路由器机场教程：OpenWrt / 软路由全家透明代理（2026）

为什么要在路由器上用机场

手机、电脑装客户端已经很成熟，但家里还有一大批「装不了客户端」或「装了也麻烦」的设备：Apple TV、Android TV、游戏主机、Switch、智能音箱、NAS。给路由器装上代理插件后，这些设备连上 Wi-Fi 就自动分流，国内直连、国外走机场，不需要每台设备单独配置。这就是透明代理。

代价也很清楚：配置复杂度高、对路由器硬件有要求、一旦出问题影响范围是全家。所以我们建议先读完全文，再决定是用主路由模式一步到位，还是用旁路由模式先试试。

上路由器之前要准备的硬件和固件

流量方面，全家共用一条订阅消耗会远超单人使用，先用流量估算算一下，优先考虑大流量套餐，参考高速大流量机场推荐。

三类插件怎么选

本文的步骤以 OpenClash 为主线描述，ShellCrash 与 PassWall 的概念完全相通，界面文案有差异时按含义对应即可。

分步操作（以 OpenClash 为例）

第一阶段：准备固件与安装插件

1. 确认路由器或软路由已运行 OpenWrt，能通过浏览器登录 LuCI 管理页面，并能 SSH 登录。
2. 如果固件自带 OpenClash，直接在「服务」菜单里找到它。没有的话，到 OpenClash 项目的 GitHub Releases 下载对应架构的 ipk 包，在「系统 → 软件包」上传安装，缺依赖时先在线更新软件源再装。
3. 进入 OpenClash 页面，在「版本更新」或类似位置下载 Clash Meta 内核。路由器直连下载 GitHub 不稳定，可用页面提供的 CDN 加速选项，或在电脑上下载后手动上传到指定目录。
4. 确认内核下载成功后，先不要启动，去设置运行模式。

第二阶段：运行模式与 DNS

1. 在「插件设置 → 模式设置」选运行模式。新手建议「Fake-IP（TUN）」或「Fake-IP（混合）」，兼容性与性能平衡好；需要给局域网内所有 UDP 流量代理（游戏）时选 TUN 或 TProxy。
2. DNS 设置保持默认的「劫持局域网 DNS」开启，这样所有设备的 DNS 查询都会经过 OpenClash，分流才能准确。
3. 在「DNS 设置」里确认国内 DNS 用运营商或国内公共 DNS，国外 DNS 用通过代理查询的海外 DNS。订阅自带的 DNS 配置通常可用，不要随意覆盖。
4. 「覆写设置」里可以勾选保留订阅自带规则、或改用插件自带的规则集，初次使用保留订阅规则。

第三阶段：导入订阅并启动

1. 到「配置订阅」页，新增一条订阅，名称填机场名，地址粘贴机场 Clash 订阅链接，勾选「订阅转换」如果机场订阅不是标准 Clash 格式（但更推荐直接用机场的 Clash 专用链接）。
2. 点击更新配置，成功后在「配置文件管理」里选中这份配置。
3. 回到「运行状态」页点启动。等待几十秒，状态变为运行中。
4. 打开控制面板（内置的 Web 面板）选节点：在「节点选择」组里挑一个专线节点，并对所有节点测一次延迟。
5. 用一台连在这个路由器下的手机或电脑，不开任何客户端，访问国外网站验证。

第四阶段：主路由还是旁路由

1. 主路由模式：OpenWrt 做网关与 DHCP，上面的步骤做完全家即生效。确保 LAN 口 DHCP 下发的 DNS 指向路由器自身。
2. 旁路由模式：OpenWrt 的 LAN 口接入原路由器的 LAN，给它一个固定内网 IP，关闭其 DHCP，网关和 DNS 填原路由器；然后在需要代理的设备上手动把网关和 DNS 改为旁路由的 IP。原路由器下其他设备不受影响。
3. 旁路由模式下如果出现「能上国外不能上国内」或访问很慢，多半是 OpenWrt 防火墙的 IP 动态伪装没开，或者 DNS 回环，按插件文档检查这两项。

OpenClash 里决定全家能不能上网的几项设置

Fake-IP 与 Redir-Host

Fake-IP 模式下，路由器对每个域名返回一个假的内网 IP，流量到达时再按域名分流，优点是速度快、DNS 污染影响小；缺点是少数程序（部分游戏、某些 IoT 设备）对假 IP 不适应。Redir-Host 模式返回真实 IP，兼容性好但容易受 DNS 污染影响、规则匹配慢。多数人用 Fake-IP，并把不兼容的域名加入 Fake-IP 过滤列表。

TUN / TProxy / Redir

这是流量进入内核的方式。Redir 只处理 TCP，最省资源；TProxy 同时处理 TCP 与 UDP；TUN 通过虚拟网卡处理全部流量，兼容性最好但占用最高。游戏、语音通话需要 UDP，选 TProxy 或 TUN。

绕过局域网与中国大陆 IP

插件会把局域网网段和国内 IP 段直接放行，不经过内核处理，这是性能保障。如果你的 NAS、打印机访问异常，检查它们的网段是否在绕过列表里。

规则与策略组

订阅自带的策略组（节点选择、流媒体、AI 等）在路由器上同样可用。如果想让电视的 Netflix 走机场标注的流媒体节点、电脑的 ChatGPT 走美国专线，在面板里分别设置对应策略组即可。更细的分流（按设备、按域名）见分流规则教程。

怎么确认全家设备都走了路由器代理

1. 插件状态：运行状态页显示运行中，内存与 CPU 占用稳定。
2. 设备侧测试：任意一台局域网设备不开客户端，访问国外网站能开，国内网站速度正常。
3. DNS 检查：在设备上访问 DNS 泄露检测网站，不应出现国内运营商 DNS；Fake-IP 模式下 nslookup 国外域名应返回保留段的假 IP。
4. 面板连接列表：控制面板的连接页面能看到各设备的连接，国内域名走 DIRECT，国外域名走节点组。
5. 吞吐测试：在电脑上做一次下载测速，观察路由器 CPU 占用。CPU 跑满而速度上不去就是硬件瓶颈，见节点测速教程。
6. 电视验证：电视或盒子打开 YouTube 能播放，Netflix 等按电视盒子教程验证解锁，解锁以机场品牌资料标注为准。

风险与性能：决定前必读

性能瓶颈

代理流量的加解密、规则匹配、DNS 劫持全部由路由器 CPU 完成。经验上，入门 ARM 路由器跑 Clash 内核能稳定几十兆到一百多兆，中端 ARM 盒子两三百兆，x86 软路由能跑满千兆宽带。内存方面，Clash Meta 内核加规则集常驻占用一两百兆，256MB 的设备会很紧张。如果你的宽带是 500M 以上、家里有 4K 流媒体和大下载需求，直接上 x86 软路由。

单点故障

主路由模式下，插件崩溃、内核更新失败、订阅过期、机场故障，任何一项都可能让全家断网。缓解措施：保留原路由器随时切换；开启插件的健康检查与故障回退（代理不可用时自动直连）；订阅与规则更新设在凌晨。

流量消耗与倍率

全家设备的自动更新、云同步、电视预加载都会经过路由器，一旦规则没把它们直连，流量消耗会很快，有倍率的节点更明显。定期看机场用户中心的用量，并把国内云服务域名确认在直连规则里，参考流量消耗快排查与流量倍率解析。

安全边界

路由器管理页面不要暴露到公网；插件控制面板设置密码；订阅链接含账号 token，备份配置文件时注意不要上传到公开仓库。

路由器代理的常见问题速查

适合路由器全家代理的机场

路由器场景最在意三件事：设备数统计方式（全家出口虽是一个 IP，但不同机场统计方式不同，本站 17 家都写「以官网为准」，下单前问客服）、入门流量够大或有更高档位可升、专线稳定不频繁掉线导致全家断网。下表按评分列出 17 家的入门套餐与线路：

月付大流量方面，一翻云（¥20/月 150GB，VLESS + IEPL）与灵猫网络（¥19/月 150GB，企业级内网专线）是 20 元内入门流量最大的两家，全家共用更高档位以官网为准。更多见不限设备机场推荐。

常见问题