先确认设备与组网方式：路由器能做什么
OpenWrt 路由器集中处理家中设备的网络流量，适合希望统一管理手机、电视、电脑及其他终端的用户。配置完成后，可以按设备或目标地址决定哪些流量经过代理，哪些仍走本地网络；但路由器是否能承载相应功能，取决于硬件性能、固件版本、可用存储空间和客户端支持情况，并不是刷入 OpenWrt 就会自动获得完整的代理能力。
开始前先确认路由器的处理器架构、内存和剩余存储空间，并核对固件版本与准备安装的软件包是否匹配。透明代理、加密连接和 DNS 转发会增加路由器负载；如果设备资源有限，开启过多规则或同时运行多个网络插件，可能导致管理界面变慢、内存不足或网络不稳定。旧设备也要确认固件仍有安全更新，不要仅为安装插件而使用来源不明的固件。
还要分清“VPN 客户端”和“代理客户端”。OpenWrt 原生 VPN 配置通常针对系统支持的 VPN 协议；而 Shadowsocks、VMess、Trojan、Hysteria2 等属于不同的代理协议或协议实现，需要由支持相应协议的客户端处理。协议是否可用，应以所选客户端和配置格式的文档为准。订阅链接也不一定能直接导入 OpenWrt：有些客户端只接受特定格式，需要确认订阅内容与客户端兼容，不能把任意链接粘贴进路由器的 VPN 页面。
正式修改前，从 OpenWrt 管理界面备份当前配置，并记录 WAN、LAN、无线网络和 DHCP 的现状。确保自己知道如何通过网线访问管理页面；若代理或防火墙配置错误，至少还应能恢复备份或进入设备的恢复模式。首次部署建议先让一台测试设备使用新配置，确认正常后再扩展到全屋。
- ✅ 确认固件版本、处理器架构、可用空间与客户端要求相符。
- ✅ 备份配置，并保留有线连接路由器管理界面的方式。
- ✅ 先决定按设备分流还是按目标地址分流，避免规则互相覆盖。
- ❌ 不要同时启用多个透明代理插件或重复接管 DNS、路由。
选择客户端与导入配置：先验证兼容性
OpenWrt 上常见的做法，是使用与固件兼容的代理管理插件，或部署支持所需协议的客户端，再让它接管指定流量。OpenClash、sing-box 等工具的配置入口、功能范围和版本要求并不相同；客户端名称相同也不表示每个固件都能直接安装。安装前查看项目文档、固件软件源和当前版本说明，重点核对处理器架构、依赖项、配置格式及透明代理模式。
订阅服务与路由器客户端之间通常隔着配置格式这一层。部分兼容客户端可以直接更新订阅，另一些只接受特定配置文件，或者需要在电脑端先转换成目标客户端可读的格式。转换过程可能丢失规则、DNS 设置或节点参数，因此导入后要检查配置是否完整、线路列表是否出现、客户端日志是否报告解析错误。不要把订阅链接公开分享；其中可能包含可用于访问账户资源的凭据。
在梳理服务选择时，也可以结合自己的设备和使用需求查看 VPNSR VPN推荐，再回到面板与客户端文档确认实际支持的配置方式。不要仅凭服务介绍推断 OpenWrt 固件自带对应客户端，或认为所有订阅都能被同一种插件识别。
策略路由通常有两种常见思路。按设备分流，适合让电视、工作电脑等设备使用不同出口；按目标地址或规则分流，适合让同一台设备访问不同服务时采用不同路径。两种方式可以组合，但必须明确优先级：如果设备规则和目标规则给出不同结果，最终采用哪条规则取决于客户端的实现。建议先只启用一种简单策略，确认有效后再增加例外。
配置原则：先确认客户端能解析配置并成功建立连接，再启用透明代理和分流。订阅导入成功只代表配置已读取，不等于家中设备已经经过代理。
动手配置：从单台设备逐步扩展
以下步骤适用于一般的 OpenWrt 客户端部署流程。不同插件的菜单名称、选项和默认策略可能变化，应以当前固件及客户端说明为准。开始前保持一台电脑通过网线连接路由器，并确保可以重新进入 OpenWrt 管理界面。
- 备份并记录网络状态。在管理界面导出配置，记录 WAN、LAN、DHCP 和无线网络的现有设置。不要在同一轮操作中同时改动 LAN 地址、上游连接方式和代理策略，否则出错时难以定位原因。
- 安装一个兼容客户端。优先使用固件软件源或客户端维护者提供的安装说明，确认依赖项安装完成。不要把不匹配架构的软件包强行安装，也不要同时启动两个会修改防火墙或 DNS 的代理服务。
- 导入并检查配置。按客户端支持的方式添加订阅或配置文件，执行更新后检查线路是否显示、规则是否加载以及日志是否存在解析或认证错误。若配置为空，先核对链接、格式和更新结果，不要立即打开全局接管。
- 选择连接与工作模式。启动一条可用配置，按客户端文档启用所需的转发模式。透明代理可能涉及 TProxy 或重定向等机制，具体选择取决于客户端、内核和固件功能，不要照搬其他设备的防火墙命令。
- 建立最小分流规则。先指定一台测试设备或一个明确的目标规则走代理，其余流量保持原有路径。若需要电视直连、电脑按规则使用，可在策略中分别定义，并确认设备识别依据是客户端支持的地址、设备组或其他字段。
- 逐项验证并扩展。在测试设备上检查网页访问、目标服务连接和 DNS 解析；确认本地路由器管理页面、局域网设备及常用本地服务仍可访问。验证通过后再逐台加入家庭设备，并观察路由器负载和客户端日志。
分流规则应保持可读、可回退。为设备设置固定租约有助于让按地址匹配的策略保持稳定；如果设备经常更换随机 MAC 地址或 IP，规则可能不再命中。添加规则时保留“默认直连”或其他明确的兜底行为，并在客户端文档确认规则顺序，避免一次新增大量规则后无法判断究竟是哪条生效。
不要在首次配置时直接把全家设备切到全局代理。先用单台设备验证连接、DNS 和本地网络，再逐步扩大范围；这样出现故障时，影响面更小，也更容易恢复。
DNS 验证与故障回退：确认流量走向
DNS 与代理策略需要一起检查。设备可能把域名查询交给路由器，也可能使用浏览器内置的安全 DNS 或应用自己的解析方式；因此，仅看到客户端显示“已连接”，无法证明所有应用的请求都按预期经过代理。检查时可分别测试普通网页、需要特定线路的目标和局域网服务，并观察客户端连接日志、路由器 DNS 设置以及设备实际使用的网络路径。
如果只有部分网站打不开，先确认是域名解析问题、规则未命中，还是目标服务本身的连接问题。可以临时将测试设备改为直连，比较现象是否变化；再检查 DNS 上游、客户端规则和缓存。不要同时更改多个 DNS 地址、路由表和防火墙选项，否则即使故障消失，也无法知道真正原因。对于电视等封闭设备，先使用同一局域网内可控的电脑做对照测试。
遇到全屋断网时，先停止新增规则，并通过有线连接进入管理界面。按照客户端文档关闭透明代理或相关服务，确认 WAN 与 LAN 的基本连接恢复；若管理界面仍可访问但配置状态混乱，可恢复此前导出的配置。不要为了“修复”而随意清空防火墙、改动 LAN 地址或刷入不匹配固件。恢复后逐项重新启用功能，每次只改一个变量并记录结果。
- ✅ 客户端显示连接正常后，仍要用实际应用和域名验证分流结果。
- ✅ 保留本地管理地址、局域网服务和必要设备的直连例外。
- ✅ 故障时先恢复基础 WAN/LAN，再逐项重新启用代理功能。
- ❌ 不以单个测速结果判断 DNS、规则和所有应用都配置正确。
家用路由器承担的是网络转发，不会替代终端自身的安全措施。加密连接不能替代 HTTPS，也不能避免钓鱼、恶意软件或账户泄露。定期检查 OpenWrt 与客户端更新，更新前阅读兼容说明并保存配置；若更新后策略行为改变，先回到简单的单设备测试，不要直接扩大影响范围。
常见问题
订阅链接能直接填进 OpenWrt 的 VPN 页面吗？
不一定。OpenWrt 原生 VPN 页面通常不是通用代理订阅解析器。需要使用支持相应协议与订阅格式的客户端；若客户端只接受配置文件，应按其文档导入兼容配置，并检查转换后规则和 DNS 设置是否完整。
配置好路由器后，所有家中设备都会自动走代理吗？
不一定。是否接管取决于客户端的透明代理模式、策略规则及设备的网络路径。设备可能被设为直连，访客网络也可能不在策略范围内。应逐台或按设备组验证，不能只凭路由器显示已连接作判断。
电视能连本地服务，但目标应用无法使用，怎么排查？
先确认电视是否命中预期策略，再检查 DNS 解析、客户端日志和目标应用的连接情况。可用同一局域网内的电脑做对照，排除路由器之外的应用或设备问题。每次只调整一项规则，测试后再继续。
关闭客户端后仍然无法上网怎么办？
通过有线连接登录管理界面，确认客户端服务和相关转发规则已停止，再检查 WAN、LAN、DHCP 与 DNS 是否恢复原状。仍无法恢复时，使用此前保存的 OpenWrt 配置备份；不要在无法确认影响的情况下批量清除防火墙或重置网络参数。
最后检查：可靠的全屋配置不是让所有流量一律走同一路径，而是先确认硬件与客户端兼容，再建立清晰的分流规则，并保留可验证、可关闭、可恢复的操作路径。