把 VPN 配置在 OpenWrt 路由器上，最大的便利是由路由器统一处理家庭网络中的连接：支持 Wi-Fi 或有线接入的设备不必逐台安装客户端。但“路由器已连接 VPN”不代表每台设备的所有流量都会自动经过 VPN。实际结果还取决于代理核心、路由规则、DNS、设备地址分配和防火墙设置。

比较稳妥的做法是先明确哪些设备或目标需要代理，再备份路由器配置、确认固件与客户端兼容，最后逐项验证连接路径。初次配置不要直接启用全局代理，也不要一次改动多个网络选项；这样即使出现故障，也更容易找到原因并恢复。

开始前先确认设备与方案

OpenWrt 是可扩展的路由器系统，不同设备的处理器架构、固件版本、可用存储空间和软件源并不相同。用于桌面或手机的客户端未必能直接安装到路由器上；路由器端需要对应架构的软件包、兼容的代理核心，以及能够把订阅或节点配置转换成路由规则的集成方案。

常见做法是使用与当前固件匹配的 OpenWrt 代理管理组件，再由组件调用受支持的核心。OpenClash、PassWall 等方案的功能、依赖和订阅格式支持各有差异；sing-box 则是代理核心之一，不能简单把它与某个图形管理界面当成同一类软件。选择时应核对项目说明中的固件版本、架构、依赖和功能范围，不要只凭软件名称判断兼容性。

还要区分“订阅配置”和“路由器 VPN 接入”。订阅可能包含节点信息、策略组、DNS 选项或规则，但不同工具能解析的格式并不完全一样。若导入失败，先检查订阅是否有效、管理组件是否支持其格式，以及所选核心能否识别对应协议；反复更换配置文件格式可能导致规则丢失，甚至把访问凭据交给不可信的转换服务。

  • ✅ 确认路由器固件版本、处理器架构和可用存储空间符合组件要求。
  • ✅ 先备份当前配置，并确认能够通过有线连接或恢复方式重新进入管理界面。
  • ✅ 核对服务提供的订阅格式与路由器组件支持的导入方式。
  • ❌ 不要把订阅链接、节点密码或完整配置贴到公开页面或来源不明的在线转换网站。

如果还在比较服务和客户端的使用方式，可以从 VPN72 免费VPN 查看本站提供的信息；配置路由器前，仍要以实际订阅内容和所选 OpenWrt 组件的兼容说明为准。

订阅链接通常含有访问凭据，应像密码一样保管。备份配置文件时也要注意保存位置，分享日志或截图前先检查是否包含节点地址、认证信息和订阅内容。

先设计分流，再安装与导入

家庭网络里常见的需求不是“所有连接都走 VPN”，而是让指定设备或特定目标使用代理，其余流量维持直连。开始安装前先决定采用哪种匹配方式，能避免配置好之后才发现规则无法覆盖实际设备。

  • 按设备分流：适合电视、游戏机或某台电脑需要固定走代理的情况。可为设备设置 DHCP 静态租约，再在管理组件中按局域网地址或设备标识分配策略。设备启用随机 MAC 地址时，路由器可能把它识别为新设备，需要在该设备的网络设置中检查这一选项。
  • 按域名或目标规则分流：适合希望同一设备访问不同服务时采用不同路径的情况。规则来源、匹配顺序和兜底策略都会影响结果；域名规则也可能受到 DNS 解析方式影响。
  • 全局代理：适合短时间排查某个连接是否受规则影响，不适合作为未经确认的默认设置。全局不等于一定能接管路由器网络中的每一种协议，也可能让本地服务、打印机或家庭设备之间的访问受到影响。

安装组件前，先从路由器管理界面备份配置，并确认软件包适用于当前固件。依照组件说明安装依赖和核心，不要把面向其他系统或其他架构的文件强行安装。安装后先确认管理页面能正常打开，再导入订阅；如果页面提示核心缺失、启动失败或配置解析错误，应查看组件日志中的具体原因，而不是同时更换多个核心和规则集。

导入成功后，先检查节点或策略组是否已加载，再指定一个明确的测试策略。初次使用时尽量保留局域网直连和管理地址的访问路径，避免路由器管理流量也被送入代理。若组件提供 DNS 处理选项，应了解其模式与规则的关系；DNS 解析路径和实际连接路径可能不同，不能只凭网页能打开就认定两者配置正确。

动手配置：从单台设备逐步验证

以下流程适用于使用图形管理组件的常见场景。不同组件的菜单名称和配置项会变化，具体以对应版本的说明为准。建议先让一台测试设备使用新策略，确认稳定后再扩大到其他设备。

  1. 备份并确认可恢复。在 LuCI 或当前管理界面导出配置，记录路由器管理地址和现有网络设置。优先使用有线电脑操作；如果无线设置被改坏，有线连接通常更便于排查。不要在尚未确认恢复方式时修改 LAN 地址、DHCP 服务或防火墙区域。
  2. 安装匹配的管理组件与核心。检查固件版本、设备架构和软件依赖，按组件说明完成安装。重新进入管理界面，确认组件状态正常，再启动核心。遇到启动失败时，检查日志中的缺少依赖、配置语法或端口冲突提示。
  3. 导入订阅并选择策略。使用可信的订阅入口导入配置，等待节点与规则加载完成。先固定一个策略组或节点进行验证，不要同时启用自动切换、复杂规则和全局代理，否则很难判断是哪项设置影响结果。
  4. 确定测试设备的地址。在 DHCP 设置中为测试设备建立静态租约，确认设备当前获得的地址与预期一致。若按设备标识匹配规则，也要确认设备没有因随机 MAC 地址而改变身份。只将这台设备加入代理策略，其他设备暂时保持原有路由。
  5. 检查局域网与 DNS 规则。保留路由器管理地址、家庭网段和本地设备之间所需的直连规则。检查管理组件对 DNS 的处理方式，并避免多个 DNS 劫持、加密 DNS 或其他解析功能彼此冲突。若 IPv6 已启用，也要确认组件对 IPv6 的处理策略；未被接管的 IPv6 流量可能仍按原路径连接。
  6. 验证不同类型的访问。在测试设备上检查一个需要走代理的目标，再访问路由器管理页和家庭局域网设备。可使用可信的出口地址查询服务观察出口地区，但单个网页的结果不能证明所有应用、DNS 查询和 IPv6 连接都经过相同路径。结合组件的连接记录或规则命中信息判断实际流量走向。
  7. 逐步扩大范围并记录变更。确认测试设备符合预期后，再将其他设备或规则加入策略。每次只调整一项，记录修改前后的行为；这样发生异常时可以迅速撤销最近一项设置，而不必从头重做。

路由器承担家庭设备的转发与规则处理，性能表现会受到硬件、固件、加密方式、连接数量和规则复杂度等因素影响。不要把其他设备上的测速结果直接当作路由器表现，也不要依据一次测试推断长期速度。Shadowsocks、VMess、Trojan、Hysteria2、WireGuard 等名称对应不同协议或技术方案，路由器核心是否支持某项配置，要以其版本说明和实际导入结果为准。

操作结论：先用一台设备验证地址匹配、代理出口、DNS 和局域网访问，再扩大分流范围；逐步启用比一次切换全屋全局代理更容易排错。

验证结果与异常恢复

配置完成后应分别检查“设备是否命中规则”“连接是否使用预期出口”“本地网络是否仍可用”。这三项是不同问题：设备地址变化可能让规则失效，DNS 路径不一致可能造成域名解析异常，而本地访问失败则可能与局域网直连规则或防火墙区域有关。

  • ✅ 代理设备无法访问目标时，查看设备当前地址、规则命中记录和核心日志，再检查节点连接状态。
  • ✅ 页面能打开但某个应用失败时，检查该应用使用的域名、DNS、IPv6 和 UDP 流量是否符合当前策略。
  • ✅ 路由器管理页或局域网设备不可达时，先暂停相关代理规则，检查本地网段是否被误送入代理。
  • ❌ 不要在排查过程中同时关闭防火墙、改 DNS、换核心并更新固件；这些改动会扩大故障范围，也会让原因更难确认。

若添加规则后连接异常，先停用最近新增的规则或策略，恢复到上一个已知正常状态。若管理页面仍可访问，可通过组件界面停止核心、恢复备份或撤销相关设置；若无线网络失联，尝试使用有线连接进入路由器。只有在常规方式无法恢复且已了解设备恢复流程时，才考虑重置配置。恢复出厂设置会清除现有网络配置，执行前应确认备份文件可用。

如果异常发生在升级固件或安装软件包之后，记录固件版本、组件版本和日志中的错误信息，再按对应项目说明核对兼容性。不要为了让连接暂时恢复而关闭证书校验、放宽不相关的防火墙规则，或把管理界面暴露到公网。排障完成后再次测试管理访问、局域网通信和代理策略，并确认配置重启后仍然生效。

常见问题

路由器连上 VPN 后，所有设备都会走代理吗？

不一定。是否走代理取决于组件的工作模式、设备或目标规则、DNS 与路由设置。若只为部分设备配置策略，其他设备可以继续直连；应通过规则记录和实际连接结果核对，而不是只看核心显示“已启动”。

可以把 Windows 或手机客户端直接安装到 OpenWrt 吗？

通常不能把面向 Windows、macOS、Android 或 iOS 的官方客户端直接当作 OpenWrt 路由器软件使用。路由器需要与其固件、处理器架构相匹配的管理组件和代理核心。应选择明确支持当前 OpenWrt 环境的方案，并确认订阅格式兼容。

为什么启用分流后，部分应用仍然无法连接？

应用可能使用了未覆盖的域名、独立的 DNS 或 IPv6 连接，也可能依赖 UDP，或者当前规则命中了不同策略。先查看连接记录与规则命中情况，再逐项检查 DNS、IPv6 和协议支持。临时切换模式只能用于对照排查，测试后应恢复预期的分流配置。

配置出错后怎样恢复上网？

先停止最近启用的代理规则或核心，并尝试通过有线连接访问路由器管理界面；能够登录时，撤销最近改动或恢复事先导出的配置。若管理界面无法访问，再按照路由器型号对应的恢复流程处理。重置会清除已有设置，因此应把备份和恢复步骤准备在配置之前。