把 VPN 配置在 OpenWrt 路由器上，家中设备可以通过同一个网络出口访问，不必在手机、电脑和电视上分别设置代理。但“路由器已连接”不等于所有设备都按预期走隧道：实际结果还取决于路由器固件、客户端支持的配置格式、策略路由、防火墙和 DNS。开始前先确定哪些设备需要代理、哪些应保持直连，再设计规则，比连接后再逐项补救更稳妥。
本文按“准备配置—建立连接—设置设备分流—验证与回退”的顺序说明。OpenWrt 的界面和软件包会因版本、固件分支及设备架构而异，菜单名称也可能不同。请以当前固件文档和客户端说明为准；不要把适用于某个版本的命令或教程直接套到另一台路由器上。
准备 OpenWrt 路由器与配置文件
先确认路由器运行的 OpenWrt 版本、处理器架构和可用存储空间。不同设备的 CPU 能力差别很大，VPN 加密、DNS 处理和多设备并发都会占用资源。路由器性能不足时，可能出现连接正常但吞吐下降、CPU 长时间繁忙或管理界面响应迟缓。应先查看设备规格和固件支持情况，不要仅凭无线速率或端口标称速度判断能否承担加密转发。
接着确认服务提供的配置能否用于路由器。订阅链接并不等于所有客户端都能直接读取的通用文件：有的客户端可以导入订阅后生成节点列表，有的需要转换成特定格式，也有服务只为官方客户端提供一键导入。OpenWrt 上运行的组件可能要求单独的配置文件、节点参数或兼容的订阅转换流程。不要把账号密码、订阅地址或完整配置粘贴到公开论坛，它们可能包含可直接使用的凭据。
常见的隧道协议包括 WireGuard、Shadowsocks、VMess、Trojan 和 Hysteria2，但路由器固件、插件与服务端未必都支持其中每一种。Clash Verge、sing-box、Shadowrocket 等客户端的配置格式也不能简单互换；某客户端能导入订阅，不代表 OpenWrt 上的程序就能原样使用。选择方案时，优先核对服务端支持的协议、路由器组件支持的配置格式，以及是否具备按设备或网段分流的能力。
- ✅ 记录 OpenWrt 版本、设备架构和当前 WAN、LAN 网络设置。
- ✅ 导出路由器配置备份，并确保能通过有线方式重新进入管理页面。
- ✅ 确认配置文件格式、协议和 DNS 设置与路由器端组件兼容。
- ✅ 先规划需要代理的设备，以及必须保持直连的设备和服务。
- ❌ 不要在没有备份的情况下同时更改 DHCP、默认路由和防火墙。
- ❌ 不要将订阅链接、私钥或节点凭据写入截图、公开日志或共享配置。
建立隧道并确认路由器自身状态
在 OpenWrt 中安装或启用兼容的客户端组件后，按该组件文档填写服务器地址、端口、认证信息、加密参数和 DNS 选项。若服务提供的是标准 WireGuard 配置，应核对接口地址、对端公钥、允许的地址范围和端点信息；若使用其他协议，则按对应客户端的配置格式填写。不要将不同协议的字段混在同一份配置里，也不要为了让界面显示“已连接”而随意扩大允许路由的范围。
首次测试建议只建立隧道，不立即启用复杂的全局策略。先确认客户端日志没有认证失败、配置解析错误或路由创建失败，再检查路由器能否正常访问管理页面和外部网络。若组件提供连接状态、出口检测或 DNS 状态页，可将其作为辅助信息；最终仍应从一台测试终端验证实际访问路径。
还要区分路由器管理流量与经路由器转发的终端流量。有些组件默认只代理路由器本机发起的请求，有些默认接管所有 LAN 流量，还有些需要额外配置防火墙区域或策略路由。隧道显示连接成功，却只有路由器本身能访问目标网络，通常说明 LAN 转发或策略规则尚未配置完整；反过来，所有设备都被送入隧道，也可能是规则范围过宽。
检查默认路由与 DNS
路由器上的路由表可以辅助判断流量去向。通过 SSH 登录后，可先查看当前路由和策略规则；命令只用于读取状态，不要在不了解影响的情况下手动替换默认路由。
ip route show
ip rule show
nslookup example.com不同固件使用的防火墙后端、策略路由实现和网络接口名称可能不同，所以命令输出要结合当前组件文档解读。DNS 也需要单独确认：如果设备流量进入隧道，而域名查询仍由本地网络直接发出，可能造成解析结果与实际出口不一致，或出现部分网站无法打开。应检查路由器的 DNS 转发设置、客户端提供的 DNS 选项，以及策略规则是否覆盖 DNS 请求。
按设备设置分流规则：动手操作步骤
分流前先给设备建立稳定的识别方式。常见做法是在 OpenWrt 的 DHCP 设置中为指定设备保留地址，或者使用路由器支持的设备标记和策略规则。仅靠动态分配的临时地址编写规则，设备重新连接后可能拿到不同地址，导致策略失效。若按网段分流，先确认该网段没有与 WAN、访客网络或其他 VLAN 重叠。
- 先备份当前配置。在路由器管理界面导出配置，并记录原有 WAN、LAN、DHCP、DNS 和防火墙状态。保存一份可从有线连接恢复的管理方式。
- 选定测试设备。先只选择一台电脑或手机，给它设置 DHCP 地址保留。不要一开始就把全家网络都纳入隧道，这样更容易区分设备规则与隧道本身的问题。
- 设置策略目标。在客户端或策略路由组件中，将测试设备的地址、设备标记或指定网段关联到 VPN 出口。其余设备明确设为直连或使用默认路由，具体选项名称依组件而异。
- 处理 DNS 与必要例外。确认测试设备的 DNS 请求跟随预期策略。路由器管理地址、局域网共享、打印机、投屏和本地控制服务通常需要保留局域网直连；若组件支持目的地址或域名规则，应先理解规则优先级，避免宽泛规则覆盖本地流量。
- 应用后逐项验证。让测试设备断开并重新连接 Wi-Fi，确认 DHCP 地址与规则匹配。分别测试路由器管理页面、局域网服务、普通网页和目标应用，再检查不应代理的设备是否仍可正常直连。
- 逐步扩大范围。测试设备表现符合预期后，再增加其他设备或网段。每次只调整一类规则，并在变更后重新测试 DNS、局域网访问和外部出口。
设备分流和域名分流解决的问题不同。按设备分流适合让某台电视、电脑或手机整体走指定出口；域名分流则适合让同一台设备的不同服务采用不同路径，但对 DNS、规则集更新和应用连接方式更敏感。若目标只是区分家中哪些设备使用隧道，先用设备或网段策略通常更容易验证。复杂规则应逐步加入，并明确直连、代理和拒绝等规则的优先顺序。
| 规则方式 | 适合场景 | 需要留意 |
|---|---|---|
| 按设备地址 | 指定设备整体走 VPN，其余设备保持原有出口 | 为设备保留稳定地址，并检查地址变化后的规则匹配 |
| 按网段或 VLAN | 将访客网络、工作设备或家庭设备分别管理 | 核对网段规划、DHCP 范围与防火墙转发关系 |
| 按域名或目标地址 | 同一设备上的不同访问目标使用不同路径 | 留意 DNS 解析、规则优先级和应用使用的连接方式 |
| 全局隧道 | 希望所有符合条件的 LAN 流量统一经过隧道 | 确认路由器管理、本地网络与故障回退仍可用 |
完成策略后，不要只看客户端的连接图标。分别从代理设备和直连设备访问出口查询页面，确认两类设备的公网出口符合预期；再检查域名解析和局域网互访。测试期间保持规则简单，记录设备地址、策略名称和观察结果。发现异常时，只撤销最近一项变更，这比重置整台路由器更容易定位问题。
验证结果、排查故障与安全回退
全屋分流完成后，建议从三个层面验收。第一是连接层：客户端日志无持续认证或握手错误，隧道在断线后能够按组件设置恢复。第二是路由层：指定设备的流量确实进入预期策略，直连设备没有被意外接管。第三是应用层：DNS、网页访问、视频设备和局域网服务都按预期工作。单个网站能打开并不能证明所有规则正确，尤其不能替代对直连设备和本地服务的检查。
- ✅ 代理设备的出口与策略目标一致，断开隧道时行为符合预设。
- ✅ 直连设备仍走原有网络，且没有被错误规则纳入隧道。
- ✅ 路由器管理页、打印机、共享存储等本地服务仍能访问。
- ✅ DNS 解析结果与对应设备的分流策略相符。
- ❌ 不要在故障时连续重启光猫、路由器和所有终端，先确定故障发生在哪一层。
- ❌ 不要把防火墙整体关闭作为长期解决方案。
若所有设备都无法上网，先停用最近增加的策略规则，再确认 WAN 本身是否正常。若只有代理设备异常，检查地址保留、规则匹配、隧道状态和 DNS；若局域网服务不可用，重点检查本地网段是否被错误送入隧道，以及客户端是否改变了防火墙转发。遇到路由器管理页面不可达时，优先通过有线连接和已知管理地址恢复访问，不要继续叠加远程规则。
回退时按变更顺序反向处理：先关闭新加入的设备策略，再恢复原有 DNS 和转发设置，最后停用 VPN 组件或还原配置备份。还原前确认备份对应当前固件与设备，避免把其他版本的设置直接覆盖到现有系统。若仍无法恢复，可根据设备厂商或 OpenWrt 固件文档使用本地恢复流程；执行恢复前，先确认是否会清除已有配置。
常见问题
订阅链接可以直接导入 OpenWrt 吗？
不一定。是否能直接导入取决于路由器端组件的功能和订阅格式。某些客户端需要先转换配置，另一些只接受逐项填写的节点参数。应先确认组件和服务端支持情况，不要将面向桌面或手机应用的订阅地址当作通用配置文件。
客户端显示已连接，为什么设备仍然直连？
可能是当前连接只影响路由器本机流量，LAN 转发或设备策略尚未启用，也可能是测试设备没有匹配到规则。检查设备地址、策略目标、默认路由和组件的流量接管模式，并分别从路由器与终端验证出口，不要只根据状态图标判断。
只有部分网站或应用无法访问，应该先改什么？
先检查 DNS 解析和规则命中情况，再确认目标应用是否使用了不同的域名、连接方式或本地网络服务。每次只调整一项规则，并重新测试代理设备与直连设备。若问题来自服务端地区或账户限制，改变路由器协议通常不能解决。
VPN 中断后，设备会自动直连吗？
这取决于客户端和策略路由的故障处理设置。有些配置会在隧道断开后回退到 WAN，有些可以设置阻止流量泄漏。先阅读组件对断线行为的说明，再用一台测试设备验证。若必须避免流量回退，应确认规则覆盖范围不会同时阻断路由器管理和必要的本地网络访问。