

# 进入 OpenWrt -> 网络 -> 防火墙 -> 自定义规则
# 在文件末尾添加以下 iptables 伪装指令并保存重启：
iptables -t nat -I POSTROUTING -o br-lan -j MASQUERADE

该规则的作用是让旁路由对经过其 LAN 桥接的所有转发流量强制执行地址伪装（NAT），避免主路由由于发现来源 IP 与发往 IP 在同一网段而直接丢弃数据包。