先确认 OpenWrt 路由器能接入哪类配置
OpenWrt 路由器配置 VPN，核心不是把某个客户端安装到路由器上就结束，而是先确认配置格式、路由器固件和家庭网络的工作方式彼此兼容。配置完成后，路由器可以统一处理经过它转发的流量，再依据设备、域名或目标地址决定哪些连接走代理、哪些保持直连；但具体能力取决于所用软件、规则集与固件环境。
先分清两类常被统称为“VPN”的配置。WireGuard、OpenVPN 等通常需要对应的隧道配置文件或连接参数；Shadowsocks、VMess、Trojan、Hysteria2 等则属于代理协议，常由兼容的代理核心读取。订阅链接可能提供节点信息，也可能提供完整配置，不能假定每条订阅都能直接导入任意 OpenWrt 插件。导入前应查看客户端支持的格式、协议和订阅更新方式。
还要检查路由器的固件版本、处理器架构、可用存储空间和内存余量。不同设备的菜单名称、软件源和安装方式可能不同；为错误架构安装软件，或在空间不足时强行扩展功能，都可能造成服务无法启动甚至影响路由器管理。优先使用与当前固件匹配、来源可信的软件包，不要把不明脚本直接粘贴到路由器终端执行。
如果配置使用代理核心，先核实它是否支持订阅中的节点协议和规则格式。某些桌面客户端的配置文件并不适用于路由器插件；Clash Verge 是桌面客户端，不能因为名字相似就直接当作 OpenWrt 软件安装。即使客户端能解析订阅，也要确认策略组、DNS 和规则部分是否被正确识别。
先设计分流方式，再决定全屋规则
部署前先列出家中设备和使用需求：哪些设备需要代理，哪些应始终直连，是否有设备需要访问局域网打印机、存储或智能家居服务。路由器接管后，规则的影响范围会扩大；如果没有明确策略，直接让所有流量走同一路径，可能造成国内网站绕行、局域网设备互访异常，或让不需要代理的设备受到影响。
按设备分流时，常见做法是为设备设置 DHCP 静态租约，让它在网络中获得稳定的内网地址，再在插件或策略路由功能中把该地址指定到直连或代理策略。仅凭设备当前地址写规则容易失效：重新连接、租约变化或更换网络接口后，规则可能不再匹配。若插件支持按 MAC 地址识别设备，也要确认其功能与网络桥接、无线接入点等拓扑兼容。
按访问目标分流时，规则可能依据域名、IP 地址、地理数据库或规则集匹配。域名规则通常更易读，但最终连接到哪个 IP、DNS 由谁解析，都可能影响规则结果；IP 规则则可能因目标服务更换地址而变得过时。刚开始建议减少自定义规则，先用插件已有的明确策略测试，再逐条加入确有需要的例外。
如果仍在比较服务信息与客户端适配边界，可先从 VPN61 VPN排行榜 查看站点信息，再回到路由器端核对自己的订阅究竟提供哪种配置格式。不要将订阅链接发给陌生转换网站；它可能包含账户凭据，公开后会带来账户安全风险。
| 分流方式 | 适合场景 | 需要留意 |
|---|---|---|
| 按设备 | 只让选定的电脑、手机或电视使用代理 | 设备地址要稳定，规则匹配方式要与网络拓扑相符 |
| 按域名或规则集 | 同一设备上的不同网站采用不同出口 | 检查 DNS 解析路径、规则更新情况与例外规则 |
| 全局代理 | 短时间验证代理链路是否可用 | 不宜未经测试就作为全屋长期默认策略 |
动手配置：先试一台设备，再逐步扩展
不同 OpenWrt 版本和插件的界面不完全相同，下面按配置逻辑说明，不假设某个固定菜单路径。操作前，准备一台可有线连接路由器的电脑，并记录当前网络设置。这样即使无线网络或代理规则暂时不可用，也能通过本地管理地址检查和恢复。
- 备份当前配置。在 LuCI 管理界面中导出配置备份，并确认知道路由器管理地址和管理员凭据。不要在远程连接或唯一管理通道下进行大范围防火墙改动；若设备支持恢复出厂设置，也应提前了解其物理操作方式。
- 核对固件与软件来源。确认设备运行的 OpenWrt 固件版本和处理器架构，再按对应文档安装兼容的代理核心或隧道客户端。软件包的名称、安装命令和依赖会随版本变化；不要把其他机型的安装步骤原样照搬。
- 导入配置并检查解析结果。在客户端中使用受信任的订阅入口或配置文件，确认节点、策略组和规则均已加载。若导入失败，先查看错误提示和兼容格式，不要为了让界面显示成功而关闭证书校验或随意改写认证参数。
- 先验证路由器到节点的连接。选择一个明确的节点或隧道配置，查看客户端日志中的解析、连接和握手状态。日志提示无法解析域名时，优先检查 DNS；提示连接超时或握手失败时，再核对地址、端口、协议参数及路由器自身的出口连通性。
- 只给测试设备启用策略。为一台设备设置稳定的 DHCP 租约，在策略规则中将它指向代理；其他设备暂时维持原有直连方式。通过该设备分别测试常用网页、应用和局域网资源，确认代理出口按预期变化，同时打印机、管理界面等本地服务仍可访问。
- 逐步扩大范围并保存变更。确认基础连接、DNS 和本地访问均正常后，再加入其他设备或域名规则。每完成一组变更就保存配置并记录调整内容，避免一次改动太多，导致故障时无法判断问题来自哪条规则。
如果要使用类似 OpenClash、PassWall 或 sing-box 的方案，先读对应项目的 OpenWrt 版本说明，确认其核心、订阅格式、策略路由和 DNS 功能是否匹配。它们的功能和界面可能随版本变化，不能把某个插件的操作步骤套用到另一个插件。家庭网络中的 DHCP、DNS、IPv6 和防火墙设置彼此关联，修改时应一次只调整一个关键环节。
验证出口、DNS 与 IPv6 是否符合预期
客户端显示“已连接”只说明某一层连接建立，不能证明家中每台设备都按规则工作。应在测试设备上打开 IP 查询页面，确认该设备的出口结果与策略一致；随后访问平时使用的网站和本地服务，分别判断代理流量、直连流量与局域网流量是否正常。浏览器结果只能代表该次浏览器请求，不能自动证明电视、游戏机或其他应用采用同一路径。
DNS 需要单独检查。设备可能使用路由器转发的 DNS，也可能启用了浏览器的安全 DNS、应用内 DNS 或其他自定义解析服务。这样即使代理本身正常，域名解析仍可能绕过预期路径，或者解析结果与客户端规则所依据的信息不同。排查时先暂时关闭测试设备上不必要的自定义 DNS，再清理 DNS 缓存并重复访问；验证完成后，按自己的隐私与网络需求恢复设置。
IPv6 也不能忽略。如果代理规则只接管 IPv4，而宽带和设备仍可通过 IPv6 直连，部分请求可能不会经过预想的策略。检查路由器、客户端和终端的 IPv6 支持情况，确认是否有对应的 IPv6 转发、规则与 DNS 处理；不确定时，不要凭一次 IPv4 查询就认定全设备流量都已被接管。选择关闭或保留 IPv6，应以当前网络设计和服务支持情况为依据。
完成验证后，再从不同类型的设备检查：电脑用于查看浏览器与终端是否表现一致，手机用于确认无线网络下的 DNS 和应用连接，电视或其他家电则确认其服务是否需要直连。对每台设备记录采用的策略、能否访问局域网资源，以及出现问题时的现象。这样后续规则更新或固件升级后，才有清晰的对照依据。
- ✅ 先验证单台设备的出口和常用应用，再扩展到其他设备。
- ✅ 分别检查域名解析、IPv4 与 IPv6 的实际处理路径。
- ✅ 保留局域网管理地址、打印机和存储设备所需的直连规则。
- ❌ 不把客户端的连接状态当作所有设备均已正确分流的证明。
- ❌ 不同时更改 DNS、策略路由和防火墙，再用猜测方式排错。
连接异常时的排查与恢复
如果所有设备都无法上网，先判断问题是否发生在路由器自身。如果路由器管理界面仍可访问，查看 WAN 状态、默认路由和客户端日志，再临时关闭新增的代理或策略路由功能，确认原有网络能否恢复。若路由器本身无法访问，使用有线连接和已记录的管理地址排查；不要连续重启或反复恢复出厂设置，以免丢失仍可用于定位问题的配置。
只有一台设备异常时，先确认它是否获得正确的内网地址、网关和 DNS，再检查设备规则是否仍匹配其租约。若能访问局域网但不能访问外网，重点检查出口策略、DNS 和客户端状态；若能访问外网却无法访问路由器或家庭设备，则检查本地地址段是否被错误地送入代理，以及规则中是否缺少局域网直连例外。
部分网站异常时，先区分是域名解析问题、规则匹配错误，还是目标服务本身的连接问题。可临时让一台测试设备使用直连策略进行对照，但不要直接清空全部规则或更换大量参数。若变更后问题消失，应逐条恢复规则，找出导致异常的具体项目；若无变化，再检查节点配置、出口连通和目标应用的自身设置。
需要回滚时，优先关闭刚启用的策略或插件，并恢复最近一次确认有效的配置备份。若能登录 LuCI，检查配置后再逐项恢复防火墙、DNS 和 DHCP 设置；如果必须重置设备，应确认已有可用备份和重新配置所需的信息。订阅更新后若突然异常，可先回到已知可用的节点或配置版本，并检查更新是否改变了策略组、DNS 或规则内容。
常见问题
任何订阅链接都能直接导入 OpenWrt 吗？
不能。订阅可能包含不同协议、配置语法、策略组和规则格式，而路由器插件只支持其中一部分。先确认订阅类型和客户端兼容范围；如果提供方没有给出适用于该客户端的格式，不要随意把链接提交给不可信的在线转换服务。
路由器配置完成后，所有设备都会自动走代理吗？
不一定。只有经过该路由器转发、并且被对应规则接管的流量，才会采用指定策略。设备可能使用自定义网关、移动网络、应用内代理或不同的 DNS 设置；分流规则也可能让一部分目标直连。应按设备和访问目标分别验证。
切换节点后，设备看到的出口仍然没变怎么办？
先确认该设备的请求是否命中代理规则，而不是直连规则；再检查客户端是否已成功连接新节点、设备是否仍使用旧 DNS 缓存，以及浏览器或应用是否另设代理或安全 DNS。可用另一台测试设备对照，避免把单个应用的缓存状态误判为路由器配置失效。
怎样最快恢复原来的网络连接？
如果仍能进入管理界面，先停用新增的代理与策略路由功能，检查 WAN 和 DHCP 是否恢复正常；随后按备份逐项还原配置。保持有线管理连接、记录原管理地址，并在每次调整前留存有效配置，是避免故障扩大、便于恢复的关键。