OpenWrt 路由器 VPN 配置教⁠程：全屋设⁠备分流一次设置好

OpenWrt 路由器配置 VPN，和在手机上导入订阅并点击连接不是一回事。路由器需要有可用的固件与代理组件，还要建立出站连接、决定哪些设备或目标地址进入隧道，并处理 DNS 与默认网关。任何一处配置不匹配，都可能出现“路由器显示已连接，但终端仍走原网络”或“部分设备无法上网”的情况。本文按先备份、再验证隧道、最后逐步启用分流的顺序说明操作，并给出出现异常时的回退方法。

先确认固件能力与网络拓扑

OpenWrt 是路由器固件平台，不是单一的 VPN 客户端。不同设备型号、固件版本、处理器架构和已安装软件包，能使用的代理组件与管理界面可能不同。开始之前，确认路由器可以安装与你的固件版本和架构相符的软件包，并查阅对应项目的配置说明。不要因为界面里出现“VPN”或“代理”字样，就认定它能直接解析任意服务商的订阅链接。

尤其要分清“订阅”和“节点配置”：部分桌面或手机客户端可以直接导入订阅并定期更新；路由器上的组件未必支持同样的订阅格式。若组件要求单独的服务器地址、端口、传输方式和认证信息，应使用服务提供方实际提供且该组件支持的配置。不要把完整订阅链接粘贴到公开截图、论坛或他人可访问的配置文件中；它可能包含可用于获取配置的凭据。

同时画清楚家庭网络的连接关系：上游光猫或主路由、运行 OpenWrt 的路由器，以及需要接入的终端。若 OpenWrt 路由器本身承担家庭网关，终端通常从它获取地址并以它为默认网关；若 OpenWrt 只是旁路由，终端仍可能把流量交给另一台主路由。旁路由场景下，只有明确经过 OpenWrt 的流量才能由它执行代理策略，单在 OpenWrt 上启用隧道不会自动改变其他设备的默认路由。

上面的平台信息说明终端侧可以使用哪些官方客户端，并不代表 OpenWrt 固件内置了相同客户端或支持所有订阅格式。VPNND 的线路与协议说明可用于核对线路和客户端相关信息；具体的 OpenWrt 软件安装步骤，应以路由器型号、固件版本及组件自己的文档为准。

备份配置，再准备最小可用方案

动手前，从 OpenWrt 管理界面导出当前配置备份，并确认自己能通过有线连接或本地管理地址重新进入路由器。记录 WAN、LAN 地址范围、DHCP、默认网关、DNS 和防火墙中与现有网络相关的设置。不要在第一次尝试时同时更换 LAN 网段、DHCP 服务、DNS、代理组件和防火墙规则；改动越多，出错后越难判断问题来自哪一层。

接下来确认两件事：第一，当前固件是否能够运行目标组件；第二，该组件能否读取你手中的配置格式。若需要额外安装软件，先查看存储空间、依赖包和固件分支是否匹配。路由器空间不足或包源不适用时，不要强行安装来历不明的二进制文件。遇到固件升级、核心包更新或界面版本变化，也要重新核对配置格式和服务启动方式。

首次验证建议从最小方案开始：只配置一条受支持的出站连接，不启用复杂的域名规则、自动故障切换或多组策略；先让路由器自身或一台测试终端的流量按预期通过，再考虑扩大范围。路由器上的代理核心、系统防火墙和策略路由是不同环节：核心能启动，不等于流量已被接管；规则写入成功，也不等于 DNS 与回程路径正确。

• ✅ 备份现有配置，并保留可以恢复管理界面的有线接入方式。
• ✅ 核对固件版本、设备架构、软件包来源与配置格式是否匹配。
• ✅ 先用单一出站和单台测试设备验证，再逐步增加策略。
• ❌ 不要把订阅链接或认证信息放进公开日志、截图或共享配置。
• ❌ 不要同时启用多个会接管默认路由的代理组件。

实操：建立隧道并按设备分流

以下步骤描述的是通用配置顺序，不对应某个特定 LuCI 插件的按钮名称。不同组件的字段、菜单与规则语法可能不同，填写时应以该组件当前版本的说明为准。操作中先记录原值，每完成一阶段就验证一次，不要一次性粘贴不理解的防火墙脚本。

1. 安装并检查组件。确认软件包适用于当前固件，安装完成后检查服务是否能启动。若组件依赖 TUN、策略路由支持或额外内核模块，先确认固件具备相应能力；缺少依赖时应先解决兼容问题，而不是继续配置规则。
2. 添加出站配置。按服务端资料填写服务器、端口、认证及协议所需参数。若使用订阅转换或手动配置，只选组件明确支持的格式。保存后先检查核心日志中的解析错误、认证失败和连接建立状态；不要在日志中展示密钥等敏感字段。
3. 确认基础连通。在不改变整个家庭默认路由的前提下，使用组件提供的连接检查或一台测试设备验证。检查目标服务能否发起新的请求、出口地区是否符合预期，并留意本地网络服务是否仍能访问。仅凭“服务运行中”或节点名称不能证明终端流量已经通过隧道。
4. 选择分流方式。按设备分流时，优先使用组件明确支持的客户端地址、设备标识或静态租约规则，并确保终端的地址不会因 DHCP 变化而意外匹配到另一条策略。按目标地址分流时，要考虑同一应用可能访问多个域名，单独添加首页域名未必覆盖登录、媒体或 API 请求。首次排查可采用范围较小、容易识别的规则。
5. 核对 DNS 与路由。检查 DHCP 下发给终端的网关和 DNS 是否符合设计；再确认代理策略对 DNS 请求的处理方式。系统 DNS、代理组件内置解析、浏览器安全 DNS 可能同时存在，彼此不一致时会产生“网页能开但地区判断异常”或“只有部分域名失败”等现象。一次只调整一个解析环节，并重新发起查询和页面请求。
6. 小范围启用并扩展。先让一台测试设备进入目标策略，验证本地网站、目标服务和路由器管理界面均正常。确认没有问题后，再逐台或按设备组添加规则。每次扩展后观察新设备是否获得正确网关与 DNS，并实际发起新连接；已有网页可能来自缓存，不能作为唯一验证依据。

全局代理和策略分流各有用途。全局方式把更多流量交给代理策略，便于定位规则遗漏，但可能让本地服务、打印机、局域网文件共享或需要本地出口的应用受到影响。策略分流更适合按设备或目标选择路径，但规则维护更复杂。建议先验证最小范围，再根据需求决定哪些设备或请求需要进入隧道，不要把“全屋接入”误解为必须让所有流量都走同一出口。

验证结果，并准备回退

验证时要分别检查连接、路由、DNS 和家庭局域网，而不是只盯着客户端状态。终端建立新的网络请求后，确认出口信息与预期一致；再访问一个本地服务，检查路由器管理页、局域网设备或本地办公资源是否仍可用。若使用设备分流，至少分别测试一台应走代理的设备和一台应保持直连的设备；若两者表现相同，检查规则是否命中以及终端流量是否确实经过 OpenWrt。

可按以下现象缩小排查范围：

• 路由器组件未启动：查看组件日志、配置解析结果、软件包依赖与系统时间；先修复服务端配置或固件兼容性，不要急着改 DHCP。
• 组件运行但终端出口未变化：检查终端默认网关、策略规则匹配条件、接口状态及防火墙转发路径。旁路由模式尤其要确认终端流量是否被送到 OpenWrt。
• 部分网站无法打开：分别检查 DNS 解析、目标域名规则和应用的其他请求域名。先对照同一设备的直连与代理行为，避免同时更换 DNS、线路和规则。
• 全屋无法上网：先停用最近新增的策略或代理接管规则，恢复原有网关与 DNS 设置；如果仍无法管理，再通过已准备的本地接入方式恢复备份配置。

回退时优先撤销最近一项改动，而不是继续叠加修复规则。可以按“关闭新增分流规则、停止代理服务、恢复原 DHCP/DNS 设置、必要时导入备份”的顺序处理，每步之后检查路由器管理界面和终端联网情况。若导入备份，需要注意部分界面会重启网络服务；操作前确保有稳定的本地连接，并确认备份来自同一设备及兼容的固件环境。

常见问题

OpenWrt 路由器 VPN 配置的关键不只是让组件启动，而是让终端、网关、策略规则与 DNS 按同一设计工作。先备份并确认流量拓扑，再验证单一出站，最后逐步加入设备分流，可以降低全屋断网或难以定位问题的风险。若需要查看本站的通用客户端使用说明，可前往教程页面；路由器具体菜单和软件包则应以对应固件及组件版本为准。