软路由与路由器翻墙教程：全屋透明代理怎么做

为什么强烈推荐旁路网关（旁路由）架构#

在初学者的固有认知中，往往倾向于将 OpenWrt 软路由直接作为家里的唯一主网关负责宽带拨号（方案 A）。虽然这种单点架构在逻辑上直观，但在现实家庭生活中隐藏着极其高昂的运维风险：

1. 网络单点故障风险极高：OpenWrt 上的代理插件（如 OpenClash）在频繁更新订阅、调试内核规则或遭遇网络波动时，偶发性的内核崩溃可能直接导致整个软路由系统死机。一旦作为主路由的软路由死机，全屋断网，智能门锁失联，家人连正常访问微信与观看国内电视都会彻底瘫痪，引发严重的家庭信任危机。
2. 家庭成员网络需求分歧：长辈和不翻墙的家庭成员往往只要求国内宽带绝对稳定，不希望自己的网络被任何中间层协议过滤或干扰；
3. 旁路由的优雅解耦：在方案 B（旁路网关拓扑）中，稳定坚固的硬路由器（如华硕、TP-Link 或小米路由器）继续负责光猫拨号、全屋 Wi-Fi 覆盖与底层物理交换；而软路由仅作为局域网内的一台普通计算设备挂在交换机上。即便软路由关机、断电、重启甚至系统损坏，主路由器依然保持坚如磐石的正常运转，全屋国内网络毫秒不受影响。

关于单臂路由（One-Arm Router）与单网口小主机的补充说明：如果你的设备只有一个物理网口（例如斐讯 N1 或单网口迷你主机），也可以通过一根网线与支持 802.1Q 协议的管理型千兆交换机对接，通过划分虚拟局域网（VLAN Trunk）实现“单线复用”。但在大流量跨国吞吐与局域网内网 NAS 传输并存时，单网口全双工带宽会被强制对半砍成共享带宽。因此在预算允许的情况下，配备独立多网口的工控机在物理抗压与排障直观性上始终更加稳健。

硬件选型指南#

1. Intel N100 / N200 多网口工控机：采用 Intel 最新 Gracemont 能效小核架构，TDP 功耗仅为 6W 至 10W，自带 4 个 2.5G 高速网口。单核性能极其强悍，在底层安装 PVE（Proxmox VE）虚拟化平台后，不仅能虚拟出一台 OpenWrt 旁路由，还能同时运行轻量 NAS、Docker 容器、Home Assistant 智能家居中枢以及 Windows 测试机，是中产家庭搭建家庭数字中心的黄金标配。
2. 友善 NanoPi R4S / R5S：基于瑞芯微 RK3399 芯片的高性能 ARM 开发板，配备 4GB LPDDR4 内存与双千兆/双 2.5G 网口。其优势在于功耗极低（全负荷仅 4W 左右），纯金属铝合金外壳被动散热零噪音，专为软路由量身定制，软硬件极其精悍。
3. 百元级电视盒子（斐讯 N1）：如果预算极其有限，二手市场几十元至百元出头的斐讯 N1 电视盒子刷入 Armbian 或 OpenWrt 固件，利用单网口即可充当出色的千兆单臂旁路由，轻松跑满 200Mbps 至 300Mbps 的科学上网流量。

固件系统选型 原生开源与整合版 iStoreOS 对比#

在操作系统层面，强烈推荐选择 iStoreOS（基于官方 OpenWrt 深度改良的轻量交互版）或者纯净官方版 OpenWrt：

• iStoreOS 核心优势：为小白用户重构了极简的图形网络向导，内置应用商店可一键安装 Docker、网络存储共享与常用辅助工具，排除了许多第三方大杂烩固件中暗藏的臃肿脚本与垃圾插件；
• 拒绝来历不明的打包固件：严禁在论坛中随意下载不知名第三方网友整合的“大满贯固件”，这些固件往往魔改了内核网络栈，不仅容易与代理插件产生激烈的路由链冲突，更可能潜藏数据偷跑后门。

虚拟化底层架构与 PCIe 网卡直通调优#

如果你采用 Intel N100 等工控机运行虚拟化系统（如 PVE 或 ESXi），如何将物理网卡分配给 OpenWrt 旁路由至关重要：

1. 虚拟网卡桥接（Linux Bridge）：如果旁路由仅作为旁路网关使用，直接在 PVE 中为 OpenWrt 分配一个虚拟网卡并桥接到物理 LAN 口（vmbr0）即可。现代 Linux 内核的虚拟网卡转发损耗已经控制在 2% 以内，完全能够轻松跑满 2.5G 局域网带宽。
2. PCIe 网卡硬件直通（PCIe Passthrough）：如果你打算让软路由兼任主路由进行 PPPoE 拨号，建议在 PVE 的硬件设置中将独立的 Intel i226-V 物理网口直接穿透挂载给 OpenWrt 虚拟机。硬件直通彻底绕过了宿主机的虚拟化网络抽象层，能够直接由 OpenWrt 内核接管硬件 DMA 内存传输，大幅度降低超高并发下载时的 CPU 中断与发热。

第一步 规划局域网 IP 地址并配置旁路由 LAN 口#

1. 用一根网线将旁路由的网口连接到主路由器的 LAN 口（或将电脑网线直接插入旁路由进行初始化）。
2. 打开电脑浏览器，登录 OpenWrt 旁路由的管理后台（默认通常为 192.168.1.1）。
3. 进入【网络】->【接口】->【LAN】接口，点击【修改】按钮。
4. 进行以下关键网络参数配置：
   • 传输协议：保持为【静态地址（Static IP）】；
   • IPv4 地址：修改为一个与主路由同一网段但绝对不冲突的固定 IP，例如 192.168.1.2；
   • IPv4 子网掩码：设为 255.255.255.0；
   • IPv4 网关：必须精准填写主路由器的真实 IP，即 192.168.1.1（确保旁路由自己能够顺畅上网）；
   • 自定义的 DNS 服务器：同样填写主路由器的 IP 192.168.1.1，或者公共 DNS 223.5.5.5。

第二步 强制关闭旁路由的 DHCP 服务器#

这是避免全屋局域网瘫痪的最致命核心原则：一个局域网内通常只能存在一个活跃的 DHCP 服务器。如果主路由和旁路由同时开启 DHCP 自动下发，会导致局域网内所有手机和电脑在获取 IP 时发生严重冲突，直接造成大面积断网。

1. 在刚才的 LAN 接口修改页面中，向下滑动找到底部的【DHCP 服务器】设置区域。
2. 勾选【忽略此接口（在此接口上禁用 DHCP 服务）】。
3. 点击页面右下角的【保存并应用】。

第三步 配置旁路由防火墙动态伪装（MASQUERADE）#

在许多特定品牌的硬路由器（如某些老款华硕或华为路由器）环境下，如果旁路由没有开启 IP 动态伪装，会导致从终端发往旁路由的数据包在被旁路由转发给主路由时，由于源 IP 属于同网段内网 IP，触发主路由的丢包保护，导致网络出现“只能接收数据不能发送数据”的单向死锁。

1. 进入 OpenWrt 后台【网络】->【防火墙】。
2. 在【常规设置】中，确保【LAN】区域的【入站数据】、【出站数据】与【转发】均设为【接受（ACCEPT）】。
3. 点击【区域】列表中的【LAN -> WAN】（或 LAN 区域本身的修改项），勾选开启【IP 动态伪装（MASQUERADE）】。
4. 在【自定义规则】页面中，为防止某些版本内核产生 SYN 校验冲突，可以追加一行 iptables 转发修正指令： iptables -t nat -I POSTROUTING -o br-lan -j MASQUERADE
5. 保存并应用规则。

第四步 主路由 DHCP Option 3 与 Option 6 高级下发技巧#

如果你不想改动主路由器自身的默认网关设置（防止主路由系统自身联网报错），但又希望家中所有连入 Wi-Fi 的新设备自动将网关识别为旁路由，最优雅的工业级方案是利用 DHCP 协议中的 Option 3（路由器网关选项） 与 Option 6（域名服务器选项）：

在支持高级 DHCP 配置的主路由器（例如华硕梅林固件、高恪固件、爱快固件或 OpenWrt 主路由）中，进入 DHCP 高级选项输入框，添加自定义下发参数：

• 3,192.168.1.2 （通知所有客户端将默认网关设定为旁路由）
• 6,192.168.1.2 （通知所有客户端将 DNS 服务器设定为旁路由）

通过这种方案，主路由器本身的系统流量、宽带测速以及固件更新依然走它自己的原生宽带网关，绝不流经旁路由；而所有内网移动设备在连接 Wi-Fi 的瞬间，就会被 DHCP 自动化引导至旁路由，实现了真正意义上的“设备全自动出海与主路由稳健隔离”的完美共存。

策略一 单设备手动指定网关（安全系数最高）#

这种方式对家庭网络环境零侵入，最适合与父母、长辈同住的用户：

1. 家中长辈的手机、电视盒子的网络保持默认“自动获取（DHCP）”，其网关始终是主路由 192.168.1.1，完全不经过旁路由；
2. 只有你自己的 iPhone、MacBook 或 Apple TV，进入 Wi-Fi 详情页将 IP 设置由“自动”修改为“手动 / 静态”：
   • IP 地址：例如 192.168.1.88；
   • 子网掩码：255.255.255.0；
   • 路由器 / 网关：手动填写旁路由的 IP 192.168.1.2；
   • DNS 服务器：手动填写旁路由的 IP 192.168.1.2。
3. 这样只有你自己的设备流量才会流经旁路由加速，任何旁路由的调试与重启都不会影响到家人分毫。

策略二 主路由 DHCP 劫持全局自动化（全屋免配置）#

如果你独自居住，或者全家人都有强烈的出海观影需求，可以在主路由器后台一键下发旁路由网关：

1. 打开主路由管理界面，进入【内部网络（LAN）】->【DHCP 服务器】。
2. 找到【默认网关（Default Gateway）】参数，将其由原本的主路由 IP 修改为旁路由的 IP 192.168.1.2。
3. 找到【首选 DNS 服务器】，同样修改为旁路由的 IP 192.168.1.2。
4. 保存后，断开手机 Wi-Fi 并重新连接。此时手机通过 DHCP 自动分配到的网关与 DNS 就全部变成了旁路由，真正达成全屋设备“连上 Wi-Fi 自动科学上网”的终极形态。

第一步 内核选型与运行模式配置#

1. 在 OpenWrt 菜单中进入【服务】->【OpenClash】。
2. 进入【全局设置】->【运行模式】标签页：
   • 运行模式：强烈推荐选择 【Fake-IP (TUN) 混合模式】 或 【Fake-IP (TProxy) 混合模式】。
   • 为什么首选 TProxy / TUN：传统的 Redir-Host 模式不仅对 DNS 污染防御较弱，而且在转发 UDP 数据包时性能损耗极大。TProxy（纯透明代理）属于 Linux 内核原生提供的高性能透明转发机制，能够无损保留原始数据包的首部源 IP 信息，并且在转发 4K 视频流与游戏 UDP 报文时 CPU 占用率极低。
3. 进入【常规设置】，确保勾选【本地 DNS 劫持】，将全屋设备的 53 端口 DNS 请求强制捕获进本地代理内核处理。

第二步 导入机场订阅与自动化配置覆写#

1. 切换到【配置文件订阅】页面，点击【添加】。
2. 填写订阅备注名，粘贴机场后台复制的 Clash 订阅链接。
3. 在【订阅转换】处建议保持禁用，直接拉取原汁原味的节点数据。
4. 勾选【自动更新】，并将更新频率设定为每天凌晨 4 点，实现节点健康状态的静默同步。
5. 点击【保存配置】并执行【更新配置】拉取数据。
6. 回到 OpenClash 首页，拨开右上角的【启动 OpenClash】总开关。稍等数十秒，当控制台打印出“OpenClash 运行正常”的绿色字样时，全屋透明网关已正式就绪。

第三步 DNS 分流与 MosDNS 级联防污染调优#

在透明代理架构中，DNS 决定了全网数据分流的生死命脉。如果国内域名的解析走了境外 DNS，会导致国内 CDN 给你分配极度遥远的跨国机房 IP，造成淘宝、京东、B站秒变龟速；如果境外域名的解析走了国内 DNS，则会遭遇严重的 DNS 污染阻断：

1. 启用 Fake-IP 持久化缓存：在 OpenClash【DNS 设置】中，勾选【持久化 Fake-IP 缓存】。这样软路由即便经历日常重启或重载配置，原本记录的局域网 IP 与域名的映射关系也不会瞬间清空，避免终端设备在重启后产生数秒钟的“网络已连接但网页无法加载”假死现象。
2. 配合 MosDNS 打造工业级分流中枢：如果你的软路由固件内置了 MosDNS 插件，可以将 OpenClash 的上游 DNS 指向 MosDNS 本地监听端口。MosDNS 利用精准维护的 china-list 与 gfw-list 规则包，在微秒级别实现“境内域名严格本地递归、境外域名强制安全加密查询”，打造真正无懈可击的全天候防污染屏障。

HomeProxy 核心优势与部署要点#

1. 资源消耗呈数量级降低：HomeProxy 完全摒弃了传统图形化客户端复杂的 Web 监控仪表盘与冗余的 Ruby 脚本封装，整个常驻进程仅占用极少量的内存与系统 CPU 开销，甚至在 128MB 运存的老旧路由器上也能飞速狂奔。
2. 直连与代理规则链极简：原生采用 Sing-box 最新的规则集（Rule Set）格式，对境内境外 IP 的匹配判断极其迅速，几乎感受不到软路由带来的微秒级网络转发惩罚。
3. 部署方式：在支持 HomeProxy 的 OpenWrt 固件中，直接在【节点管理】中导入机场提供的 Sing-box 订阅链接，在【路由设置】中将默认出站策略设为“绕过大陆”，点击保存应用即可实现全屋极速透明漫游。

实战一 SSH 登录软路由检查透明代理转发链状态#

在电脑终端中执行以下指令登录 OpenWrt 控制台，审查 iptables 或 nftables 规则链是否正常将流量注入到了代理端口：

1
# 1. 登录 OpenWrt 旁路由后台 (根据实际 IP 输入)
2
ssh root@192.168.1.2
3

4
# 2. 检查 TProxy 转发规则链是否存在并统计数据包匹配计数
5
iptables -t mangle -nvL PREROUTING | grep -E "7892|TPROXY"
6

7
# 3. 检查 Linux 系统底层路由表规则是否包含保留标记 0x162 (Mihomo 常用 Mark 标记)
8
ip rule show
9
ip route show table 0x162
10

11
# 4. 实时追踪本地 DNS 53 端口是否成功捕获内网请求
12
tcpdump -i br-lan -nn port 53 -c 10

实战二 使用 PowerShell 远程诊断全屋透明网关响应延迟与连通性#

在局域网内的 Windows 电脑上，运行以下 PowerShell 脚本快速比对直连网关与旁路代理网关的处理延迟：

1
# 目标测试接口与网关参数
2
$directGateway = "192.168.1.1"
3
$proxyGateway  = "192.168.1.2"
4
$testTarget    = "https://www.google.com"
5

6
Write-Host "正在诊断全屋透明网关物理层健康状态..." -ForegroundColor Cyan
7

8
# 探测旁路由物理网卡 Ping 响应
9
$pingResult = Test-Connection -ComputerName $proxyGateway -Count 3
10
$avgPing = ($pingResult | Measure-Object -Property ResponseTime -Average).Average
11
Write-Host "旁路由物理网卡平均时延: $avgPing 毫秒" -ForegroundColor Yellow
12

13
# 借助特定网关路由探查外网真实出口 IP 与节点属性
14
try {
15
    $sw = [System.Diagnostics.Stopwatch]::StartNew()
16
    $ipInfo = Invoke-RestMethod -Uri "https://ipinfo.io/json" -TimeoutSec 5
17
    $sw.Stop()
18

19
    Write-Host "透明代理通道测试成功!" -ForegroundColor Green
20
    Write-Host "当前全屋出站 IP: $($ipInfo.ip)"
21
    Write-Host "当前落地节点位置: $($ipInfo.city), $($ipInfo.country)"
22
    Write-Host "全链路握手总耗时: $($sw.ElapsedMilliseconds) 毫秒"
23
} catch {
24
    Write-Host "警报: 透明网关未能成功转发外部 HTTPS 请求!" -ForegroundColor Red
25
    Write-Host "排查建议: 请检查旁路由防火墙动态伪装 (MASQUERADE) 是否开启。"
26
}

实战三 检查系统连接跟踪表与内存高负载自愈#

在长期挂机做种或多设备大流量吞吐时，软路由内核的连接跟踪表（nf_conntrack）如果被打满，会导致整个局域网瞬间无法建立任何新的 TCP 连接。通过以下命令可进行诊断与调优：

1
# 查看当前活跃的连接跟踪条数与系统最大上限
2
cat /proc/sys/net/netfilter/nf_conntrack_count
3
cat /proc/sys/net/netfilter/nf_conntrack_max
4

5
# 若数值接近上限 (如 65535), 可通过 sysctl 临时调大连接表容积
6
sysctl -w net.netfilter.nf_conntrack_max=131072
7

8
# 实时查看内存占用最高的常驻网络进程并清理页面缓存
9
free -m
10
ps | grep -E "mihomo|sing-box"
11
echo 3 > /proc/sys/vm/drop_caches

【排查案例一 旁路由与主路由互指网关引发 CPU 锁死瘫痪】#

• 故障现场：用户刚在主路由器上将默认网关修改为旁路由 IP（192.168.1.2），几秒钟后整个局域网瞬间瘫痪，电脑无法访问任何网页，连路由器后台都进不去；摸软路由机身烫得吓人，风扇狂转，通过 SSH 勉强登录查看发现 CPU 占用率持续锁定在 100%。
• 底层根因：这是网络初学者最常犯的**“路由互指死循环（Routing Loop）”**错误。主路由的网关指向了旁路由（192.168.1.2），而旁路由在配置 LAN 接口时，用户又错误地把旁路由的网关填写成了它自己的 IP（或者旁路由处理后的国内流量被主路由再次丢回旁路由）。一个简单的数据包在主路由和旁路由之间以每秒数十万次的速度疯狂乒乓球式来回弹跳，直到将整个局域网交换机背板带宽与软路由 CPU 彻底拖死。
• 自愈方案：
  1. 拔掉旁路由的网线，全屋国内网络立刻瞬间自愈复活；
  2. 用电脑单独连接旁路由，进入【网络】->【接口】->【LAN】；
  3. 铁律检查：旁路由的【IPv4 网关】必须且只能填写主路由器的 IP（192.168.1.1），绝对不能留空，更绝对不能填写旁路由自己的 IP；
  4. 在 OpenClash 插件设置中，确保勾选【绕过局域网 IP】与【仅允许指定内网网段】，彻底切断回流死锁链路。

【排查案例二 全屋米家与 HomeKit 智能设备集体离线变灰】#

• 故障现场：全屋透明代理开启后，手机和电脑出海畅快无阻，但家里的智能音箱突然提示“网络连接失败”，米家 App 里的几十个智能开关、插座、温湿度传感器集体显示“离线”，苹果 HomeKit 智能家居中枢频繁失去响应。
• 底层根因：国内主流的智能家居硬件（如小米生态链设备）为了实现极高的响应速度与安全加密，在出厂固件中硬编码了对特定国内 NTP 时间同步服务器（如 ntp.aliyun.com）与米家云端长连接心跳域名（*.mi.com）的直接 IP 通信。当软路由开启 Fake-IP 模式后，智能家居在发起 DNS 查询时收到了伪造的保留地址段 IP（198.18.x.x）。由于这些微控制器芯片算力极低且缺少标准的代理隧道解包协议栈，无法理解假 IP 映射逻辑，握手失败直接判定网络断开并进入死锁休眠。
• 自愈方案：
  1. 打开 OpenClash【全局设置】->【DNS 设置】。
  2. 找到【Fake-IP 过滤名单（Fake-IP Filter）】，将智能家居常用域名全部加入豁免名单： *.mi.com、*.xiaomi.com、*.apple.com、time.*.com、ntp.*.com。
  3. 加入豁免后，代理内核一旦检测到智能家居的域名请求，将强制绕过 Fake-IP，直接调用国内真实 DNS 进行权威解析，智能开关与传感器立刻满血复活秒连。

【排查案例三 群晖 NAS 挂机做种一夜偷跑完机场 1000GB 流量】#

• 故障现场：用户家中搭建了全屋透明代理，几天后突然收到机场后台的欠费停机告警邮件，原本足足 1000GB 的大容量月度专线流量竟然在短短一晚上被消耗得干干净净。
• 底层根因：用户家中的群晖 NAS 上运行着 qBittorrent 或 Transmission 客户端进行 PT/BT 资源做种下载。在透明代理环境下，如果规则分流配置不够严密，当 PT 软件连接全球各地的 Peer 节点上传下载数据时，大量海外公网 IP 请求被软路由默认的“兜底规则（MATCH PROXY）”误判为海外跨境访问，全部无脑灌进了收费极其昂贵的机场跨国 IEPL 专线中。高吞吐的 P2P 流量在几小时内就能耗尽数千 GB 的机场配额。
• 自愈方案：
  1. 在 OpenClash 的规则列表最顶部，显式添加 BT/PT 协议特征阻断或直连规则；
  2. 终极绝杀方案：在 OpenClash 的【访问控制】页面中，找到【绕过代理客户端名单（白名单）】，勾选群晖 NAS 的固定局域网 IP（例如 192.168.1.50）。这样群晖产生的所有网络流量在内核层就直接被物理旁路，强制 100% 走本地光纤宽带直连出站，彻底杜绝任何流量偷跑风险。

问题一 搭建全屋透明代理一定需要购买专业的软路由工控机吗#

不需要。虽然 Intel N100 等专业多网口工控机在拓展性与长期稳定性上表现最佳，但如果你只是想体验全屋无感翻墙，家中的闲置老旧轻薄笔记本、废弃的苹果 Mac mini、甚至是拼多多上几十元包邮的二手斐讯 N1 电视盒子，只要能刷入 Linux 或 OpenWrt 系统，单网口连接主路由就可以完美胜任旁路网关角色。

问题二 旁路由拓扑会导致家庭原本的千兆宽带网速大幅下降吗#

完全不会。在旁路由拓扑中，电脑访问国内网站（如百度、B站、下载国内大型游戏）时，数据包只在局域网内与旁路由握手一次完成 DNS 规则分流匹配，确认是国内流量后，真正的数据流依然直接通过主路由器的高性能千兆交换芯片全速转发，可以轻松跑满千兆甚至 2.5G 的物理极限宽带带宽。

问题三 为什么我将主路由的网关指向旁路由后全家偶尔会出现几秒钟的网络卡顿#

这通常是因为旁路由的 DNS 解析缓存策略与主路由发生了冲突。如果旁路由没有开启本地 DNS 缓存加速，或者上游 DNS 服务器配置过多导致解析竞争超时，就会在用户点击新网页的瞬间产生短暂的解析等待感。建议在 OpenClash 中开启【DNS 缓存】并将 Fake-IP 缓存模式设为持久化存储，网页秒开质感将得到质的飞跃。

问题四 旁路由能实现全屋智能电视奈飞 4K 杜比视界解锁吗#

完全可以，并且这是软路由最强大的核心应用场景之一。在软路由的策略组中，将流媒体规则（如 Netflix、Disney+）绑定到支持原生解锁的节点上。全屋的所有电视机、投影仪或电视盒子，只要开机连上家庭 Wi-Fi，打开正版 Netflix 即可直接点亮 4K 杜比视界和杜比全景声，彻底告别在每台电视上用遥控器配置代理的痛苦。

问题五 全屋透明代理环境下玩国内王者荣耀或英雄联盟手游会延迟变高吗#

不会，前提是你的规则分流配置严格正确。成熟的规则库（如 GeoIP CN 和 GeoSite CN）会在纳秒级别识别出腾讯和网易的游戏服务器 IP，并将其强行归入【直连（DIRECT）】通道。游戏数据包完全不经过海外专线绕道，游戏内网络时延与原本普通路由器直连分毫不差（通常在 15ms 至 30ms 的极佳状态）。

问题六 旁路由崩溃死机时全屋网络会彻底瘫痪吗#

取决于你采用的是哪一种接管策略。如果你采用的是“策略一（单设备手动指定网关）”，旁路由死机只会影响你自己手动修改过参数的那台设备，全屋其他家人设备完全无感知；如果你采用的是“策略二（主路由 DHCP 下发旁路由网关）”，旁路由死机确实会导致全家断网，但自愈方法极其简单：只需登录主路由后台，将 DHCP 网关改回主路由原本的 IP，拔插一下网线全家网络便可在三十秒内完全复原。高级玩家甚至可以在主路由内编写一段简单的定时 Ping 探测脚本（Watchdog），一旦连续三次探测不到旁路由心跳，自动调用 nvram 指令将 DHCP 网关回滚为主路由自己，达成企业级的全自动故障逃逸。

问题七 可以在主路由（如华硕或梅林固件）上直接安装科学上网插件吗#

可以。例如华硕路由器刷入 Koolshare / 梅林固件后，可以安装 Merlin Clash 等插件；或者搭载高通芯片的小米路由器在开启 SSH 提权后也能通过 ShellCrash 脚本直接在路由器内部运行代理内核。这种方案省去了额外购置旁路由硬件的成本，但缺点是硬路由器的 CPU 算力与内存普遍较小（通常只有 256MB 至 512MB 内存），在进行大量高并发连接与超高清视频解密时，容易导致路由器发热降频甚至闪退。对于拥有几十台智能家居和高并发下载需求的重度家庭，独立的旁路由硬件无论在散热寿命还是系统容错率上都更具压倒性优势。

问题八 软路由开启透明代理后百度网盘等国内软件下载会消耗机场流量吗#

不会。所有正规分流规则集都将百度网盘、迅雷、夸克等国内网盘服务的 CDN 节点纳入了国内直连域名名单。即便你在百度网盘中跑满千兆带宽进行数百 GB 的文件下载，这些流量全部走的是你本地家庭光纤网络，绝对不会扣除机场订阅中的任何跨国流量额度。

问题九 旁路由环境下如何实现全屋设备的 IPv6 访问#

配置旁路由透明代理时，最稳健也是最通行的做法是在局域网与代理客户端中彻底禁用 IPv6。因为跨国 IPv6 路由调度在全球范围内依然极度混乱，开启 IPv6 会导致大量流量绕过 IPv4 专线发生严重的 DNS 泄露与卡顿。如果你确实有从公网通过 IPv6 访问家中 NAS 的刚需，建议在主路由上保留 IPv6 仅分配给 NAS 物理接口，而将旁路由严格限定在 IPv4 栈内工作。

问题十 软路由长期 7x24 小时开机运行一个月的电费大概是多少#

现代软路由的能耗表现极其出色。以主流的 Intel N100 四网口工控机为例，在带载全屋十余台设备日常上网与影音串流的工况下，整机平均功耗仅在 7W 至 9W 之间。按照全天 24 小时满负荷开机计算，单月总耗电量大约仅在 5度至 7度电 左右，折合家庭用电成本一个月不到 4 元人民币，其电费开销几乎可以忽略不计。